Могу лишь сказать что на эту тему была (как мне показалось) хорошая статься в начале 2008 года в журнале "КомпьютерПресс". Там давались общие рекомендации как начать.Но касалось там больше разработки концепций информационной безопасности. Быть может вам поможет. А что бы продуктивне ответить -уточните вопрос.