يتم تناول موضوع أمن المعلومات في وقتنا الحاضر من وجهتي نظر متعارضتين. فمن جهة يؤكد بعض المحللين أن الشركات الصغيرة لا تطبق أي سياسات لأمن المعلومات على الإطلاق، حيث لا تعتبر أي من بياناتها أصولاً قيمة بما يكفي للاستثمار في توظيف مثل هذه النظم. ومن جهة أخرى، يعتقد البعض أن الشركات الصغيرة والمتوسطة مساوية تقريبا لنظيراتها الأكبر حجما من حيث البنية التحتية لقنوات وأشكال نقل البيانات، وأن نطاق المسائل التجارية هو وحدة المغاير. وبذلك، ينبغي على نهج أمن المعلومات أن يكون متطابقا. وتنبع فكرة أن الشركات الصغيرة والمتوسطة لا تملك أي أصول معلوماتية تجارية قيمة من النظرة التقليدية إلى هذه الشركات: والتي تطغى عليها عمليات تجارية عفا عليها الزمن، وضعف تكامل تكنولوجيا المعلومات، وتخزين البيانات ورقيا، وهو بالفعل الوضع الذي كانت عليه سابقا. ومع ذلك، فإن الاتجاه الحالي هو التغيير، والذي حفزه خفض أسعار أجهزة الكمبيوتر وتوافر وسائل تخزين البيانات الرقمية ومعالجتها.
ولا يمكننا أن ننكر حقيقة أنه من ناحية البنية التحتية للمعلومات (مخطط الشبكة، وإدارة وسائل الاتصالات، وأنظمة التشغيل) لا تختلف الشركات الكبيرة كثيرا عن نظيراتها الأصغر حجما. ومع ذلك، فإن القضية الرئيسية المتعلقة بالشركات الصغيرة والمتوسطة هي عدم وجود الدعم المالي لمثل هذه البنى التحتية، ما سيؤدي إلى عواقب معروفة.
ويؤدي عدم وجود استراتيجية طويلة المدى لتكنولوجيا المعلومات، وقيام كل متخصص جديد بتغيير البنية التحتية بالكامل وفقا لرؤيته ومستواه من الكفاءة، يؤدي إلى فوضى كبيرة في الأنظمة. وعادة، يتم تمويل أقسام تكنولوجيا المعلومات من الأموال المتبقية من الميزانية، الأمر الذي لا يتيح رفعا كاملا لمستوى النظم التي عفا عليها الزمن. وفي الجانب الآخر قد لا يتمتع الموظفون في كثير من الأحيان حتى بالمهارات الأساسية لتخزين المعلومات بشكل آمن. فغالبية وقائع تسرب البيانات تنشأ من الإهمال وعدم فهم قواعد تدفق المعلومات. وبينما يمكن تدارك حادثة تسرب معلومات واحدة، والتي هي جدية بطبيعة الحال، في الشركات كبيرة، يمكن لنفس الحادثة أن تؤدي إلى عواقب وخيمة تصل إلى توقف النشاط في شركة صغيرة. فيمكن لتسرب واحد لبيانات قاعدة العملاء أو تكنولوجيا تشكيل الأعمال أن تكون فتاكة للشركة. وتتمثل المشكلة الأخرى في عدم وجود خبراء على مستوى الرئيس التنفيذي لأمن المعلومات، والذي يحمل مسؤولية تحديد أصول المعلومات ومستوى المخاطر للمشروع في حالة وقوع خسائر أو تسريب للمعلومات،