Ну да, идея сложная, но слишком много теории. Большинство реально делают минимальный набор типа HTTPS и базовые проверки и считают, что этого достаточно. А про постоянные пентесты и мониторинг забывают — это всё дорого и долго, особенно для небольших проектов. Не уверен, что каждая команда реально способна всё это тянуть без нормального бюджета и специалистов.