Olha, primeiro é pensar que voce sempre vai ter que escalar as coisas. Entao cada fez vai precisar adotar praticas mais seguras. Eu de cara ja pensei em um firewall e um DNS. Depois um AD , file server e email corporativo.
Isso já vai ajudar você a ter muita mais controle sobre o que o pessoal faz na rede.

Depois deste básico, seria bom adotar um cultura de senhas bacana, realizar campanha de segurança de dados, realizar um estudos das ferramentas utilizdas no dia a dia para evitar exposição de dados (como àqueles conversores de PDF), segregação de redes....

Muitas coisas podem ser exploradas.
O mais interessante e mostrar como a segurança de dados é importante para aquele chefe que nunca imaginaria quando perigoso e clicar num link enviado por e-mail.