Quanto custaria uma violação
A administração quer um número. Recebe um cenário pontuado, um intervalo de perda modelado e um tratamento no mesmo registo.
A situação
Um concorrente foi atingido por ransomware na semana passada. A administração quer o seu número na próxima reunião.
O que faz
- Pontue o cenário no registo, na escala de probabilidade e impacto que a metodologia já fixa.Risk register
- Modele a perda como intervalo monetário — mínimo, mais provável, máximo — uma estimativa, nunca uma previsão.Risk quantification
- Abra o Bow-Tie para os riscos mais pontuados que já têm plano de tratamento.Risk analytics
- Registe o tratamento nesse risco, para que uma entrada contenha a pontuação, o intervalo e o plano.Treatment plans
Onde termina
A administração ouve um intervalo modelado, com os pressupostos anexados — do registo, não de um slide.
Risk registerRisk quantificationBow-Tie analysisTreatment plans
Fechar a lacuna exposta pelo phishing
Uma taxa de cliques não é uma constatação enquanto as pessoas por trás dela não estiverem inscritas pelo nome, formadas e testadas de novo.
A situação
A seguradora pergunta como sabe que a equipa reconhece phishing. Todos viram um vídeo uma vez, em março.
O que faz
- Leia a última ronda pelo nome no add-on Security Awareness: quem clicou, quem reportou.Security awareness
- Junte quem clicou a uma campanha de formação, individualmente ou por departamento inteiro.Campaign detail
- Entregue o módulo por uma ligação enviada por e-mail que não exige qualquer login.Training portal
- Baseie a próxima simulação nos nomes de alto risco que a última ronda revelou.Phishing wizard
Onde termina
Dezanove pessoas que clicaram concluem um módulo cada; a ronda seguinte mede Phish-Prone % nos mesmos nomes.
Phishing simulationsTraining campaignsTraining portal
A sua primeira auditoria de certificação
A primeira certificação é sobretudo uma questão de sequência, porque o ciclo tem de existir antes de lhe poder ser associada uma única constatação.
A situação
Nove semanas até uma auditoria Stage 2 inédita para todos. As lacunas estão numa folha de cálculo. As provas, em caixas de correio.
O que faz
- Adote o referencial a partir do catálogo e mapeie os seus controlos para os que já opera.Compliance standards
- Abra o ciclo da certificação, associe-lhe o conjunto de documentos e carregue o certificado no fim.Audit cycles
- Registe cada lacuna como constatação nesse ciclo — responsável, plano, data-alvo.Findings
- Ligue os controlos que o auditor vai amostrar a testes que respondem sem captura de ecrã.Continuous compliance
Onde termina
O certificado fica no registo do ciclo, e cada controlo amostrado responde por um teste, não por e-mail.
Multi-framework mappingAudit cyclesFinding remediationContinuous control testing
Um fornecedor crítico, antes de assinar
O fornecedor responde antes do contrato — respostas pontuadas, lacunas convertidas em tarefas, uma data de revisão já na agenda.
A situação
As compras têm um fornecedor de processamento salarial pronto a assinar. Vai guardar todos os registos de trabalhadores; ninguém lhe fez uma única pergunta.
O que faz
- Crie o registo do fornecedor no add-on TPRM: contrato, contactos, os dados salariais que vai guardar.Vendors
- Questione o fornecedor por uma ligação — sem conta do lado dele, nada para perseguir do seu.Vendor questionnaire
- Acompanhe cada resposta fraca como tarefa com responsável e prazo.Tasks
- Acerte já o relógio para a próxima revisão, enquanto as compras ainda estão atentas.Reassessment policy
Onde termina
Assina com base num questionário pontuado e numa próxima revisão datada, não numa chamada comercial.
Vendor registerVendor questionnairesReassessment policy
O registo que segunda-feira exige
O fogo apagou-se no sábado. O que nunca ficou escrito: quem o tinha, quem o assumiu, como foi fechado.
A situação
Aconteceu no fim de semana. Na segunda-feira alguém quer saber o que avariou, quem resolveu e se pode repetir-se.
