Sposoby i zakresy badania dobieramy do wielkości, złożoności i cyber-dojrzałości organizacji. To, czego na pewno można się spodziewać, to analiza i ocena procesów zarządzania bezpieczeństwem oraz informatyką, testy bezpieczeństwa systemów i testy socjotechniczne.