Политика безопасности ломается не угрозами, а дырявыми исключениями

Политика безопасности выглядит строгой только на бумаге. На практике её убивают три вещи: размытые роли, лишние исключения и отсутствие контроля исполнения. Если правило можно обойти «по согласованию», оно уже не правило, а пожелание.

Проверьте базу:
— права выдаются по роли, а не «по знакомству»;
— исключения имеют срок, владельца и причину;
— критичные действия логируются, а не «должны где-то сохраняться»;
— доступы пересматриваются регулярно, а не когда кто-то вспомнил про инцидент.

Отдельная ошибка — писать политику для аудитора, а не для оператора. Документ, который нельзя применить в рабочем процессе, превращается в красивую папку с нулевой ценностью. Такие тексты любят начальники. Нарушения любят те, кто потом ищет виноватого.

Если политика не отвечает на вопросы «кто», «что», «когда отозвать» и «кто проверяет», она не защищает систему. Читайте документацию. Соблюдение протокола — это ваша обязанность, а не опция.