Думаю прежде чем задавать вопрос "как?", стоит ответить на вопрос "что?".
Проведите "мелкий" аудит:
- Идентификация информационных активов
- Идентификация угроз активам
- Оценка рисков
-
... и вот теперь... Выбор мер для снижения рисков.
Об этом можно почитать подробнее в серии стандартов ISO 27000, а начать можно от
сюда.