Funciones incluido desde Professional: Gestión de activos, comparar planes
Gestión de activos
Su inventario de activos como base común para el cumplimiento y la seguridad: IT y OT en una plataforma central, registrados sin agentes, con SBOM, avisos de fabricantes y relaciones.
- Registro
- Comprender
- SBOM
- Riesgos
- Relaciones
- Contratos y licencias
- Zonas
- Identidades
- Informes e intercambio
- Permisos
- FAQ
No se pueden proteger plantas que no se conocen, y ese conocimiento suele estar disperso en hojas de cálculo, exportaciones de herramientas y en la cabeza de las personas.
Registro sin agentes
Scripts de recopilación en lugar de un agente
Scripts legibles para Windows (PowerShell, cmd para sistemas antiguos) y Linux. Solo leen, no instalan nada y escriben un archivo por sistema.
Firmados, cifrados y verificados
Los archivos de los scripts de PowerShell y Linux están firmados y cifrados. Complass rechaza los archivos alterados, ajenos o duplicados. La importación se realiza en bloque con vista previa, también como ZIP.
Aproveche lo que ya tiene
Importación desde la plantilla Excel/CSV, desde Zeek y Nmap y desde exportaciones CSV de herramientas habituales de monitorización de OT. Las capturas de red (PCAP, PCAPNG) se analizan en su navegador; el archivo no sale de su equipo.
Sin duplicados
Todas las vías de importación concilian de forma centralizada: número de serie con fabricante, dirección MAC, UUID del sistema y nombre de host con dominio. Los casos dudosos aparecen como «posible duplicado: comprobar» y nunca se crean automáticamente.
Dispositivos y fabricantes detectados
Las tablas de vecinos de los sistemas proporcionan más dispositivos como candidatos, nunca directamente como activos. Si falta el fabricante, Complass lo propone a partir del registro público del IEEE y lo marca como «supuesto (MAC)».
Desde sus herramientas
Los conectores de activos leen el inventario de NetBox, Snipe-IT, Intune, Lansweeper y herramientas de OT.
Despliegue mediante directiva de grupo
Plantilla para el programador de tareas de Windows, además de instrucciones para directivas de grupo, temporizadores de systemd y cron.
Base jurídica y normativa
- IEC 62443-3-2
- IEC 62443-2-1
- ISO/IEC 27001:2022, A.5.9
- ISO/IEC 27001:2022, A.8.9
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir el original (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAnexo I Parte II Reglamento de Ciberresiliencia Requisitos de gestión de las vulnerabilidadesLos fabricantes de los productos con elementos digitales: 1) identificarán y documentarán las vulnerabilidades y los componentes presentes en el producto con elementos digitales, también mediante la elaboración de una nomenclatura de materiales de los programas informáticos en un formato comúnmente utilizado y legible por máquina, que incluya, como mínimo, las dependencias de máximo nivel del producto; 2) por lo que …Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Tres modos para los scripts de recopilación
Usted decide en Complass cómo llega el archivo hasta usted. El modo queda fijado en el script y no se puede cambiar al ejecutarlo.
Solo local
Sin ninguna conexión de red. El archivo permanece en el sistema y usted mismo lo carga.
Envío a recurso compartido
Solo una copia en un recurso compartido de su red, sin token y sin dirección. Usted sube los archivos juntos como ZIP.
Envío a Complass
El archivo llega directamente a Complass por HTTPS con un token de recopilación. Si el destino no es accesible, permanece en local.
Activos a partir de una captura de red
El vídeo corto muestra la interfaz de usuario en alemán.
Comprender qué se está ejecutando
La página del activo reúne en pestañas el resumen, la tecnología, la red, la seguridad, los contratos, las relaciones, los procesos, las evidencias y el historial.
Detalles técnicos por activo
Hardware, BIOS/UEFI, CPU, RAM, unidades, sistema operativo con su compilación, adaptadores de red y software instalado, opcionalmente puertos y servicios a la escucha. El software pasa a formar el SBOM.
Estado de seguridad desde el propio sistema
Antivirus, firewall y cifrado de unidades (BitLocker) a partir de la recopilación. Avisos como «firewall desactivado» aparecen en el activo.
Historial con origen
Los cambios desde la última recopilación aparecen en el historial, con su origen (manual, importación, script de recopilación), filtrables y exportables a Excel/CSV.
Certificados y criptografía
Certificados con aviso 30, 14 y 7 días antes del vencimiento, importación desde PEM, nmap y testssl; un inventario de claves muestra qué debe migrarse a criptografía poscuántica.
Puentes entre zonas
Complass detecta los sistemas presentes en varias redes y los evalúa: medio, alto con reenvío de IP, crítico si conectan zonas sin conducto. La vista de zonas los muestra como «puente».
SBOM para productos y plantas
El Reglamento de Ciberresiliencia exige a los fabricantes mantener una lista de materiales de software de sus productos. Los operadores la utilizan para encontrar las plantas afectadas en cuanto se conoce una nueva vulnerabilidad.
SBOM por activo y producto
Componentes con versión, proveedor, tipo, purl, CPE, licencia, suma de comprobación y componente principal. Las vulnerabilidades abiertas aparecen justo junto al componente.
Plantilla, importación o script de recopilación
Plantilla Excel/CSV, archivos existentes en CycloneDX 1.4–1.6 y SPDX 2.2/2.3 o el software del script de recopilación, siempre con vista previa.
Instantáneas y comparación
«Guardar instantánea» congela el SBOM, por ejemplo por versión de firmware. La comparación muestra los componentes añadidos, eliminados y modificados.
