Este relatório foi publicado originalmente em 2014 e é revisado periodicamente para precisão contínua. Em outubro de 2018, os dados no Anexo 1 e os títulos dos autores foram atualizados. De fato, para muitos dos habitantes do mundo natural, a questão não é
For most forms of life, the threat of attack—from a predator, changing environmental conditions, lower forms of life (such as bacteria and viruses), or some other force—is ever present. Indeed, for many of the natural world’s inhabitants, the question is not se, mas sim quando eles estarão sujeitos a algum tipo de ataque - e como (ou se) eles responderão e emergem da experiência. ameaças potenciais. A maioria das empresas, portanto, torna a identificação, avaliação e mitigação de riscos uma alta prioridade. No entanto, existe um tipo específico de ameaça hoje para o qual muitas empresas, em nossa opinião, estão significativamente mal preparadas: o risco associado a TI e gerenciamento de informações. As digitization’s role in companies’ operations continues to grow—according to Ben Hammersley, contributing editor at
Businesses, of course, face an analogous situation and must contend with their own potential threats. Most companies therefore make risk identification, assessment, and mitigation a high priority. Yet there is a specific type of threat today for which many companies, in our view, are significantly underprepared: the risk associated with IT and information management. As digitization’s role in companies’ operations continues to grow—according to Ben Hammersley, contributing editor at Wired UK magazine, “Cyberspace is becoming the dominant platform for life in the 21st century”—companies’ vulnerability to data theft, leakage of intellectual property, corporate sabotage, denial-of-service attacks, and the like is growing Empace. Os danos que esses eventos podem representar para os lucros, reputação, marca, posição competitiva e até a viabilidade de uma empresa são potencialmente vastos. Uma empresa de tecnologia, por exemplo, sustentou danos materiais aos seus negócios como resultado de hackers extensos de seus sistemas. Outro sofreu danos consideráveis à sua reputação depois que uma violação comprometeu a segurança dos dados pessoais de seus clientes. Para as empresas de hoje, a capacidade de proteger os sistemas e informações de TI pode ser igualmente vital. Para se armar adequadamente, as empresas devem entender os riscos de TI e da informação que enfrentam e construirem sistemas de proteção suficientemente robustos-e devem fazê-lo com o objetivo de controlar os custos e minimizar qualquer impacto negativo nos negócios. Obviamente, a segurança perfeita está além do alcance de qualquer empresa. O truque é determinar e fornecer o direito
In the natural world, a strong immune and defense capability is essential for survival (much as in human society, vaccines and health care systems are critical to protecting life). For today’s companies, the ability to safeguard IT systems and information may be equally vital. To properly arm themselves, companies must understand the IT and information-related risks they face and construct sufficiently robust protection systems—and they must do so with an eye toward controlling costs and minimizing any negative impact on the business. Of course, perfect security is beyond any company’s reach. The trick is to determine and provide the right Quantidade da defesa, a um custo razoável, e fazê -lo sem comprometer significativamente as práticas ou cultura de negócios da organização. Além disso, a empresa deve encontrar esse equilíbrio enquanto compreende e gerencia os riscos associados aos compromissos relacionados à segurança. Em nossa experiência, poucas empresas até agora conseguiram conseguir isso.
Quem está em risco? Indústrias com paisagens complexas de aplicação e sistema também estão em alto risco, assim como as que dependem de redes complexas ou malhadas. As empresas dessas categorias incluem bancos, fornecedores automotivos e empresas de energia (que enfrentam uma variedade de vulnerabilidades ao longo de toda a sua cadeia de valor, incluindo geração, distribuição e infraestrutura). (Em muitos mercados asiáticos, por exemplo, as transações on -line móveis agora excedem o número de transações conduzidas através da plataforma tradicional de desktop.) Para essas empresas, transações móveis crescentes podem se traduzir em receitas de inchaço - além de maior probabilidade de uma violação e roubo de dados. Também pode torná -los alvos cada vez mais atraentes para hackers e similares, pois essas empresas acumulam tipos maiores e mais variados de dados do cliente.
As a rule, the companies that are most at risk of an attack and its consequences are those in which information drives a large portion of value generation and passes through many interconnected systems. Industries with complex application and system landscapes are also at high risk, as are those that rely on complex or meshed networks. Companies in these categories include banks, automotive suppliers, and energy companies (which face a range of vulnerabilities along their entire value chain, including generation, distribution, and infrastructure).
