Infelizmente o contato que eu tenho com segurança da informação é mais ou menos essa, profissionalmente a pessoa responsável pela área onde eu trabalho não entende nada de segurança e para todos os projetos que vão fazer ele sempre fala, mas temos que pensar na segurança, porém nunca foi feito uma análise de risco, a política de segurança é de uns 3 anos atrás e deve ter sido copiada na íntegra de algum site.