Una vez que se han identificado los activos críticos, hay que determinar si estos sistemas cumplen con las mejores prácticas de seguridad, comprender cómo funcionan en la red y quién respalda la tecnología dentro de la empresa. En caso necesario, habría que actualizar o cambiar aquellos que supongan un riesgo.

Actualmente existen multitud de marcos normativos y legales que respaldan la estrategia de ciberseguridad de una empresa. Los más habituales son el cumplimiento de RGPD en materia de protección de datos o la normativa ISO270001 en lo referentes a activo y sistemas de información. En buena medida el análisis de riesgos y vulnerabilidades ayudará a determinar el marco que la organización debe cumplir y brindará orientación sobre los controles de medición y monitorización que se llevarán a cabo a posteriori.

Un enfoque proactivo posibilita que la organización identifique y analice los riesgos antes de que ocurran. Algunos de elementos que se incluye en un plan de este tipo son:

• Política de privacidad de datos: establece la gobernanza en torno al manejo de los datos corporativos.
• Política de retención: Describe cómo se deben almacenar o archivar varios tipos de datos corporativos, dónde y durante cuánto tiempo.
• Plan de respuesta a incidentes: Establece las responsabilidades y los procedimientos para garantizar una respuesta rápida, eficaz y ordenada a los incidentes de seguridad.