Säkerhetsarbete ser enkelt ut utifrån. Det är trasigt på insidan.

En ledning ser tre saker — efterlevnad, riskbild, kontroll. En revisor ser fyra — policy, åtgärd, bevis, lucka. En specialist ser tjugo — kategorier, klassningar, hotaktörer, beroenden, processer, kontroller, mappningar, granskningstakt. Var och en har sina egna verktyg, sina egna språk, sina egna dokument.

Och därför händer det här: samma fråga får olika svar beroende på vem som svarar och vart man tittar. Riskmodulen säger att en process är medel; kontinuitetsplanen säger att den är kritisk; klassningen säger att informationen är offentlig men registret påstår att den är konfidentiell. Tre dokument. Tre sanningar. Ingen koppling.

När det märks är det redan för sent.