Odpověď na názor

On nejde o vyvázání z působnosti. Jede o splnění podmínek.

Klidně můžete mít zastaralý SW i HW a klidně i se známou chybou. Musíte to ale zdokumentovat, prokázat a přesvědčit bezpečnostního managera, že je obtížné - technologicky, finančně - zař. vyměnit/nahradit a zároveň jste udělal vše pro to, aby se to nedalo zneužít - proti funkci toho zařízení, nebo proti ostatní infrastruktuře. Váží se náklady a dopady.

Air-gap není v žádném případě dostačující, musí k tomu být access-policy jak co se týče výměny dat, tak fyzického přístupu, monitoring interní pokud to nějaké "logy" vytváří, nebo externí - čidly nebo sondami, a ten monitoring se musí vyhodnocovat. Spousta práce ... proto se hodnotí náklady a dopady.