۱. جمع‌آوری اطلاعات و شناخت سازمان

• شناسایی دارایی‌های حیاتی (Critical Assets)

• طبقه‌بندی داده‌ها (Data Classification)

• درک نیازمندی‌های کسب‌وکار و محدودیت‌ها

۲. اعتبارسنجی و تحلیل وضعیت موجود

• بررسی مستندات، توپولوژی‌ها و کنترل‌های فعلی

• تحلیل شکاف‌های امنیتی (Gap Analysis)

۳. مصاحبه با ذی‌نفعان

• استخراج دغدغه‌ها، نیازها و ریسک‌های پنهان

• هم‌راستاسازی دیدگاه فنی و مدیریتی

۴. بازبینی پروژه‌ها و معماری‌های قبلی

• تحلیل سوابق اجرایی

• شناسایی ضعف‌های تکرارشونده

۵. ارزیابی الزامات بالادستی و انطباق

• بررسی الزامات قانونی و حاکمیتی

• تطبیق با استانداردهایی مانند ISO 27001، NIST و CIS

۶. آینده‌نگری و طراحی هدف (Future-State Design)

• تحلیل برنامه‌های توسعه سازمان

• طراحی معماری امن مقیاس‌پذیر و قابل توسعه

۷. ارزیابی ریسک امنیت سایبری

• شناسایی تهدیدات و سناریوهای حمله

• تحلیل احتمال و اثر

• اولویت‌بندی ریسک‌ها