Hva et innbrudd ville koste
Styret vil ha et tall. Det får et poengsatt scenario, et modellert tapsintervall og en behandling på samme post.
Situasjonen
En konkurrent ble rammet av løsepengevirus forrige uke. Styret vil ha tallet deres på neste møte.
Hva du gjør
- Poengsett scenariet i registeret, på skalaen for sannsynlighet og konsekvens som metoden allerede fastsetter.Risk register
- Modeller tapet som et beløpsintervall — laveste, mest sannsynlige, høyeste — et anslag, aldri en prognose.Risk quantification
- Åpne Bow-Tie for de høyest poengsatte risikoene som allerede har en behandlingsplan.Risk analytics
- Registrer behandlingen på den risikoen, så én post rommer poengene, intervallet og planen.Treatment plans
Hvor det ender
Styret hører et modellert intervall med forutsetningene vedlagt — fra registeret, ikke fra et lysbilde.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Tett hullet phishingen avslørte
En klikkrate er ikke et funn før personene bak den er påmeldt med navn, lært opp og testet på nytt.
Situasjonen
Forsikringsselskapet spør hvordan dere vet at de ansatte kjenner igjen phishing. Alle så en video én gang, i mars.
Hva du gjør
- Les forrige runde med navn i tillegget Security Awareness: hvem som klikket, hvem som rapporterte.Security awareness
- Legg dem som klikket til i en opplæringskampanje, enkeltvis eller en hel avdeling.Campaign detail
- Lever modulen via en lenke i en e-post som ikke krever pålogging i det hele tatt.Training portal
- Bygg neste simulering på høyrisikonavnene forrige runde ga.Phishing wizard
Hvor det ender
Nitten som klikket, fullfører hver sin modul; neste runde måler Phish-Prone % på de samme navnene.
Phishing simulationsTraining campaignsTraining portal
Deres første sertifiseringsrevisjon
Den første sertifiseringen handler mest om rekkefølge, fordi syklusen må finnes før et eneste funn kan henge på den.
Situasjonen
Ni uker til en Stage 2-revisjon ingen her har vært gjennom før. Gap-listen er et regneark. Dokumentasjonen ligger i innbokser.
Hva du gjør
- Ta rammeverket fra katalogen, og kartlegg kontrollene mot dem dere allerede driver.Compliance standards
- Åpne syklusen for sertifiseringen, knytt dokumentsettet til den og last opp sertifikatet til slutt.Audit cycles
- Registrer hvert hull som et funn i syklusen — eier, plan, måldato.Findings
- Koble kontrollene revisoren vil stikkprøve, til tester som svarer uten skjermbilde.Continuous compliance
Hvor det ender
Sertifikatet havner på syklusposten, og hver stikkprøvde kontroll svarer fra en test i stedet for en innboks.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
En kritisk leverandør, før signering
Leverandøren svarer før kontrakten gjør det — poengsatte svar, hull som oppgaver, en gjennomgangsdato allerede i kalenderen.
Situasjonen
Innkjøp har en lønnsleverandør klar til signering. Den skal holde alle personalopplysningene dere har; ingen har stilt den ett spørsmål.
Hva du gjør
- Opprett leverandørposten i TPRM-tillegget: kontrakt, kontakter og lønnsdataene den skal holde.Vendors
- Spør leverandøren via en lenke — ingen konto hos dem, ingenting å jage hos deg.Vendor questionnaire
- Følg opp hvert svakt svar som en oppgave med eier og frist.Tasks
- Still klokken for neste gjennomgang nå, mens innkjøp fortsatt følger med.Reassessment policy
Hvor det ender
Du signerer på et poengsatt spørreskjema og en datert neste gjennomgang, ikke på en salgssamtale.
Vendor registerVendor questionnairesReassessment policy
Posten mandagen trenger
Brannen var slukket lørdag. Det som aldri ble skrevet ned, er hvem som eide den, hvem som tok over og hvordan den ble lukket.
Situasjonen
Det skjedde i helgen. Mandag vil noen vite hva som gikk i stykker, hvem som fikset det, og om det kan skje igjen.
Hva du gjør
- Åpne hendelsen, utnevn en eier og start tidslinjen mens detaljene er ferske.Incident journal
- Tildel en navngitt analytiker i SOC-tillegget, der tavlen viser hvem som allerede er belastet.Analyst workload
- Overlever den åpne saken skriftlig ved vaktskiftet, kvittert i begge ender.Shift handover
- Avslutt hendelsen med en datert rapport som sier om det kan skje igjen.Incident detail
Hvor det ender
Mandagens spørsmål besvares av posten — en datert rapport, ikke noens hukommelse.
Incident journalCase managementShift handoverLessons learned
En avtale står fast på spørreskjema
180 spørsmål mellom dere og en signatur. Svar fra biblioteket, sjekk godkjenningsraten, publiser det som svarer på neste.
Situasjonen
Salg lovet svar innen fredag. Kunden sendte 180 spørsmål, halvparten besvart for noen andre forrige kvartal.
Hva du gjør
- Åpne forespørselen i TPRM-tillegget: 180 spørsmål, de fleste allerede besvart for noen.Assessment responses
- Gjenbruk det lagrede svaret fra svarbiblioteket, redigert der kundens formulering er annerledes.Assessment responses
- Les godkjenningsraten for kontrollene svaret lener seg på.Control Assurance
- Publiser standarder, retningslinjer og kontroller bak en NDA-sperre for den som spør neste gang.Trust Center
Hvor det ender
Neste kunde leser NDA-siden selv. Avtalen venter på innkjøp, ikke på fredagen din.
Inbound TPRMControl AssuranceTrust Center
Bevis at kontinuitetsplanen er testet
Oppdater konsekvensdataene først, så testen beviser gjenopprettingsmålene virksomheten faktisk trenger i år.
Situasjonen
En kundes innkjøpsteam spør når dere sist testet gjenoppretting. Det ærlige svaret er en skrivebordsøvelse ingen skrev ned.
Hva du gjør
- Oppdater konsekvenssvarene fra prosesseierne i BCDRP-tillegget, med årets tall.BIA campaigns
- Gå gjennom planens valideringssjekkliste før en test antar at noe er på plass.Disaster recovery plans
- Start testen etter planen du har satt, og logg hvert funn på selve kjøringen.Plan tests
- Svar på neste e-post fra innkjøp med beredskapspoengene og datoen for siste kjøring.Command Center
Hvor det ender
Svaret er en datert testkjøring med funn vedlagt, ikke en plan godkjent for to år siden.
BIA campaignsContinuity plansPlan testsCommand Center
Revisorene kommer med en liste
Når forespørselslisten kommer, har kontoen, dokumentasjonen og funnene allerede et sted å bo.
Situasjonen
Revisjonsselskapet vil ha pålogging og en forespørselsliste på førti punkter, tre dager før feltarbeidet starter.
Hva du gjør
- La en administrator gi revisjonsselskapet en egen lesekonto for oppdraget.Roles and permissions
- Vis selskapet til syklusen, der hvert krav bærer dokumentasjonen som besvarer det.Audit cycles
- Logg hver forespørsel som en oppgave med eier, synlig der teamet allerede jobber.Tasks
- Godkjenn et funn først når verifiseringstrinnet er bestått.Findings
Hvor det ender
Førti forespørsler lukkes inne i syklusposten — det siste som skal planlegges, er sluttmøtet.
Read-only accessAudit cyclesPBC requestsFindings review
Neste års plan og budsjett
Hvert tall som når økonomiavdelingen, kan spores til et vurdert hull, et kostnadsberegnet tiltak og en godkjent budsjettlinje.
Situasjonen
Planleggingen starter i oktober. Fjorårets ønsker kom fra den som argumenterte hardest. Økonomi har ikke glemt det.
Hva du gjør
- Vurder programmet mot ett av fem modenhetsrammeverk — veiledende nivåer, ikke en formell revisjon.Maturity frameworks
- Gjør hullet om til søyler og mål med KPI-er, og kostnadsberegn tiltakene som leverer dem.Security strategy
- Opprett årets budsjettlinjer, og før hver av dem gjennom sin egen godkjenning.Security budget
- Ta med sammendraget på én side til møtet der tallet skal forsvares.Executive summary
Hvor det ender
Ett rammeverk vurdert av fem mulige, hvert tiltak kostnadsberegnet, hver budsjettlinje godkjent av en navngitt godkjenner.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary