На цьому етапі визначаються основні цілі, обсяг аудиту та ресурси. Основні дії: Формування мети аудиту (наприклад, виявлення ризиків чи перевірка відповідності стандартам). Ідентифікація ключових інформаційних активів та процесів. Складання плану аудиту із зазначенням термінів, відповідальних осіб та використовуваних інструментів. Результат: створення плану аудиту.

Проводиться аналіз існуючих політик, процедур та стану безпеки. Основні дії: Збір інформації про поточну систему захисту даних. Аналіз наявної документації (політики, стандарти, звіти). Інтерв'ювання ключових співробітників. Результат: розуміння поточного стану інформаційної безпеки.

Проводяться практичні заходи для оцінки ефективності системи безпеки. Основні дії: Проведення тестів на проникнення (penetration testing). Аналіз журналів подій (логів) та моніторинг систем. Виявлення технічних та організаційних вразливостей. Результат: ідентифікація слабких місць у системі.

На основі зібраної інформації здійснюється аналіз загроз та оцінка ризиків. Основні дії: Визначення загроз та їх впливу на інформаційні активи. Класифікація ризиків за ступенем ймовірності та потенційною шкодою. Визначення критичних зон для негайного втручання. Результат: звіт з переліком ризиків та вразливостей.

Після аналізу ризиків пропонуються конкретні кроки для їх мінімізації. Основні дії: Формулювання рекомендацій щодо посилення захисту. Розробка плану впровадження змін. Пріоритизація заходів відповідно до критичності ризиків. Результат: перелік рекомендацій та план дій.

Фінальний етап полягає у документуванні результатів аудиту та передачі рекомендацій керівництву. Основні дії: Підготовка звіту з викладенням виявлених вразливостей та запропонованих рішень. Презентація звіту зацікавленим сторонам. Початок впровадження рекомендацій. Результат: фінальний звіт і стратегія поліпшення системи безпеки.