Companies whose business is driven to a large degree by mobile transactions are also at particular risk. (In many Asian markets, for instance, mobile online transactions now exceed the number of transactions conducted through the traditional desktop platform.) For such companies, rapidly growing mobile transactions can translate into swelling revenues—as well as greater likelihood of a breach and data theft. It can also make them increasingly attractive targets for hackers and the like as these companies accumulate larger and more varied types of customer data.
Em geral, as empresas que processam grandes quantidades de informações financeiras e de clientes (detalhes do cartão de crédito, por exemplo) também enfrentam um risco elevado, com pequenas e médias empresas especialmente vulneráveis. Muitas dessas empresas menores carecem do orçamento e das habilidades necessárias para proteger adequadamente seus ambientes on-line ou no ponto de vedação, por exemplo, tornando-os alvos populares. (Consulte Anexo 1.) Empresas de saúde, empresas de telecomunicações, empresas de mídia, organizações de serviço público e empresas de bens de consumo e de consumo ricos em propriedade intelectual são cada vez mais prováveis que tenham muito a perder se seus sistemas e informações de TI não forem suficientemente seguros. (Ver
As value creation becomes increasingly digitized across the corporate landscape, however, virtually all companies are becoming more vulnerable—and concerns are rising. (See Exhibit 1.) Health care companies, telecommunications businesses, media companies, public-service organizations, and industrial and consumer goods businesses rich in intellectual property are all increasingly likely targets that have much to lose if their IT systems and information are not sufficiently secure. (See A vantagem de confiança: como ganhar com big data , BCG Focus, novembro de 2013.)
Afinal, os alvos de hackers e dados que os thieves geralmente não são os próprios sistemas, mas as informações que processam. E o valor dessa informação geralmente está aos olhos do espectador (ilegítimo). Planos estratégicos e informações relacionadas às estratégias de mercado, produção e preços de uma empresa são obviamente ativos de alto valor que devem ser cuidadosamente protegidos. Mas outras informações, que a empresa pode considerar muito menos críticas, poderiam muito bem ser de maior interesse para concorrentes, criminosos, terceiros apoiados pela nação ou o público. (Uma empresa de serviços de alimentação, por exemplo, pode considerar que seus pedidos de clientes têm relativamente pouco valor para terceiros e podem não se esforçar grandes para proteger essas informações; mas se, digamos, um dos clientes da empresa for uma agência de aplicação da lei, uma ordem atipicamente grande em um determinado dia pode sinalizar para um outida interessada que a agência está planejando uma grande operação.) || A segurança de TI está rapidamente se tornando uma preocupação crítica para as empresas que usam computadores não apenas para analisar números, mas para monitorar, mover e controlar equipamentos críticos, máquinas e linhas de produção. Para essas empresas, a segurança de TI comprometida de seus sistemas ciberfísicos pode ter severas implicações operacionais e de saúde, segurança e ambientais. Um robô de soldagem ligeiramente ajustado, por exemplo, poderia causar danos consideráveis à estabilidade de um carro - e a reputação de seu fabricante. O vírus do computador StuxNet é outro exemplo, ainda de primeira questão do risco potencial em questão. Portanto, não é surpresa que essas empresas estejam se concentrando cada vez mais na segurança de TI industrial. Mas não para por aí. Os governos são claramente vulneráveis a isso e ao risco de segurança da informação, e números crescentes estão tomando ações defensivas. The UK’s Centre for the Protection of National Infrastructure, the U.S. National Cybersecurity and Communications Integration Center, the Australian Signals Directorate, and Germany’s National Cyber Response Centre and National Cyber Security Council are entities that have been created specifically to focus on the problem.
And the circle of organizations at risk continues to widen. IT security is quickly becoming a critical concern for companies that use computers not just to crunch numbers but to monitor, move, and control critical equipment, machines, and production lines. For such companies, compromised IT security of their cyberphysical systems can have severe operational and health, safety, and environmental implications. A slightly maladjusted welding robot, for example, could do considerable damage to a car’s stability—and its manufacturer’s reputation. The Stuxnet computer virus is another, still top-of-mind example of the potential risk at hand. So it is no surprise that such companies are focusing more and more on industrial IT security.
