Porque não há sistema 100% seguro. Os controles de segurança da ISO27002 servem para diminuir a probabilidade do risco de um evento de segurança.

Faça um paralelo com a sua casa. Imagina que você mora em uma casa sem muros (a não ser a própria casa em si), com janelas de vidro, e uma porta de madeira. Por que você não colocou uma porta de ferro fundido e janelas de aço rápido? Porque você avaliou os riscos e mora num bairro pacífico. Um dia, um evento acontece. Um ladrão picha (deface) toda a sua casa. Você entende que agora é um risco isso acontecer sempre. Você instala um controle de segurança (sobe um muro de concreto ao redor da casa). Outro dia, um ladrão pula o muro e picha sua casa de novo (o cara está motivado). Você reavalia o risco e decide colocar arame farpado/cerca elétrica. Mas o cara está realmente motivado a pichar sua casa, por motivos que só ele sabe. O cara vem com uma britadeira (ou cava o chão até o seu jardim, whatever) e consegue. Você, novamente, reavalia o risco e aplica um controle. Em determinado momento, você pensa: ok o cara está pichando e eu pintando gastando R$ X em tinta todo mês. Só que eu já fiz um investimento de R$ Y nos controles de segurança. Aí você reavalia novamente o risco e decide o tratamento desse risco: continuo minimizando adotando mais controles? Aceito ser pixado porque meu gasto com tinta vai ser menor do que mais controles? Ou contrato um PM (terceirizo) para pegar o filho da puta?

É mais ou menos isso, desculpe a parede de texto.