Информационная безопасность, да и не только она начинается с аналитики. Для начала орг-штатную структуру предприятия, какие есть отделы, чем они занимаются, затем соберите всю информацию о ЛВС предприятия, что куда и откуда. На основе полученных данных уже можно начать прикидывать, в каких зонах контроля будут находится у вас сотрудники этих отделов. Затем не плохо было бы прописать свои права и обязанности как Администратора ИБ(приказ или распоряжение руководителя). Затем прикидывать бюджет. И не забывать что ИБ это не разовые мероприятия, а процесс.