Dbanie o najwyższe bezpieczeństwo informacji stanowiacych tajemnice firmy nie tylko warunkuje zaufanie klientów, jest to też wymóg formalno-prawny. Państwo polskie oraz Unia Europejska postawiły i będą nadal stawiały szereg wymagań nie tylko przed największymi przedsiębiorstwami w kraju, ale coraz częściej obowiązki tego typu spadają na małe i średnie przedsiębiorstwa. Rynek zawsze robił, robi i będzie robić dokładnie to samo. Każde nowe przedsięwzięcie, każdy nowy system, to nowe ryzyka i podatności na utratę poufnych informacji. Dlatego każda firma - nie tylko duża - powinna stworzyć:

klasyfikację posiadanych informacji i system ich zabezpieczenia, bo dobrze jest wiedzieć co mamy i jak to chcemy chronić,

reguły dostepu do zasobów informacyjnych i sposób autoryzacji użytkowników, bo nie zawsze jest to oczywiste i nie wszyscy pojmują to tak samo,

politykę bezpieczeństwa (w tym danych osobowych i informacji stanowiących tajemnicę przedsiębiorstwa), bo warto pewne rzeczy mieć spisane i jasne sie staje dla wszystkich, dlaczego tak ma być,

plan ciągłości funkcjonowania, bo najważniejsze jest by nasz biznes przetrwał.

Polityka Bezpieczeństwa Informacji jest połączeniem odpowiednio wyważonych oraz zgodnych z prawem procedur, spełniających krajowe i międzynarodowe normy i standardy oraz regulacje i wymagania branżowe. Celem działań dążących do zapewnienia bezpieczeństwa przetwarzanych informacji jest osiągnięcie takiego poziomu organizacyjnego i technicznego, który zapewnia w procesie przetwarzania informacji zachowanie jej poufności, integralności, dostępności, rozliczalności, autentyczności i niezawodności.

Zgodnie z Ustawą z dnia 6 kwietnia 1993 roku o zwalczaniu nieuczciwej konkurencji, przez tajemnicę przedsiębiorstwa (spółki) należy rozumieć nieujawnione do wiadomości publicznej informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa lub inne informacje posiadające wartość gospodarczą, co do których przedsiębiorca podjął niezbędne działania w celu zachowania ich poufności. (art. 11, ust. 4 ustawy o zwalczaniu nieuczciwej konkurencji).

Przepisy ustawy o ochronie danych osobowych stają się z roku na rok coraz bardziej restrykcyjne. Naruszenie przepisów stanowi przestępstwo, ścigane z urzędu. Osoba skazana zostaje zarejestrowana w Krajowym Rejestrze Karnym, a uprawomocnienie się wyroku stanowi podstawę do roszczeń poszkodowanego o zadośćuczynienie i odszkodowanie z tytułu naruszenia jego prywatności. 7 marca 2011 roku weszła w życie nowelizacja ustawy o ochronie danych osobowych, która przede wszystkim zwiększa zakres kontroli Generalnego Inspektora Ochrony Danych Osobowych (organu nadrzędnego ds. ochrony danych osobowych w Polsce), a także czyni GIODO organem egzekucyjnym. Poprzez powoływanie tzw. terenowych organów kontroli, dozór nad firmami, organizacjami i instytucjami przetwarzającymi dane osobowe ulegnie znacznemu nasileniu.

Najważniejszym etapem wdrożenia systemu bezpieczeństwa informacji jest opracowanie i zbudowanie mechanizmów zarządzania ryzykiem. Zgodnie z wymaganiami normy oraz własną metodyką pracy, etap rozpoczyna się od zaproponowania przez konsultantów metodyki analizy ryzyka. Dobór metodyki ma kluczowe znaczenia dla dalszego wdrożenia systemu i jego późniejszego utrzymania. Sposób realizacji analizy ryzyka powinien uwzględniać specyfikę organizacji.