Исторически так сложилось, что информационная безопасность считается сферой ответственности ИТ-подразделения, и именно они должны ею заниматься. В принципе, это не совсем верно - ИБ должна заниматься специальная команда по безопасности под руководством CISO.