Что разумного из информационной безопасности порекомендуете?

Коллеги, что на ваш взгляд, сегодня можно считать необходимой достаточностью в области информационной безопасности для средней компании (примерно 500 рабочих мест). Понятно, что нет возможности, да и желания перекрывать все риски, но все-таки хотелось бы, чтобы доступ к конфиденциальной информации был закрыт. Как Вы решаете эту проблему?