Вот вам быстрый срез по больнице.
Классические проблемы/недоработки по ИБ в организациях.

1я актуальна для всех
2я больше для госорганизаций
3я больше для коммерческих

ЗЫ. Да, вырезка со свежего CyberCamp.

Кстати на вопрос "С чего начать движение по ИБ в первую очередь небольшой коммерческой компании?" был ответ - с анализа трафика, т.е. использования какого-нибудь решения класса NTA.🥹