Thu thập dữ liệu từ 23 chuyên gia an ninh thông tin thuộc 9 công ty trong 9 ngành khác nhau.

   - Áp dụng 5 bước của grounded theory: phỏng vấn mở → mã hóa mở → mã hóa trục → mã hóa chọn lọc → xây dựng lý thuyết.

   - Mô hình gồm 14 giai đoạn (categories) như: môi trường bên ngoài, cấu trúc tổ chức, phân tích mối đe dọa, đánh giá hiện trạng bảo mật, phân tích khoảng cách, xác định năng lực cần thiết, phân tích và lựa chọn phương án, thử nghiệm, ra quyết định, khởi động, lập kế hoạch, triển khai.

   - 16 khái niệm (concepts) như: quản lý rủi ro, người ra quyết định, biến số quyết định, tuân thủ bảo mật, nhận thức bảo mật, chính sách tổ chức, lợi thế cạnh tranh, kỳ vọng khách hàng.

   - Mỗi giai đoạn có mối liên hệ động với các khái niệm, tạo thành 14 mệnh đề (propositions) mô tả quá trình ra quyết định.

   - Các yếu tố ảnh hưởng mạnh nhất: người ra quyết định (J), quản lý rủi ro (I), mối đe dọa bảo mật (H), ngân sách và ưu tiên (D), nhận thức bảo mật (F).

   - Giai đoạn trung tâm nhất là “xác định năng lực cần thiết” (category 6), liên kết với 8 khái niệm.

   - Đề xuất danh sách hoạt động cải thiện quá trình ra quyết định như: phân tích quyết định quá khứ, lập kế hoạch dài hạn, tổ chức hội thảo, mời chuyên gia, xây dựng hệ thống hỗ trợ quyết định (DSS).

   - Mô hình có thể dùng làm công cụ thực hành cho CISO, CRO, nhà tư vấn, nhà cung cấp giải pháp bảo mật.