מתחילים מהצורך העסקי. האם לקוח ממתין לדוח SOC 2? האם חוזה מחייב הסמכת ISO 27001? האם המטרה היא לנהל אבטחת מידע בארגון כולו או לספק ביטחון לגבי שירות מסוים?
מבררים היקף וזמנים
שאלו אילו שירותים, מוקדים ומערכות צריכים להיכלל, איזה סוג בדיקה מתקבל ומתי הוא נדרש. בדקו את זמינות האנשים והראיות לפני התחייבות למועד.
לא מתחילים שתי תוכניות באופן אוטומטי
בקרות רבות יכולות לתמוך בשתי המסגרות, אבל לא תמיד צריך להתכונן לשתיהן מיד. בחרו את הצעד הראשון לפי הדרישה, ובנו את העבודה כך שיהיה אפשר להשתמש בה גם בהמשך.