สำหรับการประกอบธุรกิจทั่วๆไปหรือการดำเนินงานของหน่วยงานราชการก้จะมีการเชื่อมต่ออินเตอร์เน็ตเพื่อรับส่งอีเมล์ หรือมีเว็บไซต์เป็นของหน่วยงานตนเอง หรือประชาสัมพันธ์ข่าวสารต่างๆ ทั้งนี้จะพบว่าระบบเครือข่ายนั้นมีประโยชน์ สะดวก แต่ก็มีความเสี่ยงมาก เพราะเปรียบเสมือนการเปิดประตูรั้วเพื่อติดต่อกับโลกภายนอกและเป็นการเชื้อเชิญโจรหรือขโมยเข้ามาในบ้านของเรามากขึ้น
การเกิดอาชญากรรมทางคอมพิวเตอร์นั้นมีหลายรูปแบบ เช่นไวรัส หรือการโจมตีทางเครือข่ายเพื่อก่อกวนให้ระบบงานหยุดชะงักใช้การไม่ได้ เป็นต้น
การโจมตีในที่นี้ หมายถึงการขโมยข้อมูล เช่นเลขบัตรเครดิต รายชื่อลูกค้าทำให้ไม่สามารถให้บริการลูกค้าได้ สิ่งเหล่านี้เป็นการสร้างความเครียดให้กับผู้บรหารดด้านระบบสารสนเทศเป็นอย่างมาก แม้แต่การถูกเปลี่ยนหน้าเว็บไซต์ ที่ดูเหมือนว่าไม่เสียหายอะไร แต่ที่จริงแล้วทำให้สูญเสียชื่อเสียงหรือภาพพจน์ขององค์กร
ดังนั้นผู้บริหารด้าน IT ยุคนี้ยังต้องตระหนักถึงเรื่องการควบคุมรักษาความปลอดภัยของระบบสารสนเทศด้วย โดยต้องประเมินความเสี่ยวอีก 3 ประเด็น ดังนี้คือ
1.ความลับของข้อมูล (Confidentiality) โดยพิจารณาจากความเสียหายที่ข้อมูลได้ถูกเปิดเผย จึงต้องมีการควบคุมการเข้าถึงข้อมูลที่สำคัญ เช่นการใช้รหัสผ่าน เป็นต้น
2.ความถูกต้องและสมบูรณ์ (Integrity) ไม่ว่าจะเป็นการเก็บข้อมูลไว้ในสื่อข้อมูล ขณะประมวลผล หรือระหว่างส่งข้อมูลผ่านเครือข่าย ซึ่งพิจารณาจากความเสียหายที่เกิดขึ้นจากการที่ข้อมูลผิดพลาด
3.ความสามารถใช้งานและการให้บริการตามที่กำหนด (Avalibility) โดยพิจารณาจากความเสียหายที่ระบบไม่สามารถให้บริการได้ ดังนั้นจึงต้องมีการควบคุม ป้องกัน เช่นการสำรองข้อมูลที่สำรองไว้นอกสถานที่ เพื่อรองรับกรณีเกิดภัยพิบัติต่างๆ ที่ทำให้ระบบคอมพิวเตอร์ไม่สามารถให้บริการได้
หลังจากที่มีการประเมินความเสี่ยงของระบบแล้ว ยังต้องพิจารณาการหามมาตรการวิธีการต่างๆ ที่ควบคุมการปลอดภัยของระบบสารสนเทศขององค์กร การดำเนินการเพื่อให้ได้ระบบการควบคุมความปลอดภัยที่ดีอย่างมีประสิทธิภาพ และประสิทธิผลนั้นต้องมีการดำเนินการโดยมีผู้บริหารระดับสูงเห็นชอบและสนับสนุนด้วย ซึ่งต้องพิจารณาจากทั้ง 3 ส่วน ได้แก่
1.ด้านเทคโนโลยี ได้แก่ อุปกรณ์หรือระบบ Firewall,IDS, ระบบป้องกันไวรัส เป็นต้น
2.ด้านกระบวนการควบคุม ได้แก่ มีการกำหนดค่าระบบปฏิบัติให้มีการควบคุมที่ดีเป็นต้น
3.ด้านบุคลากร ที่มีความตระหนักและปฏิบัติตามระเบียบ ของนโยบายการควบคุมความปลอดภัยด้านสารสนเทศ
ดังนั้นจึงเห็นได้ว่าการควบคุมความปลอดภัยด้านไอทีไม่เรื่อที่งายนัก เพราะต้องมีการลงทุนโดยอาจจะมองผลตอบแทนเป็นตัวเงินชัดเจน จึงต้องมีการประเมินความเสี่ยงก่อน เพื่อให้มองประโยชน์ได้ชัดเจนยิ่งขึ้น แล้วจึงดำเนินการติดตั้งระบบรักษาความปลอดภัย อย่างไรก็ตามงานรักษาความปลอดภัยเทคโนโลยีสารสนเทศเป็นงานที่ต้องทำอย่างต่อเนื่อง ต้องมีการตรวจสอบอย่างต่อเนื่อง และปรับปรุงให้สอดคล้องกับสิ่งแวดล้อมที่เปลี่ยนแปลง