> Спасибо за ответ и потраченное время, нет это не моя инициатива-это у
> нас отдел есть по защите информации
> они решили что то подобное закуралесить, но удалось их отговорить.

Сама их инициатива, возможно, здравая.
Есть довольно простой на словах, но иногда трудноразличимый на практике принцип. Пусть условный потребитель (клиент, начальник, ИБ, ЗИ, регулятор) решает "что", но оставит условному поставщику (ответственному, исполнителю) решать "как". Я потому и говорил про цели и пограничные условия, оттуда надо плясать.