In short, the problem now spans businesses of all types. But it does not stop there. Governments are clearly vulnerable to IT and information security risk, and increasing numbers are taking defensive actions. The UK’s Centre for the Protection of National Infrastructure, the U.S. National Cybersecurity and Communications Integration Center, the Australian Signals Directorate, and Germany’s National Cyber Response Centre and National Cyber Security Council are entities that have been created specifically to focus on the problem.
Optimizing IT and Information Security
A program intended to provide effective security for a company’s information and the technology used to store and process it must address a Número de elementos críticos, incluindo o seguinte:
- Confidencialidade: A informação é acessível apenas àqueles que têm um direito ou uma necessidade de visualizá -lo. Quando necessário. A validade das suposições sustentando o esforço. A prioridade associada a cada um desses elementos variará dependendo do tipo de empresa e indústria. Três dos mais importantes são a tecnologia, o custo e o potencial impacto negativo do risco e as medidas tomadas para
- Integrity: the information is accurate, valid, and reliable.
- Availability: information, resources, and services are available when needed.
- Accountability: each (trans)action can be attributed to an accountable individual.
- Provenance: the origin and history of each piece of information (or each data item) are known and well defined.
Such a program must also provide clarity and reasonable assurance regarding the reliability of controls and the validity of the assumptions underpinning the effort. The priority associated with each of these elements will vary depending on the type of company and industry.
To ensure that their security campaign is sufficiently robust, companies must view the effort through a number of lenses. Three of the most important are technology, cost, and the potential negative impact of risk and the measures taken to
Custo é obviamente outra consideração importante. Dado que é impossível criar um ambiente totalmente seguro, uma empresa deve determinar o nível básico de segurança que precisa - em outras palavras, qual é o risco máximo (reputação, operacional ou financeira, incluindo o custo da remediação) com a qual a empresa está disposta a conviver - e depois avaliar o valor marginal de qualquer segurança adicional a ser obtido por meio de gastos adicionais. A empresa pode então decidir que nível de gasto é ideal, dada sua estratégia de negócios, tolerância a riscos de marca e operacional e outras considerações. Embora isso pareça uma avaliação razoavelmente direta, não é fácil, e descobrimos que a maioria das empresas trabalha com ela. Como no custo, isso é uma questão de equilíbrio, e as empresas terão que identificar seu ponto ideal específico. Vimos várias empresas lutando com isso, incluindo várias empresas de recursos e engenharia que operam internacionalmente. Um deles, em um esforço para minimizar o risco de roubo e espionagem de dados, não permite que seus funcionários levem seus laptops e dispositivos móveis para países que considera alto risco. Os desafios logísticos que essa política pode representar para os funcionários são consideráveis. O que, por exemplo, um funcionário deve fazer quando seu itinerário para uma viagem de negócios de multicountry regional exige uma visita a um país de alto risco no ponto médio? Deixe todo esse equipamento em casa, às custas de eficiência ao longo da viagem? Ou siga os conselhos um tanto questionáveis do departamento de TI e tome
Finally, it is essential to take into account the potential negative impact on the business—including its culture, flexibility, ability to innovate, and speed of innovation—of both unmanaged risk and any risk-mitigation measures that are put in place. As with cost, this is ultimately a question of balance, and companies will have to identify their particular sweet spot. We have seen a number of companies struggle with this, including several resource and engineering companies that operate internationally. One of them, in an effort to minimize the risk of data theft and espionage, does not allow its employees to bring their laptop computers and mobile devices to countries it deems high risk. The logistical challenges that this policy can pose to employees are considerable. What, for example, should an employee do when his or her itinerary for a regional, multicountry business trip calls for a visit to a high-risk country at the midpoint? Leave all this equipment home, at the expense of efficiency throughout the trip? Or follow the somewhat questionable advice of the IT department and take dois Laptops na viagem, mas deixe o que contém informações confidenciais no hotel no local de alto risco? Ele não permite que seus funcionários armazenem dados da empresa em qualquer lugar, exceto em computadores emitidos pela empresa e não permitem redes de acesso local sem fio em seus escritórios. Além disso, a empresa não permite que os visitantes de escritórios de satélite tragam seus computadores de notebooks emitidos pela empresa para a sede do escritório-em vez de os visitantes recebem computadores "vazios" na chegada. Para os funcionários, isso torna a execução de tarefas de trabalho padrão, como acessar apresentações e responder a e-mails, muito desafiadores. Voltando à metáfora do sistema imunológico humano, isso equivale a uma reação alérgica ou mesmo autoimune, na qual o sistema ataca elementos externos ou internos perfeitamente inofensivos, comprometendo a capacidade geral do corpo de funcionar adequadamente. Uma empresa deve se preocupar com o vazamento através dos e-mails de saída dos funcionários, por exemplo, bloquear todas essas transmissões ou remover todos os anexos? Isso resolveria o problema imediato, mas poderia introduzir novos-por exemplo, o risco de perder negócios quando um contrato é retirado de um e-mail e nunca atinge o destinatário pretendido. Essa abordagem também pode reduzir a eficiência e potencialmente estimular os funcionários a encontrar meios alternativos de comunicação que a empresa
Similarly, a large technology company takes a very rigorous approach to elevating its IT and information security. It does not allow its employees to store company data anywhere except on company-issued computers, and it does not enable wireless local-access networks within its offices. Further, the company does not allow visitors from satellite offices to bring their company-issued notebook computers into office headquarters—instead, visitors are given “empty” computers upon arrival. For employees, this makes the execution of standard work tasks, such as accessing presentations and answering e-mails, very challenging. Returning to the metaphor of the human immune system, this is the equivalent of an allergic or even an autoimmune reaction, in which the system attacks perfectly harmless external or internal elements, compromising the body’s overall ability to function properly.
Protection against leakage of intellectual property is a particular and rapidly growing concern for many companies and can force many difficult decisions. Should a company worried about leakage through employees’ outbound e-mails, for example, block all such transmissions or remove all attachments? Doing so would solve the immediate problem but could introduce new ones—for example, the risk of losing business when a contract is stripped from an e-mail and never reaches its intended recipient. This approach can also reduce efficiency and potentially spur employees to find alternative means of communication that the company não pode Monitor. (Indeed, we have seen employees of larger companies resorting to external “freemail” accounts to get their work done after trying, unsuccessfully, to change company e-mail policies that they considered impractical.) Taking the opposite approach of allowing (but monitoring) all outbound communications also has trade-offs: the company’s open culture is maintained but the potential for leakage grows, necessitating investment in monitoring technology, a fast detect-and-response capability, and related Staff.
Esses exemplos ilustram os tipos de decisões que as empresas terão cada vez mais. Eles também sugerem as muitas complexidades que as empresas enfrentarão enquanto tentam garantir a segurança em seus ecossistemas - ou seja, o universo das organizações com as quais lidam no curso das operações. Observe também que as trade-offs envolvidas nessas decisões provavelmente serão muito diferentes para os negócios de TI (onde a confidencialidade é frequentemente fundamental) e a TI industrial (onde a disponibilidade geralmente é a principal prioridade). Nos casos em que as medidas de segurança impingem a cultura corporativa e as formas estabelecidas de operação, as empresas devem garantir que as alterações necessárias sejam gerenciadas ativamente. materialize. Portanto, a segurança de TI deve ser vista como um custo necessário para fazer negócios. Também deve ser visto como um componente do programa geral de gerenciamento de risco de TI da empresa, que, por sua vez, deve ser considerado parte integrante do geral
Companies should aim, of course, to “do no harm” in their efforts to balance the efficacy of security measures against established norms. In cases where security measures do impinge on corporate culture and established ways of operating, companies should ensure that the necessary changes are actively managed.
Treating IT Security as a Component of Overall Risk Management
There is no ex-ante, readily calculable return on investment for IT security—like homeowner’s insurance or a car with extra air bags, it is money spent today to mitigate the risk and potential cost and impact of events that may never materialize. Hence, IT security should be viewed as a necessary cost of doing business. It should also be viewed as a component of the company’s overall IT risk-management program, which, in turn, should be considered an integral part of overall Gerenciamento de riscos corporativos . (Consulte Anexo 2.) Muitas vezes, no entanto, descobrimos que as empresas também não. Quais são os riscos de uma política de senha inadequada ou mal imposta ou de software desatualizado e patches de firmware?
To put things in context, there are six broad categories of IT risk:
- The Risk Related to IT Security in the Narrowest Sense. For example, what are the risks of an inappropriate or poorly enforced password policy or out-of-date software and firmware patches?
- O risco relacionado às operações de TI e continuidade dos negócios. Relacionado a projetos e investimentos de TI. inundado ou se o proprietário do código -fonte de um de seus principais aplicativos sair do negócio? Quais são os riscos se algum hardware ou software da empresa for comprometido - ou se um dos funcionários de um fornecedor acidentalmente (ou deliberadamente) publicar os registros do cliente da empresa na Internet? Os contratos no nível de serviço não podem mitigar esses riscos. What are the risks to a bank, for example, if its core banking and payment systems do not perform as expected, become unavailable, or simply break down and remain unreliable for days or even weeks?
- The Risk Related to IT Projects and Investments. What risks does a company face if an IT project undertaken to meet a regulatory deadline is not delivered on time or if a project designed to seize a new market stalls for a year because the underlying IT systems do not perform as required?
- The Risk Related to Outsourced IT Activities. What are the risks to a company if a vendor’s data center is flooded or if the owner of the source code for one of its key applications goes out of business? What are the risks if some of the company’s hardware or software is compromised—or if one of a vendor’s employees accidentally (or deliberately) publishes the company’s customer records on the Internet? Service-level contracts cannot mitigate such risks.
- The Risk to a Company’s Reputation. What is the risk to the reputation of a bank or telecommunications company from a major, IT-driven gaffe in customers’ billing statements or from repeated website crashes?
- The Risk to Data Protection and
Privacidade. 2 2 Estritamente falando, isso faz parte do risco relacionado à segurança de TI, mas recebe tanta atenção ultimamente que vale a pena uma menção separada. Que riscos uma empresa de saúde enfrenta se os hackers tornarem públicos os registros de seus clientes? Qual é o risco se os dados de recursos humanos armazenados na nuvem acabarem em uma localização geográfica remota? O primeiro passo é identificar os riscos específicos que a empresa enfrenta em cada uma das seis categorias. O segundo passo é determinar qual das quatro estratégias para lidar com riscos - evacuação, transferência, mitigação ou absorção - aplicar a cada categoria de risco e risco específica e qual a melhor maneira de lidar com os riscos restantes (por exemplo, comprando seguro contra o impacto financeiro de um determinado risco primário ou residual). Em seguida, a empresa deve decidir a melhor forma de incorporar essas estratégias em sua maneira de trabalhar.
Organizations should strive to develop a unified, cohesive plan for addressing these risks. The first step is to identify the specific risks that the company faces in each of the six categories. The second step is to determine which of the four strategies for dealing with risk—avoidance, transfer, mitigation, or absorption—to apply to each specific risk and risk category and how best to handle any remaining risks (for example, by buying insurance against the financial impact of a given primary or residual risk). Then the company must decide how best to incorporate those strategies into its way of working.
Tipando as escalas a seu favor
Em nosso trabalho e segurança da informação com empresas em uma ampla gama de indústrias, incluindo bancos, seguros, defesa, aeroespacial, bens industriais, energia, matérias -primas, telecomunicações e logística. Eles incluem o seguinte:
- Pegue uma visão sistêmica e holística, em vez de uma visão baseada em componentes de seus sistemas e informações de TI e os riscos relacionados. Se sua empresa é um banco, por exemplo, em vez de se concentrar no tempo de uso do banco de dados, rede ou resposta à resposta de voz interativa (UVR), observe a disponibilidade de ponta a ponta do seu serviço bancário on-line voltado para o cliente (e considere corrigir uma interrupção de uma interrupção por meio de uma empresa de roteiro e os processos de gestão para o seu call center). Certifique-se de que, por exemplo, que a segurança de TI se torne parte integrante de suas práticas empresariais, codificações, testes e contratação, e que a conformidade com as políticas de segurança de TI da empresa faça parte do projeto (e a aprovação do orçamento ou a liberação do orçamento) desde o início. Tente quantificar o impacto financeiro de diferentes tipos de risco e classes de incidentes, incluindo custos relacionados ao tempo de inatividade dos negócios; esforços de recuperação e remediação; danos potenciais aos clientes, funcionários e reputação da empresa; e esforços de mitigação. Pense em quais riscos podem valer a pena absorver em vez de mitigar. Em vez disso, eles devem se esforçar para serem vistos como consultores para os negócios que - a longo prazo -, garantindo que os projetos atendam a todos os requisitos de segurança, ajudem a empresa a proteger informações e sistemas críticos de uma maneira economicamente sensata e, a curto prazo, ajudar os projetos a se esforçarem sem custo para a velocidade de inovação. Então, prepare -se de acordo. Sistemas de teste e sua capacidade de se recuperar regularmente; identificar vulnerabilidades; Projete procedimentos de operação de emergência e planos de resposta e
- Push to ensure that IT security and risk management processes and principles are incorporated into the company’s corporate processes by design rather than as an afterthought or bolt-on. Make sure, for example, that IT security becomes an integral part of your enterprise-architecture, coding, testing, and contracting practices, and that compliance with the company’s IT-security policies is part of the project (and the budget approval or budget release) process from the start.
- Again, ask yourself how much risk your business can afford rather than how much security can be gained for a given budget. Attempt to quantify the financial impact of different types of risk and classes of incident, including costs related to business downtime; recovery and remediation efforts; potential damage to customers, staff, and the company’s reputation; and mitigation efforts. Think about which risks might be worth absorbing rather than mitigating.
- Make sure that IT personnel focused on IT and information security do not act as naysayers. Rather, they should strive to be viewed as advisors to the business who—in the long run—by ensuring that projects meet all security requirements, help the company protect critical information and systems in an economically sensible way and, in the short run, help projects go through without any cost to innovation speed.
- Acknowledge the fact that, despite your best efforts, 100 percent security is not possible and a security breach of some type is likely inevitable. Then, prepare accordingly. Test systems, and their ability to recover, regularly; identify vulnerabilities; design emergency operating procedures and response plans and Teste -os. Faça algumas perguntas difíceis, como: podemos levar a empresa offline de maneira controlada, se necessário? Estamos realmente offline quando tomamos, digamos, a Europa offline, ou há algum canal traseiro para nossas operações da Ásia (por exemplo, um link de rede de failover de recuperação de desastres) em que ninguém pensou nesse contexto? Nossos departamentos de comunicação e relações públicos estão preparados para gerenciar os esforços de comunicação interna e externa necessários no caso de uma violação? (Ver "
- Use scenario planning and war-gaming to help identify security threats and process gaps and to design appropriate responses. (See “ Cenários de repensação: que diferença um dia faz , "Perspectivas do BCG, outubro de 2010.) Os exercícios de gestão de segurança de segurança de segurança são uma boa maneira de começar; as empresas avançadas não param por aí, mas testam em Vivo. Some Internet giants, for example, have departments tasked with bringing down their service in order to trigger a continually updated immune response, and many of our clients commission “ethical hacking” (also known as penetration testing) exercises, much as car manufacturers crash test their vehicles.
- Consider having your company’s IT risk-management capability assessed using a pragmatic, outcome-focused framework, such as the Innovation Value Institute’s IT Capability Maturity Framework. (See “ Gerenciando o valor comercial: o novo padrão de ouro , ”BCG Artigo, setembro de 2010.)
Sistemas imunológicos evoluíram ao longo de milhões de anos e oferecem informações sobre o que um
Programa eficaz de segurança cibernética corporativa
deve parecer. Por exemplo, eles identificam o que é "eu" e o que não é, reconhecendo um intruso, determinando como desativá -lo e continuando a aprender à medida que o intruso evolui. Eles trazem os recursos certos (por exemplo, um exército de células T) para a batalha. Sem dúvida, há muito mais a aprender com esses sistemas-e, dado o risco crescente que as empresas enfrentam, uma urgência cada vez maior para fazê-lo. Embora existam maneiras de girar as chances a seu favor, a maioria de nós terá uma dor de garganta eventualmente, por mais cautelosos que somos. Se isso causa apenas um pequeno desconforto ou tem consequências mais graves depende se você pegou um resfriado ou uma gripe total-bem como das condições ambientais que você pode influenciar, seu grau de preparação, a velocidade da sua reação e a profundidade de suas defesas. Para entender onde você está, peça ao seu médico uma verificação de saúde. E considere ver a segurança de TI da sua empresa verificada ao mesmo tempo. Diretor
No immune system (or cybersecurity effort) is 100 percent effective, however. While there are ways to tip the odds in your favor, most of us will come down with a sore throat eventually, no matter how cautious we are. Whether this causes only minor discomfort or has more severe consequences depends on whether you caught a cold or a full-blown flu—as well as on environmental conditions that you can influence, your degree of preparedness, the speed of your reaction, and the depth of your defenses. To understand where you stand, ask your physician for a health check. And consider having your company’s IT security checked at the same time.
