Jaarlijks verspillen bedrijven miljoenen euro's aan beveiligingsproducten, alleen vanwege het gevoel om veilig te zijn. Volgens Gene Hodges, CEO van IT-beveiliger Websense, zorgt dit gevoel ervoor dat bedrijven slechte investeringen doen als het aankomt op IT-beveiliging. Zo zou er onnodig veel geld worden uitgegeven aan de beveiliging van de IT-infrastructuur.

"Aanvallen in de jaren '90 en het begin van deze eeuw, richtte zich op de infrastructuur. Aanvallers wilden je e-mailsysteem of je netwerkverbinding via DDoS-aanvallen uitschakelen. Daarom kocht iedereen firewalls, anti-virus, IDS en IPS. Het aanschaffen van klassieke infrastructuur beveiliging geeft je een gevoel van veiligheid, maar het maakt eigenlijk helemaal niet zoveel uit."

Geld dat aan security wordt uitgegeven is volgens Hodges niet per definitie een verspilling, zolang de verhouding maar klopt. Met name te hoge budgetten kunnen nadelig voor zowel de beveiliging als voor het bedrijf uitpakken.

Een bijkomend probleem volgens Bruce Schneier is dat systeembeheerders vaak niet weten hoeveel een beveiligingsproduct waard is. "Als je die ROI modellen ziet, nemen ze de kosten van een aanval en vermenigvuldigen die met de kans op een aanval, om je zo te laten zien hoeveel je moet uitgeven. Alle verzekeringsmaatschappijen gebruiken dit business model."