А обязаны?)
Грубо – есть смысл платить за повышение квалификации сотрудника, если в этом есть практический или финансовый профит.
Вероятно, большинство работодателей устраивает AS IS
Полностью с Вами согласен: отсутствие правоприменительной практики по привленичении бенефициаров к ответственности за нарушение норм ИБ (сразу вспоминается два года, полученные владельцем сети "Тарас Бульба") демодивирует выделять бюджеты на ИБ.