เริ่มจากสิ่งที่องค์กรต้องปกป้อง
ทำรายการระบบ บัญชีผู้ใช้ ข้อมูล และผู้ให้บริการที่ธุรกิจพึ่งพา แล้วจัดลำดับตามผลกระทบหากใช้งานไม่ได้หรือข้อมูลรั่วไหล รายการนี้ทำให้การลงทุนด้านความปลอดภัยสัมพันธ์กับความเสี่ยงจริง
ควบคุมบัญชีและการเข้าถึง
ใช้การยืนยันตัวตนหลายขั้นตอน แยกสิทธิ์ผู้ดูแลระบบ ยกเลิกบัญชีที่ไม่ใช้งาน และทบทวนสิทธิ์เป็นระยะ มาตรการพื้นฐานเหล่านี้ลดเส้นทางโจมตีที่พบได้บ่อยโดยไม่ต้องเริ่มจากเครื่องมือราคาแพง
เตรียมกู้คืนและรับมือ
การสำรองข้อมูลต้องทดสอบการกู้คืนจริง และองค์กรควรรู้ว่าใครตัดสินใจ ใครสื่อสาร และใครดูแลระบบเมื่อเกิดเหตุ แผนสั้น ๆ ที่เคยซ้อมมีประโยชน์มากกว่าเอกสารยาวที่ไม่มีใครเคยใช้