Was ein Sicherheitsvorfall kosten würde
Der Vorstand will eine Zahl. Er bekommt ein bewertetes Szenario, eine modellierte Schadensspanne und eine Behandlung auf einem Datensatz.
Die Situation
Vergangene Woche traf Ransomware einen Wettbewerber. Der Vorstand will Ihre Zahl in der nächsten Sitzung.
Was Sie tun
- Bewerten Sie das Szenario im Register, auf der Skala für Wahrscheinlichkeit und Auswirkung, die die Methodik vorgibt.Risk register
- Modellieren Sie den Schaden als Währungsspanne: Minimum, wahrscheinlichster Wert, Maximum. Eine Schätzung, keine Prognose.Risk quantification
- Öffnen Sie die Bow-Tie-Ansicht für die höchstbewerteten Risiken, die bereits einen Behandlungsplan tragen.Risk analytics
- Halten Sie die Behandlung am Risiko fest, damit ein Eintrag Bewertung, Spanne und Plan trägt.Treatment plans
Wo es endet
Der Vorstand hört eine modellierte Spanne samt Annahmen — aus dem Register, nicht von einer Folie.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Die Phishing-Lücke schließen
Eine Klickrate ist erst ein Finding, wenn die Namen dahinter eingeschrieben, geschult und erneut getestet werden.
Die Situation
Ihr Versicherer fragt, woher Sie wissen, dass Mitarbeitende Phishing erkennen. Alle sahen einmal ein Video, im März.
Was Sie tun
- Lesen Sie die letzte Runde im Security-Awareness-Add-on namentlich: wer klickte, wer meldete.Security awareness
- Fügen Sie die Klickenden einer Schulungskampagne hinzu — einzeln oder als ganze Abteilung.Campaign detail
- Liefern Sie das Modul über einen E-Mail-Link aus, der kein Login verlangt.Training portal
- Speisen Sie die nächste Simulation mit den Hochrisiko-Namen der letzten Runde.Phishing wizard
Wo es endet
Neunzehn Klickende schließen je ein Modul ab; die nächste Runde misst Phish-Prone % an denselben Namen.
Phishing simulationsTraining campaignsTraining portal
Ihr erstes Zertifizierungsaudit
Die erste Zertifizierung ist vor allem Reihenfolge: Der Zyklus muss existieren, bevor ein einziges Finding daran hängen kann.
Die Situation
Neun Wochen bis zu einem Stage-2-Audit, das hier niemand kennt. Die Gap-Liste ist eine Tabelle. Die Belege liegen in Postfächern.
Was Sie tun
- Übernehmen Sie das Framework aus dem Katalog und mappen Sie seine Controls auf Ihre bestehenden.Compliance standards
- Öffnen Sie den Zyklus zur Zertifizierung, hängen Sie die Dokumente daran, laden Sie zuletzt das Zertifikat hoch.Audit cycles
- Erfassen Sie jede Lücke am Zyklus als Finding — Verantwortliche, Plan, Zieldatum.Findings
- Koppeln Sie die Controls, die der Auditor prüft, an Tests, die ohne Screenshot antworten.Continuous compliance
Wo es endet
Das Zertifikat landet am Zyklus, jedes geprüfte Control antwortet aus einem Test statt aus einem Postfach.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
Ein kritischer Lieferant, vor Vertragsschluss
Der Lieferant antwortet vor dem Vertrag — bewertete Antworten, Lücken als Aufgaben, ein Prüftermin steht schon im Kalender.
Die Situation
Der Einkauf will einen Payroll-Dienstleister unterschreiben. Er hält künftig jeden Personaldatensatz; gefragt hat ihn niemand etwas.
Was Sie tun
- Legen Sie den Lieferanten im TPRM-Add-on an: Vertrag, Kontakte, die Gehaltsdaten, die er hält.Vendors
- Befragen Sie den Anbieter über einen Link — kein Konto bei ihm, kein Nachlaufen bei Ihnen.Vendor questionnaire
- Verfolgen Sie jede schwache Antwort als Aufgabe mit Verantwortlichem und Fälligkeitsdatum.Tasks
- Setzen Sie den Termin für die nächste Prüfung jetzt, solange der Einkauf noch hinsieht.Reassessment policy
Wo es endet
Sie unterschreiben gegen einen bewerteten Fragebogen und einen datierten Folgetermin, nicht gegen ein Vertriebsgespräch.
Vendor registerVendor questionnairesReassessment policy
Das Protokoll, das Montag braucht
Am Samstag war das Feuer aus. Nie festgehalten wurde, wer zuständig war, wer übernahm, wie es endete.
Die Situation
Es passierte am Wochenende. Am Montag will jemand wissen, was ausfiel, wer es behob, ob es wiederkommen kann.
