1.Визначення стану інформаційної системи компанії.

Результатом даного етапу має бути розробка Концепції захисту інформаційної системи компанії.

2. Розробка та затвердження пакету нормативних актів захисту інформації у компанії.

Підкреслимо, що даний етап повністю реалізовується на основі першого етапу. Результатом даного етапу є юридичне оформлення наступних документів:

-  Типове положення про інформацію на підприємстві

-  Положення про комерційну таємницю підприємства та правила її збереження

-  Наказ про визначення відомостей, які складають комерційну таємницю підприємства

-  Методика визначення відомостей, які складають комерційну таємницю підприємства

- Службова записка про включення інформації до «Переліку відомостей, які складають комерційну таємницю підприємства»

-  Наказ про затвердження Переліку відомостей, що складають комерційну таємницю підприємства.

-  Положення про дозвільну систему доступу співробітників підприємства та представників сторонніх організацій до відомостей, які складають комерційну таємницю підприємства

-  Договір про захист комерційної інформації (про конфіденційність)

-  Зобов’язання співробітника підприємства про збереження комерційної таємниці

-   Зобов’язання – попередження про збереження комерційної таємниці при звільненні з підприємства

-  Угода про конфіденційність з відвідувачем підприємства

-  Інструкція по організації і веденню на підприємстві діловодства документів, що містять комерційну таємницю.

3. Впровадження організаційно-технічних заходів захисту інформаційної системи компанії.

Результатом даного етапу є інсталяція програмних продуктів та їх інтеграція в інформаційну систему.

По мірі того, як у компанії складалася концепція розвитку бізнесу,  вирізнилися три основних концептуальних напрямки або «фокусні крапки» у діяльності конкурентної розвідки:

1. Яким чином можна одержати додаткові інновації для досягнення поставлених цілей?

2. Яким чином компанія може виявити потенціал співробітників, їхні знання та ідеї і використовувати все це на практиці?

3. Яким чином з максимальною повнотою використовувати потенціал нових інформаційних технологій у сфері комунікацій (як усередині компанії, так і зовні), щоб досягти найбільшого результату?

ІТ – стратегія: зони прийняття рішень

Принципи ІТ	Визначення основоположних принципів використання ІТ в компанії.
Стратегія інфраструктури ІТ	Сфера визначення стратегії формування основи для ІТ можливостей (технічних можливостей персоналу, розподілених у межах компанії та централізовано керованих). Стратегія у сфері базових ресурсів, що фінансуються з бюджету (технічних і кадрових), розділених у масштабах фірми і координованих централізовано (наприклад, ж служби підтримки і розподілу даних).
Архітектура ІТ	Мається на увазі інтегрований набір технічних можливостей для задоволення виробничих потреб організації. Архітектура – набір норм і правил, керуючих управлінням ІТ і таких, що визначають підходи для ведення бізнесу (включаючи дані, технології, пропозиції).
Потреби у бізнес-додатках	Визначення бізнес-додатків, які необхідно придбати чи розробити у компанії.
ІТ-інвестиції	Прийняття рішень відносно розмірів та напрямків інвестицій в ІТ, включаючи затвердження проектів та методики їх реалізації.

У своїй книзі «Business at the Speed of Тhоught» «Бізнес зі швидкістю думки», Білл Гейтс писав: «Я абсолютно переконаний у простій, але ефективній істині. Найкращий спосіб виділитися з кола конкурентів і відірватися від них — це висококласне використання інформації. Те, як ви збираєте інформацію, керуєте інформацією і використовуєте її, визначає, чи досягнете ви успіху чи потерпите поразку. Інформаційні потоки — це система кровообігу вашої корпорації, тому що вони дозволяють вам домогтися максимальної віддачі від ваших співробітників і вчитися у споживачів вашої продукції».

Можна дати кілька загальних зауважень щодо створення системи інформаційної безпеки підприємства. По-перше, фізична захищеність організації має розглядатися у тісній взаємодії з інформаційною. Однак ототожнювати їх не слід, адже заволодіти таємницями компанії сьогодні можна і не проникаючи в приміщення за міцними стінами. Досить потрапити в інформаційну систему, щоб отримати потрібні дані, вивести з ладу елементи корпоративної мережі або заблокувати доступ до інформаційних ресурсів.

По-друге, захист “всього й від усіх” не є раціональним і навряд чи принесе очікувані результати. Слід чітко визначити, яку інформацію потрібно оберігати в першу чергу й від кого. Для цього проводять аналіз можливих шляхів реалізації навмисних і випадкових атак, розробляють модель потенційного порушника, яка враховує його кваліфікацію, наявні засоби для здійснення атак, час дії, та прогнозують потенційні збитки.

По-третє, у середовищі, де людський фактор становить чи не найбільшу загрозу, особливо актуальним стає метод “батога і пряника”. Йдеться про те, що організаційні та адміністративні заходи варто поєднувати з соціально-психологічними. Перші передбачають створення необхідної правової бази шляхом розробки організаційно-розпорядчих документів, на яких будується діяльність служб безпеки й відділів захисту інформації. Заходи ж соціально-психологічного характеру складаються з двох основних напрямів: правильного підбору кадрів і застосування матеріальних та моральних стимулів. За даними західних фахівців, від правильного підбору та стимулювання персоналу щонайменше на вісімдесят відсотків залежить збереження корпоративних таємниць. Одними з першочергових завдань досвідченого керівника вважають створення сприятливого соціально-психологічного клімату всередині організації, зниження плинності кадрів, формування “фірмового патріотизму”. Не варто нехтувати впровадженням справедливої системи матеріальних винагород, створенням можливостей для професійного росту та для участі персоналу в прийнятті рішень. Тільки отримуючи максимальне задоволення від своєї роботи, працівник здатен виконувати свої обов’язки найбільш плідно.