какие вам факты, например, нужны? у маерска был сертификат iso27k и iso9k. только подтереться.
Так ты все равно первую часть вопросов проигнорировал. Чем плох ИСО? Эт первое.
Второе - стандарты внедряются согласно бизнес процессам организации, а не бизнес процессы подгоняются под них в 99% случаев.
Третье - любой бизнес не будет закрывать все риски, так как это противоречит главной парадигме бизнеса, а именно зарабатыванию денег. Да какие то риски у компаний реализуются, в том числе и те которые были приняты руководством.
Завязывай с теоретическим ИБ, оно фантазии неправильные генерирует