На эти и другие вопросы мы постараемся ответить вам в рамках данной темы.

Для начала ответим на первый вопрос:
Первое и самое важное, что вы должны сделать - это поставить перед собой цель. Ответы на вопросы "Что мы хотим сделать? Какие результаты мы должны получить?" будут во многом определять все последующие работы, проводимые во время этого сложного процесса.
После постановки цели определите Ваши возможности. Какие финансовые, вычислительные, трудовые и т.д. ресурсы у Вас имеются? Полный комплекс работ по приведению ИСПДн к требованиям текущего законодательства, зачастую оказывается не дешевым удовольствием.
Далее необходимо четко сформулировать цели и задачи, временные рамки выполнения, расходуемые ресурсы на данный процесс. Это позволит не только упорядочить работу, но и точно донести Ваши требования до исполнителей, что предотвратит случаи повторного выполнения работ из-за "недопонимания".
После следует переходить к процессу сбора сведений о информационной системе организации.