Wat een datalek zou kosten
Het bestuur wil een getal. Het krijgt een gescoord scenario, een gemodelleerde verliesbandbreedte en een behandeling op één record.
De situatie
Een concurrent is vorige week getroffen door ransomware. Het bestuur wil jouw getal in de volgende vergadering.
Wat je doet
- Scoor het scenario in het register op de schaal voor kans en impact die de methodiek al vastlegt.Risk register
- Modelleer het verlies als bandbreedte in geld — minimum, meest waarschijnlijk, maximum — een schatting, nooit een voorspelling.Risk quantification
- Open de Bow-Tie voor de hoogst scorende risico's die al een behandelplan hebben.Risk analytics
- Leg de behandeling vast bij dat risico, zodat één record de score, de bandbreedte en het plan bevat.Treatment plans
Waar het eindigt
Het bestuur hoort een gemodelleerde bandbreedte met de aannames erbij — uit het register, niet uit een slide.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Dicht het gat dat phishing blootlegde
Een klikratio is geen bevinding totdat de mensen erachter bij naam zijn ingeschreven, getraind en opnieuw getest.
De situatie
Je verzekeraar vraagt hoe je weet dat medewerkers phishing herkennen. Iedereen keek één keer een video, in maart.
Wat je doet
- Lees de vorige ronde op naam in de Security Awareness-add-on: wie klikte, wie het meldde.Security awareness
- Voeg de namen die klikten toe aan een trainingscampagne, per persoon of per hele afdeling.Campaign detail
- Lever de module via een link in een e-mail waarvoor helemaal geen login nodig is.Training portal
- Baseer de volgende simulatie op de hoogrisiconamen die de vorige ronde opleverde.Phishing wizard
Waar het eindigt
Negentien klikkers ronden elk een module af; de volgende ronde meet Phish-Prone % op dezelfde namen.
Phishing simulationsTraining campaignsTraining portal
Je eerste certificeringsaudit
De eerste certificering is vooral een kwestie van volgorde, want de cyclus moet bestaan voordat er één bevinding aan kan hangen.
De situatie
Negen weken tot een Stage 2-audit die hier nog niemand heeft meegemaakt. De gaplijst is een spreadsheet. Het bewijs zit in mailboxen.
Wat je doet
- Neem het framework over uit de catalogus en koppel de controls aan de controls die je al uitvoert.Compliance standards
- Open de cyclus voor de certificering, hang de documentenset eraan en upload aan het eind het certificaat.Audit cycles
- Registreer elk gat als bevinding binnen die cyclus — eigenaar, plan, streefdatum.Findings
- Koppel de controls die de auditor gaat steekproeven aan tests die antwoorden zonder screenshot.Continuous compliance
Waar het eindigt
Het certificaat komt op het cyclusrecord, en elke gesteekproefde control antwoordt vanuit een test in plaats van een inbox.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
Een kritieke leverancier, vóór ondertekening
De leverancier antwoordt voordat het contract dat doet — gescoorde antwoorden, gaten als taken, een reviewdatum al in de agenda.
De situatie
Inkoop heeft een salarisverwerker klaar voor ondertekening. Die krijgt elk personeelsdossier dat je hebt; niemand heeft hem één vraag gesteld.
Wat je doet
- Maak het leveranciersrecord aan in de TPRM-add-on: contract, contactpersonen, de salarisdata die hij krijgt.Vendors
- Bevraag de leverancier via een link — geen account bij hen, niets na te jagen bij jou.Vendor questionnaire
- Volg elk zwak antwoord op als taak met een eigenaar en een deadline.Tasks
- Zet de klok voor de volgende review nu, nu inkoop nog oplet.Reassessment policy
Waar het eindigt
Je tekent op basis van een gescoorde vragenlijst en een gedateerde volgende review, niet op basis van een salesgesprek.
Vendor registerVendor questionnairesReassessment policy
Het record dat maandag nodig heeft
Het vuur was zaterdag uit. Wat nooit is opgeschreven: wie het had, wie het overnam, hoe het werd afgesloten.
De situatie
Het gebeurde in het weekend. Maandag wil iemand weten wat er stukging, wie het oploste en of het opnieuw kan gebeuren.
Wat je doet
- Open het incident, wijs een eigenaar aan en start de tijdlijn zolang de details vers zijn.Incident journal
- Wijs een analist bij naam toe in de SOC-add-on, waar het bord laat zien wie al vol zit.Analyst workload
- Draag de open case schriftelijk over bij de dienstwissel, bevestigd aan beide kanten.Shift handover
- Sluit het incident af met een gedateerd verslag dat zegt of het opnieuw kan gebeuren.Incident detail
Waar het eindigt
De vraag van maandag beantwoordt zichzelf vanuit het record — een gedateerd verslag, niet iemands herinnering.
Incident journalCase managementShift handoverLessons learned
Een deal loopt vast op vragenlijst
180 vragen tussen jou en een handtekening. Antwoord vanuit de bibliotheek, check het slagingspercentage, publiceer wat de volgende beantwoordt.
De situatie
Sales beloofde vrijdag een antwoord. De prospect stuurde 180 vragen, de helft vorig kwartaal al voor iemand anders beantwoord.
Wat je doet
- Open het verzoek in de TPRM-add-on: 180 vragen, de meeste al eens voor iemand beantwoord.Assessment responses
- Hergebruik het opgeslagen antwoord uit de antwoordbibliotheek, aangepast waar de formulering van deze klant afwijkt.Assessment responses
- Lees het slagingspercentage van de controls waarop het antwoord leunt.Control Assurance
- Publiceer de normen, het beleid en de controls achter een NDA-poort voor wie er als volgende om vraagt.Trust Center
Waar het eindigt
De volgende prospect leest de pagina achter de NDA zelf. De deal wacht op inkoop, niet op jouw vrijdag.
Inbound TPRMControl AssuranceTrust Center
Bewijs dat het continuïteitsplan is getest
Werk eerst de impactgegevens bij, zodat de test de hersteldoelen bewijst die de organisatie dit jaar echt nodig heeft.
De situatie
Het inkoopteam van een klant vraagt wanneer je herstel het laatst hebt getest. Het eerlijke antwoord: een tabletop die niemand opschreef.
Wat je doet
- Werk de impactantwoorden van proceseigenaren bij in de BCDRP-add-on, met de cijfers van dit jaar.BIA campaigns
- Loop de validatiechecklist van het plan door voordat een test aanneemt dat alles op zijn plek staat.Disaster recovery plans
- Start de test volgens het schema dat je instelde en log elke bevinding op de run zelf.Plan tests
- Beantwoord de volgende inkoopmail met de gereedheidsscore en de datum van de laatste run eronder.Command Center
Waar het eindigt
Het antwoord is een gedateerde testrun met bevindingen erbij, geen plan dat twee jaar geleden is goedgekeurd.
BIA campaignsContinuity plansPlan testsCommand Center
De auditors komen met een lijst
Als de verzoekenlijst binnenkomt, hebben het account, het bewijs en de bevindingen al een plek.
De situatie
Het auditkantoor wil een login en een verzoekenlijst van veertig punten, drie dagen voordat het veldwerk begint.
Wat je doet
- Laat een beheerder het auditkantoor een eigen alleen-lezen-account voor de opdracht geven.Roles and permissions
- Verwijs het kantoor naar de cyclus, waar elke eis het bewijs draagt dat haar beantwoordt.Audit cycles
- Leg elk verzoek vast als taak met een eigenaar, zichtbaar waar het team al werkt.Tasks
- Teken een bevinding pas af als de verificatiestap is geslaagd.Findings
Waar het eindigt
Veertig verzoeken worden binnen het cyclusrecord afgesloten — het laatste wat nog gepland moet worden, is het slotoverleg.
Read-only accessAudit cyclesPBC requestsFindings review
Plan en budget voor volgend jaar
Elk getal dat bij Finance aankomt, is terug te voeren op een beoordeeld gat, een begroot initiatief en een goedgekeurde budgetregel.
De situatie
De planning begint in oktober. De wensen van vorig jaar kwamen van wie het hardst argumenteerde. Finance is dat niet vergeten.
Wat je doet
- Beoordeel het programma op een van vijf volwassenheidsframeworks — indicatieve niveaus, geen formele audit.Maturity frameworks
- Vertaal het gat naar pijlers en doelen met KPI's, en begroot de initiatieven die ze waarmaken.Security strategy
- Maak de budgetregels van het jaar aan en leid elke regel door zijn eigen goedkeuring.Security budget
- Neem de samenvatting van één pagina mee naar de vergadering waar het getal verdedigd wordt.Executive summary
Waar het eindigt
Eén framework beoordeeld van de vijf beschikbare, elk initiatief begroot, elke budgetregel goedgekeurd door een benoemde goedkeurder.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary