Jednou věcí je "co se dávno ví" a druhou věcí co je vám ochoten kdo zaplatit k implementaci. Dávno se ví leccos. Klientům můžete desetkrát říkat, že je něco potřeba a stejně budete mít co dělat, abyste je přesvědčili o mnohem základnějších věcech co se zabezpečení týká a zbytek vám prostě nezaplatí.
Proto se to řeší jako bezpečnostní incident.