Легитимность применения DLP в организациях

Что из нормативной документации должно быть внедрено в организации, чтобы не было проблем с обоснованием выявленного с помощью DLP инцидента? Что делать, когда фактический с точки зрения служб ИБ «слив информации» - это не инцидент с точки зрения законодательства, так как не было факта разглашения (например, копирование информации на съемный носитель)? Подходы к реагированию на события, выявляемые DLP, их подтверждению в качестве инцидентов и расследованию.