یک روش مناسب برای مدل‌سازی این بخش امتیازدهی به ذی‌نفعان و انتخاب ضریب اهمیت برای انتظارات ایشان است. به طور مثال سازمان می‌تواند مشتریان خود را در مقایسه با تأمین کنندگان از امتیاز بالاتری برخوردار نماید. به طور معمول برای تعیین اهمیت ذی‌نفعان از ترکیب معیار میزان انگیزه یا علاقه‌مندی ذی‌نفع به موضوع (در اینجا امنیت اطلاعات) در کنار معیار توانایی اثرگذاری یا قدرت ذی‌نفع استفاده میگردد؛ به گونه‌ای که ذی‌نفعانی با بیشترین علاقه‌مندی و بیشترین توانایی اثرگذاری بالاترین اهمیت را دارا خواهند بود و کمترین اهمیت به ذی‌نفعانی با حداقل علاقه‌مندی و حداقل اثرگذاری تعلق می‌گیرد. توصیه می‌شود میزان اهمیت ذی‌نفعان از بین اعداد 2 (اهمیت زیاد)، 1 (اهمیت متوسط) و 0.5 (اهمیت کم) در جدول زیر اختصاص داده شود؛ همچنین چنانچه انتظار یا نیازی از ذی‌نفعان با پیاده‌سازی ISMS در تناقض قرار می‌گیرد با اعداد منفی مشخص شود.

جمع بندی یافته‌ها و تعیین دامنه ISMS

با توجه به اطلاعات جمع‌آوری شده در گام‌های فوق، در این مرحله با تحلیل و نگاشت عوامل داخلی و خارجی شناسایی شده و همچنین انتظارات و نیازمندی‌های شناسایی شده ذی‌نفعان به بخش‌ها یا فرآیندهای سازمان، اولویت و امتیاز هر بخش برای قرارگیری در دامنه ISMS شناسایی می‌شود.

نیاز است با یک مطالعه تطبیقی، مؤثر بودن هر یک از عوامل داخلی و خارجی با بخش‌ها یا فرآیندهایی که شناسایی شده‌اند بررسی و امتیازدهی شود. بدیهی است که فرآیندها و بخش‌هایی که با عوامل از نوع ضرورت یا عوامل از نوع توانایی مثبت بیشتری مرتبط شوند از اولویت بالاتری برای قرارگیری در دامنه برخوردار خواهند بود.

همچنین باید انتظارات و الزامات گردآوری شده با مدل تفکیک سازمان به بخش‌های کوچک‌تر مطابقت داده شده و اثرگذاری هر یک از این انتظارات و الزامات بر بخش‌های سازمان تعیین شود. پر واضح است بخش‌هایی که در تناظر با الزامات بیشتری از ذی‌نفعان قرار دارند و با نیازمندی‌های کمتری در تعارض قرار می‌گیرند از اهمیت بیشتری برای ورود به دامنه، برخوردارند.

با در نظر گرفتن نتایج حاصل از گام اول و گام دوم، تمامی بخش‌های تفکیک شده سازمان را هم از منظر عوامل داخلی و خارجی و هم از منظر انتظارات ذی‌نفعان تحلیل و امتیازدهی شده‌اند و کافی است بخش‌های با امتیاز بالاتر را گزینش نموده و در دامنه سیستم مدیریت امنیت اطلاعات برای شروع بگنجانید.

توجه نمایید که هدف کلی در این حوزه اولویت‌بندی در احراز بخش‌های سازمان در دامنه سیستم است. در حقیقت مقوله امنیت اطلاعات همواره برای تمامی بخش‌ها و ارکان سازمان مؤثر و مفید است و به‌ دلیل محدودیت در منابع، سازمان‌ها به اجبار استقرار سیستم را از بخش‌های پراهمیت‌تر آغاز می‌نمایند. لذا این امکان وجود دارد که در نتایج مطالعات انجام گرفته هیچ بخشی از سازمان یافت نشود که امتیازی از امنیت اطلاعات نگرفته باشد؛ بلکه هدف تعیین یک سازوکار منطقی برای تعیین اولویت‌های زمانی و منابعی جهت ارتقا امنیت اطلاعات سازمان است. رویکرد مناسب در این خصوص، تدوین یک برنامه زمانی میان مدت (به طور مثال 5 ساله) جهت گسترش دامنه  ISMS از محدوده اولیه به کل ارکان سازمان است.