情報資産の種別とリスク定義 取り扱っている情報資産としてどのような種類のものがあるか？ 漏洩した場合のリスクやインパクトが定義されているか？ それらが働き方の変化や運用形態に即したものになっているか？ 従業員が理解できる形になっているか? これらを再確認し、再定義する必要がある。
機密区分が再定義 マル秘、機密 などの情報資産の機密区分が、適切に定義されているか？ 形骸化したものになっていないか？ 従業員が理解できているか？ について再確認し、社員が理解できる形で定義をし直す、同時に啓蒙施策も含めて検討を行う必要がある。
機密保持ルール、保存場所ルール 文書の保管場所や、ファイルの保存先、文書に対するラベル付け、暗号化、社外への転送に関するルールなど、機密区分に応じて設定されるべき。これらが現時点でどのようになっているか？ 運用に即したものになっているか? 形骸的なものになっていないか？ 働き方の変化に対応できているか？など再確認して検討する必要がある。
情報漏洩ルートの特定 社員や協力会社社員が、社内から情報を不正に持ち出す際のルートにどのようなものがあるかを把握し、ルールに応じて現時点でどのような対策がされているか？ 抜け道はないか？リスクをどのように回避するかを確認しておく必要がある。
モニタリングシナリオ策定 社員や協力会社社員による内部不正、情報漏洩を現時点でどのようにモニタリングしているか？ 懲罰ルールは整備されているか? を確認する。今後のモニタリング施策としてどの部署、どのような頻度、どんなモニタリングを行っていくか検討していく。