企业安全如何开展？

如果一家企业的信息安全防护基本为空白，该如何开展安全工作，我考虑到的有三种：
1、直接对企业已知的安全漏洞进行安全手段防护，这种快速有效；
2、先进行企业威胁风险评估和检测，根据ISO27000系列和安全等保的要求一步步实施，最终形成安全体系和安全方法，这种时间较长，且需要一步步规划好；
3、前两种方法同时进行，既安全技术防护和安全体系建设同时进行，这种方式主要担心忙不过来；

对于安全体系建设，市面上不知道有没有比较好的安全企业能够引导甲方来做