DevSecOpsパイプラインにおいて、コンテナイメージのスキャン（脆弱性診断）を行うべき最適な段階はどこか。

ICS/OT環境（産業制御システム）において、IT環境のような頻繁なパッチ適用が推奨されない（または困難な）主な理由はどれか。