Was Sie tun
- Öffnen Sie den Incident, benennen Sie einen Verantwortlichen, beginnen Sie die Zeitleiste, solange Details frisch sind.Incident journal
- Weisen Sie im SOC-Add-on einen Analysten namentlich zu — das Board zeigt, wer bereits ausgelastet ist.Analyst workload
- Übergeben Sie den offenen Case schriftlich über die Schichtgrenze, bestätigt auf beiden Seiten.Shift handover
- Schließen Sie den Incident mit einer datierten Auswertung, die sagt, ob er wiederkommen kann.Incident detail
Wo es endet
Die Montagsfrage beantwortet sich aus dem Protokoll — eine datierte Auswertung, nicht jemandes Erinnerung.
Incident journalCase managementShift handoverLessons learned
Ein Abschluss hängt am Fragebogen
180 Fragen bis zur Unterschrift. Antworten aus der Bibliothek, Bestehensquote prüfen, veröffentlichen, was die nächste Anfrage beantwortet.
Die Situation
Der Vertrieb hat Freitag zugesagt. Der Interessent schickte 180 Fragen, die Hälfte davon letztes Quartal schon beantwortet.
Was Sie tun
- Öffnen Sie die Anfrage im TPRM-Add-on: 180 Fragen, die meisten schon einmal beantwortet.Assessment responses
- Verwenden Sie die gespeicherte Antwort aus der Bibliothek erneut, angepasst an die Formulierung des Kunden.Assessment responses
- Lesen Sie die Bestehensquote der Controls, auf die sich die Antwort stützt.Control Assurance
- Veröffentlichen Sie Standards, Richtlinien und Controls hinter einer NDA-Schranke für den nächsten Anfragenden.Trust Center
Wo es endet
Der nächste Interessent liest die NDA-geschützte Seite allein. Der Abschluss wartet auf den Einkauf, nicht auf Ihren Freitag.
Inbound TPRMControl AssuranceTrust Center
Den Test des Continuity-Plans belegen
Zuerst die Impact-Daten auffrischen, damit der Test Wiederanlaufziele belegt, die das Geschäft dieses Jahr wirklich braucht.
Die Situation
Der Einkauf eines Kunden fragt, wann Sie zuletzt den Wiederanlauf getestet haben. Ehrlich: ein Tabletop, den niemand aufschrieb.
Was Sie tun
- Holen Sie die Impact-Antworten der Prozessverantwortlichen im BCDRP-Add-on neu ein, auf diesjährigen Zahlen.BIA campaigns
- Gehen Sie die Validierungs-Checkliste des Plans durch, bevor ein Test etwas voraussetzt.Disaster recovery plans
- Starten Sie den Test nach Ihrem Zeitplan und protokollieren Sie jedes Finding am Lauf selbst.Plan tests
- Beantworten Sie die nächste Einkaufsmail aus dem Readiness-Score, mit dem datierten letzten Lauf darunter.Command Center
Wo es endet
Die Antwort ist ein datierter Testlauf mit Findings, kein vor zwei Jahren freigegebener Plan.
BIA campaignsContinuity plansPlan testsCommand Center
Die Auditoren kommen mit einer Liste
Wenn die Anforderungsliste eintrifft, haben Zugang, Nachweise und Findings längst ihren Ort.
Die Situation
Die Prüfungsgesellschaft will einen Zugang und eine Anforderungsliste mit vierzig Punkten, drei Tage vor Beginn der Feldarbeit.
Was Sie tun
- Lassen Sie einen Administrator der Prüfungsgesellschaft ein eigenes Lesekonto für das Mandat anlegen.Roles and permissions
- Verweisen Sie die Prüfer auf den Zyklus, wo jede Anforderung ihren Nachweis trägt.Audit cycles
- Erfassen Sie jede Anforderung als Aufgabe mit Verantwortlichem, sichtbar dort, wo das Team arbeitet.Tasks
- Zeichnen Sie ein Finding erst ab, wenn die Verifizierung besteht.Findings
Wo es endet
Vierzig Anforderungen schließen im Zyklus — zu terminieren bleibt nur die Abschlussbesprechung.
Read-only accessAudit cyclesPBC requestsFindings review
Plan und Budget fürs nächste Jahr
Jede Zahl, die die Finanzabteilung erreicht, führt zurück auf eine bewertete Lücke, eine kalkulierte Initiative und eine freigegebene Budgetzeile.
Die Situation
Die Planung startet im Oktober. Letztes Jahr bekam Budget, wer am lautesten argumentierte. Die Finanzabteilung hat das nicht vergessen.
Was Sie tun
- Bewerten Sie das Programm an einem von fünf Reifegradmodellen — indikative Stufen, kein formales Audit.Maturity frameworks
- Übersetzen Sie die Lücke in Säulen und Ziele mit KPIs und kalkulieren Sie die Initiativen dazu.Security strategy
- Legen Sie die Budgetzeilen des Jahres an und führen Sie jede durch ihre eigene Freigabe.Security budget
- Nehmen Sie die einseitige Zusammenfassung in die Sitzung mit, in der die Zahl verteidigt wird.Executive summary
Wo es endet
Ein Modell von fünf bewertet, jede Initiative kalkuliert, jede Budgetzeile von einem benannten Freigeber genehmigt.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary