Quanto costerebbe una violazione
Il board vuole un numero. Riceve uno scenario valutato, una perdita modellata e un trattamento sullo stesso record.
La situazione
Un concorrente è stato colpito da ransomware la settimana scorsa. Il board vuole il tuo numero alla prossima riunione.
Che cosa fai
- Valuta lo scenario nel registro, sulla scala di probabilità e impatto già fissata dalla metodologia.Risk register
- Modella la perdita come intervallo in valuta — minimo, più probabile, massimo — una stima, mai una previsione.Risk quantification
- Apri il Bow-Tie per i rischi con punteggio più alto che hanno già un piano di trattamento.Risk analytics
- Metti agli atti il trattamento su quel rischio: una voce tiene punteggio, intervallo e piano.Treatment plans
Dove va a finire
Il board sente un intervallo modellato con le sue ipotesi allegate — dal registro, non da una slide.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Chiudi la lacuna del phishing
Un tasso di clic non è un rilievo finché le persone dietro non vengono iscritte per nome, formate e riprovate.
La situazione
L’assicuratore chiede come sai che il personale riconosce un phishing. Tutti hanno visto un video una volta, a marzo.
Che cosa fai
- Leggi l’ultima tornata per nome nell’add-on Security Awareness: chi ha cliccato, chi ha segnalato.Security awareness
- Aggiungi i nomi che hanno cliccato a una campagna di formazione, uno a uno o per reparto.Campaign detail
- Consegna il modulo con un link via email che non richiede alcun accesso.Training portal
- Semina la simulazione successiva partendo dai nomi a rischio emersi dall’ultima tornata.Phishing wizard
Dove va a finire
Diciannove persone che hanno cliccato finiscono un modulo ciascuna; la tornata dopo misura la Phish-Prone % sugli stessi nomi.
Phishing simulationsTraining campaignsTraining portal
Il tuo primo audit di certificazione
La prima certificazione è soprattutto sequenza: il ciclo deve esistere prima che un solo rilievo possa appoggiarvisi.
La situazione
Nove settimane a un audit di Stage 2 che nessuno qui ha mai affrontato. Le lacune stanno in un foglio, le prove nella posta.
Che cosa fai
- Adotta il framework dal catalogo, poi mappa i suoi controlli su quelli che già gestisci.Compliance standards
- Apri il ciclo della certificazione, appendici l’insieme dei documenti, carica il certificato alla fine.Audit cycles
- Solleva ogni lacuna su quel ciclo come rilievo — responsabile, piano, data obiettivo.Findings
- Collega i controlli che l’auditor campionerà a test che rispondono senza uno screenshot.Continuous compliance
Dove va a finire
Il certificato arriva sul record del ciclo, e ogni controllo campionato risponde da un test, non da una casella.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
Un fornitore critico, prima della firma
Il fornitore risponde prima del contratto: risposte valutate, lacune assegnate, una data di revisione già a calendario.
La situazione
Gli acquisti hanno un fornitore di buste paga pronto alla firma. Conserverà ogni dato dei dipendenti; nessuno gli ha fatto una domanda.
Che cosa fai
- Crea il record del fornitore nell’add-on TPRM: contratto, contatti, i dati di paga che conserverà.Vendors
- Interroga il fornitore con un link — nessun account da lui, niente da rincorrere da te.Vendor questionnaire
- Insegui ogni risposta debole come compito, con un responsabile e una scadenza.Tasks
- Fissa ora la data della prossima revisione, mentre gli acquisti stanno ancora attenti.Reassessment policy
Dove va a finire
Firmi contro un questionario valutato e una revisione già datata, non contro una telefonata commerciale.
Vendor registerVendor questionnairesReassessment policy
Il record che serve lunedì
L’incendio si è spento sabato. Non è mai stato scritto chi lo reggeva, chi ha preso il cambio, come si è chiuso.
La situazione
È successo nel fine settimana. Entro lunedì qualcuno vuole sapere che cosa si è rotto, chi ha risolto, se può ricapitare.
Che cosa fai
- Apri l’incidente, indica un responsabile, avvia la cronologia finché il dettaglio è fresco.Incident journal
- Assegna un analista con nome nell’add-on SOC, dove la lavagna mostra chi è già carico.Analyst workload
- Passa il caso oltre il confine del turno per iscritto, con presa in carico da entrambe le parti.Shift handover
- Chiudi l’incidente su una relazione datata che dice se può succedere di nuovo.Incident detail
Dove va a finire
La domanda del lunedì trova risposta dal record — una relazione datata, non il ricordo di qualcuno.
Incident journalCase managementShift handoverLessons learned
Una trattativa ferma su un questionario
Centottanta domande fra te e una firma. Rispondi dalla libreria, controlli il tasso di successo, pubblichi ciò che risponde al prossimo.
La situazione
Il commerciale ha promesso una risposta per venerdì. Il potenziale cliente ha mandato 180 domande, metà già risposte per altri.
Che cosa fai
- Apri la richiesta nell’add-on TPRM: 180 domande, quasi tutte già risposte per qualcuno.Assessment responses
- Riusa la risposta conservata nella libreria, modificata dove il cliente formula diversamente.Assessment responses
- Leggi il tasso di successo dei controlli su cui la risposta si appoggia.Control Assurance
- Pubblica standard, policy e controlli dietro una barriera con NDA per chi chiederà dopo.Trust Center
Dove va a finire
Il prossimo cliente legge da solo la pagina protetta da NDA. La trattativa aspetta gli acquisti, non il tuo venerdì.
Inbound TPRMControl AssuranceTrust Center
Dimostra il collaudo del piano
Prima aggiorni i dati d’impatto, così la prova dimostra obiettivi di ripristino che servono davvero quest’anno.
La situazione
Gli acquisti di un cliente chiedono quando hai collaudato il ripristino l’ultima volta. La risposta onesta è un tavolo che nessuno ha verbalizzato.
Che cosa fai
- Aggiorna le risposte d’impatto dei titolari dei processi nell’add-on BCDRP, sui numeri di quest’anno.BIA campaigns
- Percorri la lista di validazione del piano prima che una prova dia per scontato qualcosa.Disaster recovery plans
- Avvia la prova al calendario che hai fissato, poi registra ogni rilievo sulla prova stessa.Plan tests
- Rispondi alla prossima email degli acquisti dal punteggio di prontezza, con sotto l’ultima prova datata.Command Center
Dove va a finire
La risposta è una prova datata con i rilievi allegati, non un piano approvato due anni fa.
BIA campaignsContinuity plansPlan testsCommand Center
Gli auditor arrivano con un elenco
Quando arriva l’elenco delle richieste, l’account, le evidenze e i rilievi hanno già un posto dove stare.
La situazione
Lo studio di audit vuole un accesso e un elenco di quaranta richieste, tre giorni prima dell’inizio del lavoro sul campo.
Che cosa fai
- Fai emettere a un amministratore un account in sola lettura dedicato allo studio, per l’incarico.Roles and permissions
- Indirizza lo studio al ciclo, dove ogni requisito porta con sé l’evidenza che gli risponde.Audit cycles
- Registra ogni richiesta come compito con un responsabile, visibile dove il team già lavora.Tasks
- Chiudi un rilievo solo dopo che il passaggio di verifica è andato a buon fine.Findings
Dove va a finire
Quaranta richieste si chiudono dentro il record del ciclo — l’ultima cosa da fissare è la riunione di chiusura.
Read-only accessAudit cyclesPBC requestsFindings review
Piano e budget del prossimo anno
Ogni numero che arriva all’Amministrazione risale a una lacuna valutata, un’iniziativa costata e una voce approvata.
La situazione
La pianificazione parte a ottobre. Le richieste dell’anno scorso venivano da chi discuteva più forte. L’Amministrazione non l’ha dimenticato.
Che cosa fai
- Valuta il programma su uno di cinque framework di maturità — livelli indicativi, non un audit formale.Maturity frameworks
- Trasforma la lacuna in pilastri e obiettivi con KPI, poi costa le iniziative che li realizzano.Security strategy
- Apri le voci di budget dell’anno e porta ciascuna attraverso la propria approvazione.Security budget
- Porta la sintesi di una pagina nella riunione in cui il numero va difeso.Executive summary
Dove va a finire
Un framework valutato fra i cinque disponibili, ogni iniziativa costata, ogni voce approvata da una persona con nome.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary