Kolik by stálo narušení bezpečnosti
Vedení chce číslo. Dostane oskórovaný scénář, modelované rozpětí ztráty a plán ošetření na jednom záznamu.
Situace
Konkurenta minulý týden složil ransomware. Vedení chce na příští schůzi vaše číslo.
Co uděláte
- Oskórujte scénář v registru na škále pravděpodobnosti a dopadu, kterou metodika už pevně určuje.Risk register
- Modelujte ztrátu jako peněžní rozpětí — minimum, nejpravděpodobnější, maximum — odhad, nikdy ne předpověď.Risk quantification
- Otevřete Bow-Tie u nejvýše skórujících rizik, která už mají plán ošetření.Risk analytics
- Zapište ošetření k tomu riziku, ať jeden záznam drží skóre, rozpětí i plán.Treatment plans
Kde to skončí
Vedení slyší modelované rozpětí i s předpoklady — z registru, ne ze slidu.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Zavřete mezeru, kterou odhalil phishing
Míra prokliků není nález, dokud lidi za ní nezapíšete jmenovitě, neproškolíte a znovu neotestujete.
Situace
Pojišťovna se ptá, jak víte, že lidé phishing poznají. Všichni jednou v březnu zhlédli video.
Co uděláte
- Přečtěte si poslední kolo jmenovitě v doplňku pro osvětu: kdo klikl, kdo nahlásil.Security awareness
- Přidejte jména, která klikla, do školicí kampaně — jednotlivě, nebo po celých odděleních.Campaign detail
- Modul doručte odkazem v e-mailu, který nevyžaduje vůbec žádné přihlášení.Training portal
- Další simulaci naplňte rizikovými jmény, která vyplynula z minulého kola.Phishing wizard
Kde to skončí
Devatenáct lidí, kteří klikli, dokončí modul; další kolo čte Phish-Prone % u týchž jmen.
Phishing simulationsTraining campaignsTraining portal
Váš první certifikační audit
První certifikace je hlavně o pořadí: cyklus musí existovat dřív, než na něm může viset jediný nález.
Situace
Devět týdnů do auditu Stage 2, kterým tu nikdo nikdy neprošel. Seznam mezer je tabulka. Důkazy leží ve schránkách.
Co uděláte
- Převezměte rámec z katalogu a jeho kontroly namapujte na ty, které už provozujete.Compliance standards
- Otevřete cyklus pro certifikaci, pověste na něj sadu dokumentů a na konci nahrajte certifikát.Audit cycles
- Každou mezeru vzneste proti tomu cyklu jako nález — vlastník, plán, cílové datum.Findings
- Kontroly, které auditor vzorkuje, navažte na testy odpovídající bez screenshotu.Continuous compliance
Kde to skončí
Certifikát přistane na záznamu cyklu a každá vzorkovaná kontrola odpovídá z testu, ne ze schránky.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
Kritický dodavatel, ještě před podpisem
Dodavatel odpoví dřív než smlouva — oskórované odpovědi, mezery jako úkoly, datum revize už v kalendáři.
Situace
Nákup má připraveného mzdového poskytovatele k podpisu. Bude držet záznamy všech zaměstnanců; nikdo mu nepoložil jedinou otázku.
Co uděláte
- Založte záznam dodavatele v doplňku TPRM: smlouva, kontakty, mzdová data, která bude držet.Vendors
- Vyptejte se poskytovatele přes odkaz — na jejich straně žádný účet, na vaší nikoho nehoníte.Vendor questionnaire
- Každou slabou odpověď dořešte jako úkol s vlastníkem a termínem.Tasks
- Nastavte termín další revize hned, dokud nákup ještě dává pozor.Reassessment policy
Kde to skončí
Podepisujete proti oskórovanému dotazníku a datované příští revizi, ne proti obchodní schůzce.
Vendor registerVendor questionnairesReassessment policy
Záznam, který potřebuje pondělí
Požár uhasl v sobotu. Nikde se nezapsalo, kdo ho vlastnil, kdo ho převzal a jak se uzavřel.
Situace
Stalo se to o víkendu. V pondělí chce někdo vědět, co se rozbilo, kdo to spravil a jestli se to může opakovat.
