Ce que coûterait une compromission
Le board veut un chiffre. Il obtient un scénario coté, une fourchette de perte modélisée et un traitement, sur une même fiche.
La situation
Un concurrent a été frappé par un ransomware la semaine dernière. Le board veut votre chiffre à la prochaine séance.
Ce que vous faites
- Cotez le scénario dans le registre, sur les échelles de probabilité et impact de la méthodologie.Risk register
- Modélisez la perte en fourchette monétaire — minimum, plus probable, maximum — une estimation, jamais une prévision.Risk quantification
- Ouvrez le nœud papillon des risques les mieux cotés qui portent déjà un plan de traitement.Risk analytics
- Consignez le traitement sur ce risque — une fiche porte la cote, la fourchette et le plan.Treatment plans
Où cela aboutit
Le board entend une fourchette modélisée avec ses hypothèses — issue du registre, pas d'une slide.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Combler l'écart après le phishing
Un taux de clic n'est pas un constat tant que les personnes derrière ne sont pas inscrites nommément, formées, puis retestées.
La situation
Votre assureur demande comment vous savez que vos équipes repèrent un phishing. Tout le monde a vu une vidéo, en mars.
Ce que vous faites
- Lisez le dernier tour nom par nom dans Security Awareness : qui a cliqué, qui a signalé.Security awareness
- Inscrivez les personnes qui ont cliqué à une campagne de formation, une par une ou par service.Campaign detail
- Diffusez le module par un lien envoyé en e-mail, sans aucun identifiant à créer.Training portal
- Amorcez la simulation suivante avec les noms à risque que le dernier tour a produits.Phishing wizard
Où cela aboutit
Dix-neuf personnes ayant cliqué terminent un module ; le tour suivant lit le Phish-Prone % des mêmes noms.
Phishing simulationsTraining campaignsTraining portal
Votre premier audit de certification
La première certification est surtout affaire d'ordre : le cycle doit exister avant qu'un seul constat puisse s'y rattacher.
La situation
Neuf semaines avant un audit Stage 2 que personne n'a vécu. Les écarts sont dans un tableur, les preuves dans les boîtes mail.
Ce que vous faites
- Adoptez le référentiel depuis le catalogue, puis mappez ses exigences sur les contrôles que vous tenez déjà.Compliance standards
- Ouvrez le cycle de certification, accrochez-y le jeu documentaire, déposez le certificat à la fin.Audit cycles
- Ouvrez chaque écart en constat sur ce cycle — un responsable, un plan, une date cible.Findings
- Reliez les contrôles que l'auditeur échantillonnera à des tests qui répondent sans capture d'écran.Continuous compliance
Où cela aboutit
Le certificat atterrit sur la fiche du cycle, chaque contrôle échantillonné répondant par un test, pas par un e-mail.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
Un fournisseur critique, avant signature
Le fournisseur répond avant le contrat — réponses notées, écarts transformés en tâches, une date de réévaluation déjà posée.
La situation
Les achats ont un prestataire de paie prêt à signer. Il détiendra tous vos dossiers salariés ; personne ne lui a rien demandé.
Ce que vous faites
- Créez la fiche fournisseur dans l'option TPRM : contrat, contacts, les données de paie qu'il détiendra.Vendors
- Interrogez le prestataire par un lien — aucun compte chez lui, aucune relance chez vous.Vendor questionnaire
- Reprenez chaque réponse faible en tâche, avec un responsable et une échéance.Tasks
- Fixez dès maintenant la date de réévaluation, pendant que les achats regardent encore.Reassessment policy
Où cela aboutit
Vous signez sur un questionnaire noté et une réévaluation datée, pas sur un rendez-vous commercial.
Vendor registerVendor questionnairesReassessment policy
La trace qu'il faudra lundi
Le feu s'est éteint samedi. Ce qui n'a jamais été écrit : qui en était responsable, qui a pris la suite, comment cela s'est clos.
La situation
C'est arrivé pendant le week-end. Lundi, quelqu'un veut savoir ce qui a cassé, qui a réparé, si cela peut recommencer.
Ce que vous faites
- Ouvrez l'incident, nommez un responsable, démarrez la chronologie tant que les détails sont frais.Incident journal
- Affectez un analyste nommé dans l'option SOC, où le tableau montre qui est déjà chargé.Analyst workload
- Passez le dossier ouvert au shift suivant par écrit, avec accusé de réception des deux côtés.Shift handover
- Clôturez l'incident sur un compte rendu daté qui dit si cela peut se reproduire.Incident detail
Où cela aboutit
La question de lundi trouve sa réponse dans la fiche — un compte rendu daté, pas un souvenir.
Incident journalCase managementShift handoverLessons learned
Un contrat bloqué sur un questionnaire
180 questions entre vous et une signature. Répondez depuis la bibliothèque, vérifiez le taux de réussite, publiez ce qui répondra à la suivante.
La situation
Les ventes ont promis une réponse pour vendredi. Le prospect envoie 180 questions, dont la moitié déjà traitées le trimestre dernier.
Ce que vous faites
- Ouvrez la demande dans l'option TPRM : 180 questions, la plupart déjà traitées pour quelqu'un d'autre.Assessment responses
- Reprenez la réponse stockée dans la bibliothèque, retouchée là où la formulation du client diffère.Assessment responses
- Lisez le taux de réussite des contrôles sur lesquels la réponse s'appuie.Control Assurance
- Publiez référentiels, politiques et contrôles derrière un NDA, pour le prochain qui demandera.Trust Center
Où cela aboutit
Le prochain prospect lit seul la page sous NDA. Le contrat attend les achats, pas votre vendredi.
Inbound TPRMControl AssuranceTrust Center
Le plan de continuité, testé
Rafraîchissez d'abord les données d'impact : le test prouvera alors des objectifs de reprise dont le métier a besoin cette année.
La situation
Les achats d'un client demandent quand la reprise a été testée. La réponse honnête : un exercice sur table jamais écrit.
Ce que vous faites
- Rafraîchissez les réponses des propriétaires de processus dans l'option BCDRP, sur les chiffres de cette année.BIA campaigns
- Déroulez la checklist de validation du plan avant qu'un test ne suppose quoi que ce soit.Disaster recovery plans
- Lancez le test au calendrier que vous avez fixé, puis consignez chaque constat sur l'exécution.Plan tests
- Répondez au prochain e-mail des achats par le score de préparation, avec la dernière exécution datée dessous.Command Center
Où cela aboutit
La réponse est une exécution de test datée avec ses constats, pas un plan validé voici deux ans.
BIA campaignsContinuity plansPlan testsCommand Center
Les auditeurs arrivent avec une liste
Quand la liste de demandes arrive, le compte, les preuves et les constats ont déjà un endroit où vivre.
La situation
Le cabinet d'audit veut un accès et une liste de quarante demandes, trois jours avant le début des travaux.
Ce que vous faites
- Faites créer par un administrateur un compte en lecture seule dédié au cabinet, pour la mission.Roles and permissions
- Renvoyez le cabinet vers le cycle, où chaque exigence porte la preuve qui y répond.Audit cycles
- Enregistrez chaque demande en tâche avec un responsable, là où l'équipe travaille déjà.Tasks
- Ne clôturez un constat qu'une fois l'étape de vérification passée.Findings
Où cela aboutit
Quarante demandes se clôturent dans la fiche du cycle — il ne reste qu'à caler la réunion de clôture.
Read-only accessAudit cyclesPBC requestsFindings review
Plan et budget du prochain exercice
Chaque chiffre qui arrive à la finance remonte à un écart noté, à une initiative chiffrée et à une ligne budgétaire validée.
La situation
La planification démarre en octobre. L'an dernier, les demandes venaient de qui plaidait le plus fort. La finance s'en souvient.
Ce que vous faites
- Notez le programme sur l'un des cinq référentiels de maturité — niveaux indicatifs, pas un audit formel.Maturity frameworks
- Traduisez l'écart en piliers et objectifs avec KPI, puis chiffrez les initiatives qui les portent.Security strategy
- Ouvrez les lignes budgétaires de l'année et menez chacune jusqu'à sa propre validation.Security budget
- Emportez la synthèse d'une page dans la réunion où le chiffre se défend.Executive summary
Où cela aboutit
Un référentiel noté sur cinq disponibles, chaque initiative chiffrée, chaque ligne budgétaire validée par un nom.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary