Решил заняться защитой данных моей компании в Москве, поэтому хочу узнать, с чего начинать. Что важнее, сначала разобраться с уязвимостями или сразу писать политику безопасности?

Многие думают, что главное сразу купить какой-нибудь инструмент и всё само заработает, а на деле первый месяц уходит только на то, чтобы понять, что вообще нужно защищать. Начинайте с аудита для того чтобы получить реальную картину.

Сначала нужно зафиксировать, какие данные есть, где хранятся, кто имеет доступ. Вопрос информационной безопасности упирается именно в это, а не в покупку инструментов. Обеспечение нормального учёта активов стоит копейки по сравнению с последствиями утечки. Например, больше данных по ИБ можно узнать здесь https://aktiv.consulting/uslugi/obespechenie-ib/