1) Если под ИБ понимается "контроль работы персонала", то ставите на всех юзверей
2) Если под ИБ понимается "защита данных от утечки и т.п.", то проводите аудит рисков и уже там будет понятно от чего надо защищаться => какие конкретные действия надо сделать.