资深首席信息安全官约翰·鲁法斯在医疗服务提供商董事会会议中发现,安全汇报存在严重的表演化问题。虽然安全意识培训完成率达72%,但员工钓鱼模拟测试成功率仅52%且两年未改善;补丁报告看似完善,但关键Linux服务器因内部摩擦未能及时修补。这种安全表演为董事会营造了虚假的安全感,本质上是治理失败而非单纯的IT问题。