Важно еще организовать систему мониторинга утечек, чтобы об этом в чиле первых узнали вы а не миллионы клиентов. Чем бысирее вы увидите утечку тем быстрее примите меры по локализации уязвимости и тем быстрее примите антикризисные меры по пиару.

Ну да - мониторинг+план+реагирование+самообучение системы

Говоря отвлечено, Регламент это по сути уже некий План. В данном случа план действий на случай если... Так почему этот регламент не использовать как повод создать полноценный план действий в данном направлении? С описанием возможных рисков, кои будут нивелированы, затрат, которые окажутся не такими астрономическими и т.п.. Глядишь, руководство, почитав и решиться на полноценный шаг, а не на кастрированный.