מנהל מערכות מידע בארגון מסוים, רוצה להעלות את רמת אבטחת המידע. כצעד ראשון הוא רוצה לשפר רק את בקרת הגישה. מה מהצעדים הבאים סביר הוא עשוי לעשות כחלק מצעד זה?