Co uděláte
- Založte incident, jmenujte vlastníka a rozjeďte časovou osu, dokud jsou detaily čerstvé.Incident journal
- V doplňku SOC přidělte jmenovaného analytika — přehled ukáže, kdo je už vytížený.Analyst workload
- Otevřený případ předejte přes hranici směny písemně, s potvrzením na obou stranách.Shift handover
- Incident ukončete datovaným zápisem, který říká, jestli se to může stát znovu.Incident detail
Kde to skončí
Pondělní otázka se zodpoví ze záznamu — datovaný zápis, ne něčí vzpomínka.
Incident journalCase managementShift handoverLessons learned
Obchod vázne na dotazníku
180 otázek mezi vámi a podpisem. Odpovězte z knihovny, ověřte úspěšnost testů a zveřejněte, co zodpoví další dotazník.
Situace
Obchod slíbil odpověď do pátku. Zájemce poslal 180 otázek, polovinu z nich jste minulé čtvrtletí zodpověděli někomu jinému.
Co uděláte
- Otevřete žádost v doplňku TPRM: 180 otázek, většinu z nich už jste někomu zodpověděli.Assessment responses
- Použijte uloženou odpověď z knihovny a upravte ji tam, kde se formulace zákazníka liší.Assessment responses
- Přečtěte si úspěšnost testů u kontrol, o které se odpověď opírá.Control Assurance
- Zveřejněte standardy, politiky a kontroly za NDA bránou pro toho, kdo se zeptá příště.Trust Center
Kde to skončí
Další zájemce si stránku za NDA přečte sám. Obchod čeká na nákup, ne na váš pátek.
Inbound TPRMControl AssuranceTrust Center
Doložte otestovaný plán kontinuity
Nejdřív obnovte data o dopadech, ať test doloží cíle obnovy, které byznys letos skutečně potřebuje.
Situace
Nákup zákazníka se ptá, kdy jste naposledy testovali obnovu. Poctivá odpověď je štábní cvičení, které si nikdo nezapsal.
Co uděláte
- V doplňku BCDRP obnovte odpovědi o dopadech od vlastníků procesů, na letošních číslech.BIA campaigns
- Projděte validační checklist plánu dřív, než test začne cokoli předpokládat.Disaster recovery plans
- Spusťte test podle rozvrhu, který jste nastavili, a každý nález zapište přímo k běhu.Plan tests
- Další e-mail od nákupu zodpovězte skóre připravenosti, s datovaným posledním během pod ním.Command Center
Kde to skončí
Odpovědí je datovaný běh testu s přiloženými nálezy, ne plán schválený před dvěma lety.
BIA campaignsContinuity plansPlan testsCommand Center
Auditoři přijedou se seznamem
Až přistane seznam žádostí, účet, důkazy i nálezy už mají své místo.
Situace
Auditorská firma chce přístup a seznam čtyřiceti žádostí, tři dny před začátkem prací na místě.
Co uděláte
- Nechte administrátora vydat auditorské firmě vlastní účet jen pro čtení, na tuhle zakázku.Roles and permissions
- Nasměrujte firmu na cyklus, kde každý požadavek nese důkaz, který na něj odpovídá.Audit cycles
- Každou žádost zapište jako úkol s vlastníkem, viditelný tam, kde tým už pracuje.Tasks
- Nález odškrtněte až poté, co projde ověřovací krok.Findings
Kde to skončí
Čtyřicet žádostí se uzavře uvnitř záznamu cyklu — poslední na plán zbývá závěrečná schůzka.
Read-only accessAudit cyclesPBC requestsFindings review
Plán a rozpočet na příští rok
Každé číslo, které dorazí na finance, se dohledá zpět k ohodnocené mezeře, naceněné iniciativě a schválené rozpočtové položce.
Situace
Plánování začíná v říjnu. Loňské požadavky vzešly z toho, kdo se v místnosti nejvíc hádal. Finance nezapomněly.
Co uděláte
- Ohodnoťte program jedním z pěti rámců vyspělosti — orientační úrovně, ne formální audit.Maturity frameworks
- Mezeru převeďte na pilíře a cíle s KPI a pak naceňte iniciativy, které je naplní.Security strategy
- Založte rozpočtové položky na rok a každou protáhněte vlastním schválením.Security budget
- Jednostránkové shrnutí vezměte na schůzi, kde se to číslo obhajuje.Executive summary
Kde to skončí
Jeden rámec ohodnocený z pěti dostupných, každá iniciativa naceněná, každá rozpočtová položka schválená jmenovaným schvalovatelem.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary