Ile kosztowałoby naruszenie bezpieczeństwa
Zarząd chce liczby. Dostaje oceniony scenariusz, zamodelowany przedział strat i plan postępowania w jednym rekordzie.
Sytuacja
W zeszłym tygodniu konkurent oberwał ransomware. Zarząd chce Twojej liczby na najbliższym posiedzeniu.
Co robisz
- Oceń scenariusz w rejestrze, na skali prawdopodobieństwa i skutku ustalonej już przez metodykę.Risk register
- Zamodeluj stratę jako przedział kwotowy — minimum, najbardziej prawdopodobne, maksimum — to szacunek, nie prognoza.Risk quantification
- Otwórz analizę bow-tie dla najwyżej ocenionych ryzyk, które mają już plan postępowania.Risk analytics
- Zapisz postępowanie przy tym ryzyku — jeden wpis trzyma ocenę, przedział i plan.Treatment plans
Czym się kończy
Zarząd słyszy zamodelowany przedział wraz z założeniami — z rejestru, nie ze slajdu.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Zamknij lukę, którą pokazał phishing
Odsetek kliknięć to jeszcze nie ustalenie. Staje się nim, gdy klikający trafiają imiennie na szkolenie i do kolejnego testu.
Sytuacja
Ubezpieczyciel pyta, skąd wiesz, że ludzie rozpoznają phishing. Wszyscy obejrzeli jedno wideo, w marcu.
Co robisz
- Przejrzyj ostatnią rundę imiennie w dodatku Szkolenia i świadomość: kto kliknął, kto zgłosił.Security awareness
- Dodaj klikających do kampanii szkoleniowej — pojedynczo albo całymi działami.Campaign detail
- Wyślij moduł linkiem w mailu — bez logowania po stronie odbiorcy.Training portal
- Zasil kolejną symulację nazwiskami wysokiego ryzyka z poprzedniej rundy.Phishing wizard
Czym się kończy
Dziewiętnastu klikających kończy po module; kolejna runda pokazuje Phish-Prone % przy tych samych nazwiskach.
Phishing simulationsTraining campaignsTraining portal
Twój pierwszy audyt certyfikacyjny
Pierwsza certyfikacja to głównie kolejność: cykl musi istnieć, zanim zawiśnie na nim choć jedno ustalenie.
Sytuacja
Dziewięć tygodni do audytu Stage 2, którego nikt tu jeszcze nie przechodził. Lista luk w arkuszu. Dowody w skrzynkach.
Co robisz
- Przyjmij framework z katalogu, potem zmapuj jego kontrole na te, które już prowadzisz.Compliance standards
- Otwórz cykl certyfikacji, podepnij pod niego komplet dokumentów, a na końcu wgraj certyfikat.Audit cycles
- Zgłoś każdą lukę w tym cyklu jako ustalenie — właściciel, plan, termin.Findings
- Podłącz kontrole, które audytor wylosuje, do testów odpowiadających bez zrzutu ekranu.Continuous compliance
Czym się kończy
Certyfikat ląduje w rekordzie cyklu, a każda badana kontrola odpowiada z testu, nie ze skrzynki.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
Krytyczny dostawca, przed podpisem
Dostawca odpowiada, zanim zrobi to umowa — ocenione odpowiedzi, luki jako zadania, data przeglądu już w kalendarzu.
Sytuacja
Zakupy mają gotowego do podpisu dostawcę systemu kadrowo-płacowego. Będzie trzymał dane wszystkich pracowników; nikt nie zadał mu ani jednego pytania.
Co robisz
- Załóż kartę dostawcy w dodatku TPRM: umowa, kontakty, dane kadrowo-płacowe, które będzie trzymał.Vendors
- Odpytaj dostawcę przez link — u niego bez konta, u Ciebie bez ponaglania.Vendor questionnaire
- Każdą słabą odpowiedź prowadź jako zadanie z właścicielem i terminem.Tasks
- Ustaw termin kolejnego przeglądu teraz, póki zakupy jeszcze patrzą.Reassessment policy
Czym się kończy
Podpisujesz na podstawie ocenionego kwestionariusza i datowanego przeglądu, nie rozmowy handlowej.
Vendor registerVendor questionnairesReassessment policy
Zapis, którego wymaga poniedziałek
Pożar ugaszono w sobotę. Nie zapisano tylko, kto go prowadził, kto przejął i jak został zamknięty.
Sytuacja
Zdarzyło się w weekend. W poniedziałek ktoś pyta, co się zepsuło, kto to naprawił i czy może się powtórzyć.
Co robisz
- Otwórz incydent, wskaż właściciela, zacznij oś czasu, póki szczegóły są świeże.Incident journal
- Przypisz konkretnego analityka w dodatku SOC, gdzie widać, kto jest już obciążony.Analyst workload
- Przekaż otwartą sprawę na kolejną zmianę pisemnie, z potwierdzeniem po obu stronach.Shift handover
- Zamknij incydent datowanym opisem, który mówi, czy może się powtórzyć.Incident detail
Czym się kończy
Poniedziałkowe pytanie znajduje odpowiedź w zapisie — datowany opis, nie czyjeś wspomnienie.
Incident journalCase managementShift handoverLessons learned
Transakcja stoi na kwestionariuszu
180 pytań między Tobą a podpisem. Odpowiadaj z biblioteki, sprawdź zdawalność kontroli, opublikuj to, co odpowie następnemu.
Sytuacja
Sprzedaż obiecała odpowiedź do piątku. Klient przysłał 180 pytań, połowę z nich odpowiedziano komuś innemu w zeszłym kwartale.
Co robisz
- Otwórz zapytanie w dodatku TPRM: 180 pytań, większość już komuś odpowiedziana.Assessment responses
- Użyj zapisanej odpowiedzi z biblioteki, poprawionej tam, gdzie ten klient pyta inaczej.Assessment responses
- Sprawdź zdawalność kontroli, na których opiera się ta odpowiedź.Control Assurance
- Opublikuj standardy, polityki i kontrole za bramką NDA dla kolejnych pytających.Trust Center
Czym się kończy
Kolejny klient czyta stronę za NDA bez Twojej pomocy. Transakcja czeka na zakupy, nie na Twój piątek.
Inbound TPRMControl AssuranceTrust Center
Udowodnij, że plan ciągłości przetestowano
Najpierw odśwież dane o wpływie, żeby test dowodził celów odtworzenia, których biznes naprawdę potrzebuje w tym roku.
Sytuacja
Zakupy klienta pytają, kiedy ostatnio testowałeś odtwarzanie. Uczciwa odpowiedź to ćwiczenie tabletop, którego nikt nie spisał.
Co robisz
- Odśwież odpowiedzi właścicieli procesów w dodatku BCDRP, na tegorocznych liczbach.BIA campaigns
- Przejdź listę walidacyjną planu, zanim test założy, że wszystko jest na miejscu.Disaster recovery plans
- Uruchom test w zaplanowanym terminie, a każde ustalenie zapisz przy samym przebiegu.Plan tests
- Na kolejny mail od zakupów odpowiedz oceną gotowości, z datą ostatniego przebiegu pod spodem.Command Center
Czym się kończy
Odpowiedzią jest datowany przebieg testu z ustaleniami, nie plan zatwierdzony dwa lata temu.
BIA campaignsContinuity plansPlan testsCommand Center
Audytorzy przychodzą z listą
Gdy przychodzi lista żądań, konto, dowody i ustalenia mają już swoje miejsce.
Sytuacja
Firma audytorska chce dostępu i przysyła listę czterdziestu żądań, trzy dni przed startem prac terenowych.
Co robisz
- Niech administrator wyda firmie audytorskiej własne konto tylko do odczytu na to zlecenie.Roles and permissions
- Skieruj firmę do cyklu, gdzie przy każdym wymaganiu leżą dowody, które na nie odpowiadają.Audit cycles
- Każde żądanie zapisz jako zadanie z właścicielem, widoczne tam, gdzie zespół już pracuje.Tasks
- Ustalenie zamykaj dopiero po zaliczonym kroku weryfikacji.Findings
Czym się kończy
Czterdzieści żądań zamyka się w rekordzie cyklu — zostaje umówić spotkanie zamykające.
Read-only accessAudit cyclesPBC requestsFindings review
Plan i budżet na przyszły rok
Każda liczba, która trafia do finansów, prowadzi do ocenionej luki, wycenionej inicjatywy i zatwierdzonej pozycji budżetu.
Sytuacja
Planowanie rusza w październiku. Zeszłoroczne wnioski wygrywał ten, kto najgłośniej się kłócił. Finanse tego nie zapomniały.
Co robisz
- Oceń program w jednym z pięciu modeli dojrzałości — poziomy orientacyjne, nie formalny audyt.Maturity frameworks
- Zamień lukę w filary i cele z KPI, potem wyceń inicjatywy, które je dowiozą.Security strategy
- Załóż pozycje budżetu na przyszły rok i przeprowadź każdą przez własną akceptację.Security budget
- Weź jednostronicowe podsumowanie na spotkanie, na którym broni się tej liczby.Executive summary
Czym się kończy
Jeden model oceniony z pięciu dostępnych, każda inicjatywa wyceniona, każda pozycja budżetu zatwierdzona imiennie.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary