Una piccola impresa è un'azienda con personale, budget o capacità operativa limitati. In ambito di sicurezza informatica, le dimensioni non rendono un'organizzazione sicura; spesso significano meno difensori, una formazione meno formale e meno tempo per monitorare account e sistemi. Gli aggressori prendono spesso di mira le piccole aziende perché sono raggiungibili, non perché siano famose.
Nelle attacchi reali, le piccole imprese vengono spesso colpite tramite phishing, furto di password, frodi sulle fatture o ransomware distribuito tramite account di posta elettronica e cloud. Le difese si concentrano su basi pratiche: autenticazione a più fattori, controllo degli accessi, backup, aggiornamento delle patch e una semplice pianificazione della risposta agli incidenti. La cyberassicurazione può aiutare con i costi di ripristino, ma non sostituisce i controlli di sicurezza.