Чтож, придется тогда так, спасибо за рекомендации. Может подскажите, какую-то начальную стратегию? или можно начать с простого, а что будет если это выключить/изменить/раскрыть? и там уже самому интерпретировать
Попробуйте зайти выше: обозначьте важные процессы, требующие защиты в компании: продажи, поставки, производство, взаимодействие с клиентами и тд, далее идите к руководителям направлений и общайтесь на тему какая инфа или ресурс критичны, без чего работа встанет или будет ущерб - обговариваете крупно типы информации, ресурсов и далее уже линейные или сами пытабтся на основании этих деталей заполнить или как-то совместно. По идее это делает не спец поИБэ, а проджект, хотя тут от компании и масштаба.
Вторым параллельным потоком запускаете поиск информации, которую обязаны защищать по закону: ПДн, банковская тайна и тд. Тут важно ввести классификацию и понять что вообще есть, а дальше дополнительно тегировать то, что выявляется в первом потоке сбора