Верно, однако это про личную культуру однозначно ) А если про организацию в целом? Чего обычно не хватает компаниям в части безопасности?

абсолютно верно, лучше всего через специалистов (нашу компанию) и точечно определить, что именно защищать в первую очередь (не на все подряд бизнес процессы и системы надо бросаться внедрять механизмы защиты). Однако многие из бизнесов подходят к вопросам безопасности так, как будто бы вместо того, чтобы заказать вкусное готовое блюдо от шеф-повара, они рискуют и перекусывают полусырой просроченной шаурмой в надежде, что все будет ок.