システムリソースの機密性や可用性の確保、事業体レベルで決めたセキュリティポリシの履行確保、エンティティの責任追跡性の担保とか考えるといろいろと問題があるから、現場に全部責任持たせるのは現実的に難しくないかね