Насчет почитать - сложно, потому как законы нужно читать(а они сложны для помнимания), консультант+ в помощь. И на хабре было несколько статей.
Проводишь аудит обработки персональных данных(какие данные, что с ними делается, куда передаются, где хранятся и тд), составляешь модель угроз, далее определяешь уровень защищенности. На каждое действие - документы(акты).
Проводишь аудит всех систем по обработке/передаче/хранению ПД. Если существующие средства защиты не подходят под уровень защищенности - доделываешь.
С виндой - по большому счету - пофик, главное закрыть все "недокументированные возможности".
ispdn.ru тут на форуме много обсуждений, даже с примерами актов.
