Вы сами перечислили главные триггеры: быстрый рост, удаленка и внешние подрядчики. Обычно в такие моменты инфраструктура разрастается хаотично, и появляются «слепые зоны», о которых никто не помнит, пока не грянет гром. Ждать первого инцидента точно не стоит — простой бизнеса и восстановление данных обойдутся в разы дороже превентивной проверки. Недавно читал хороший материал, где подробно разбирается, как именно аудиторы ищут такие уязвимости при масштабировании бизнеса. Вот ссылка на статью https://metallicheckiy-portal.ru/articles/avtomatizacia/audit_informacionnoi_bezopasnosti_vzglad_na_kompaniy_glazami_togo_kto_ishet. Посмотрите, поможет структурировать мысли перед тем, как писать ТЗ для проверяющих.