O que faz
- Abra o incidente, nomeie um responsável e comece a cronologia enquanto os detalhes estão frescos.Incident journal
- Atribua um analista pelo nome no add-on SOC, onde o quadro mostra quem já está sobrecarregado.Analyst workload
- Passe o caso aberto por escrito na mudança de turno, confirmado dos dois lados.Shift handover
- Feche o incidente com um relatório datado que diga se pode voltar a acontecer.Incident detail
Onde termina
A pergunta de segunda-feira responde-se sozinha a partir do registo — um relatório datado, não a memória de alguém.
Incident journalCase managementShift handoverLessons learned
Um negócio parado num questionário
180 perguntas entre si e uma assinatura. Responda a partir da biblioteca, veja a taxa de aprovação, publique o que responde à próxima.
A situação
As vendas prometeram resposta até sexta. O cliente enviou 180 perguntas, metade já respondidas a outro no último trimestre.
O que faz
- Abra o pedido no add-on TPRM: 180 perguntas, a maioria já respondida a alguém.Assessment responses
- Reutilize a resposta guardada na biblioteca de respostas, editada onde a formulação deste cliente difere.Assessment responses
- Leia a taxa de aprovação dos controlos em que a resposta se apoia.Control Assurance
- Publique as normas, políticas e controlos atrás de um acesso sob NDA para quem perguntar a seguir.Trust Center
Onde termina
O próximo cliente lê sozinho a página protegida por NDA. O negócio espera pelas compras, não pela sua sexta-feira.
Inbound TPRMControl AssuranceTrust Center
Provar o teste da continuidade
Atualize primeiro os dados de impacto, para que o teste prove os objetivos de recuperação de que o negócio precisa este ano.
A situação
As compras de um cliente perguntam quando testou a recuperação pela última vez. A resposta honesta: um exercício de mesa que ninguém registou.
O que faz
- Atualize as respostas de impacto dos donos dos processos no add-on BCDRP, com os números deste ano.BIA campaigns
- Percorra a checklist de validação do plano antes de um teste presumir que está tudo no lugar.Disaster recovery plans
- Inicie o teste no calendário definido e registe cada constatação na própria execução.Plan tests
- Responda ao próximo e-mail das compras com a pontuação de prontidão e a data da última execução.Command Center
Onde termina
A resposta é uma execução de teste datada com constatações anexadas, não um plano aprovado há dois anos.
BIA campaignsContinuity plansPlan testsCommand Center
Os auditores chegam com uma lista
Quando a lista de pedidos chega, a conta, as evidências e as constatações já têm onde ficar.
A situação
A firma de auditoria quer um acesso e uma lista de quarenta pedidos, três dias antes do início do trabalho de campo.
O que faz
- Peça a um administrador uma conta própria só de leitura para a firma de auditoria.Roles and permissions
- Encaminhe a firma para o ciclo, onde cada requisito traz a evidência que lhe responde.Audit cycles
- Registe cada pedido como tarefa com responsável, visível onde a equipa já trabalha.Tasks
- Dê uma constatação por encerrada só depois de o passo de verificação passar.Findings
Onde termina
Quarenta pedidos fecham dentro do registo do ciclo — a última coisa a marcar é a reunião de encerramento.
Read-only accessAudit cyclesPBC requestsFindings review
Plano e orçamento do próximo ano
Cada número que chega às Finanças remonta a uma lacuna avaliada, a uma iniciativa orçamentada e a uma linha de orçamento aprovada.
A situação
O planeamento começa em outubro. Os pedidos do ano passado vieram de quem argumentou mais alto. As Finanças não esqueceram.
O que faz
- Avalie o programa num de cinco referenciais de maturidade — níveis indicativos, não uma auditoria formal.Maturity frameworks
- Transforme a lacuna em pilares e objetivos com KPI e orçamente as iniciativas que os concretizam.Security strategy
- Crie as linhas de orçamento do ano e passe cada uma pela sua própria aprovação.Security budget
- Leve o resumo de uma página à reunião onde o número tem de ser defendido.Executive summary
Onde termina
Um referencial avaliado entre cinco disponíveis, cada iniciativa orçamentada, cada linha aprovada por um aprovador identificado.
Maturity frameworksSecurity strategyBudget approvalsExecutive summary