Exportación para clientes y autoridades
CycloneDX 1.6 (JSON, XML) y SPDX 2.3, comprobados frente a los campos obligatorios antes de la salida, además de VEX con el estado de las vulnerabilidades conocidas.
Resumen de licencias
Licencias clasificadas como permisivas, de copyleft débil o fuerte, propietarias o desconocidas. Para sus propios productos, avisos como «comprobar obligaciones» o «aclarar la licencia»; no constituye asesoramiento jurídico.
Informes y exportaciones: informe de seguridad de activos en PDF, formato de intercambio de Complass, CSV para sistemas CMDB y de tickets, CycloneDX y Excel. Las conexiones directas se describen en la página Integraciones →
Detectar los riesgos y priorizarlos con justificación
Prioridad con justificación
Si un servicio del componente afectado es accesible en la red, la prioridad de la vulnerabilidad aumenta; los servicios accesibles solo en local la reducen. Se tienen en cuenta el firewall desactivado, el antivirus desactivado y las unidades sin cifrar, cada uno con su motivo.
Fin del soporte del fabricante
Complass muestra por activo cuándo el fabricante deja de suministrar updates de seguridad para el sistema operativo o el software, con la regla y la fuente. Filtro, recuento por zona y un mosaico en el dashboard.
Operado a sabiendas, compensado
Para sistemas OT heredados documenta la segmentación, las listas de permitidos o la monitorización con un motivo y una fecha de revisión. La prioridad de las vulnerabilidades lo tiene en cuenta.
Avisos de fabricantes (CSAF)
Los avisos de seguridad de fuentes oficiales se comparan con el fabricante, el modelo y la versión de firmware de sus activos. Se verifican la firma y la suma de comprobación; si la verificación falla, el aviso no se utiliza. Sus administradores pueden desactivar fuentes por empresa.
Riesgo o tarea con un clic
A partir de un aviso en el activo crea un riesgo o una tarea ya rellenados, por ejemplo para una migración, una sustitución o una medida compensatoria.
Avisos de fabricantes de fuentes oficiales
Fuentes CSAF públicas, consultadas a diario y activables o desactivables por empresa. También puede cargar sus propios archivos CSAF, uno a uno o en un ZIP.
- Siemens ProductCERT
- Schneider Electric
- Phoenix Contact
- CERT@VDE
- ABB PSIRT
- BSI (CERT-Bund)
- CISA (avisos ICS)
Relaciones, contratos y zonas
Las relaciones y responsabilidades que necesitan el cumplimiento y la continuidad del negocio, sin tener que introducir una CMDB ITIL completa.
Relaciones con un mapa
«depende de», «se ejecuta en», «conectado a», «forma parte de», «respalda/monitoriza». El sentido inverso aparece en el otro activo; el mapa muestra el entorno hasta el segundo nivel.
Procesos de negocio
Procesos como «Línea de montaje 2» con responsable, criticidad, RTO y RPO y los activos que los sustentan, opcionalmente a través de todas las dependencias.
Contratos y mantenimiento remoto
Garantía, contrato de mantenimiento con SLA y costes, mantenimiento remoto por fabricante o proveedor de servicios con ruta de acceso y autorización. Complass recuerda a los responsables por correo electrónico 90 y 30 días antes del vencimiento.
Tags, campos personalizados, árbol de ubicaciones
Número de inventario, tags de colores, campos personalizados (texto, número, fecha, selección, sí/no) y sede, edificio, nave, sala, en la lista, los filtros, la importación y la exportación.
Estado de seguridad por activo
Bastionado con referencia, antivirus/EDR, nivel de patches, backup y backup de la configuración con fecha, y la última revisión. Las brechas aparecen como un número y un filtro.
Contratos y licencias
El inventario incluye también lo que puede usar, cuánto usa de ello y hasta cuándo. El registro está incluido en el módulo de gestión de activos, sin coste adicional.
Un registro para licencias y contratos
Licencias de software, suscripciones en la nube, contratos de mantenimiento y de servicios con fabricante, producto, modelo de licencia, cantidad, duración y plazo de preaviso, además de responsable y suplente.
Plazos con recordatorio
La fecha de rescisión o el fin del contrato aparecen en Plazos, en la suscripción al calendario y como panel en el dashboard. Complass le avisa 90, 30 y 7 días antes, sin detalles del contrato en el correo electrónico.
Con activos y evidencias
Vincule los activos en los que se ejecuta una licencia y adjunte el contrato, la factura o el certificado de licencia. Importación desde una tabla con vista previa, evidencia de auditoría en PDF o Excel.
Licenciado y utilizado
Complass compara el número de licencias adquiridas con el de las utilizadas: a partir de activos vinculados, de instalaciones según el inventario, de cuentas de un sistema, de una entrada manual o de Microsoft 365. El estado aparece en la lista, como filtro y en un mosaico. Cuando surge una nueva falta de licencias, los responsables reciben un aviso como máximo una vez por semana.
Software sin contrato
Una lista muestra las aplicaciones y los sistemas operativos del inventario que no están asignados a ningún contrato activo. Con un clic crea el contrato o marca el software, con una justificación, como «No se necesita contrato».
Deliberadamente sencillo
Complass no almacena las claves de licencia, solo el lugar donde se guardan. Los costes son opcionales y solo los ven los administradores y las personas con un permiso propio. La conciliación es un recuento y no sustituye una auditoría de licencias según las normas del fabricante.
Microsoft 365: mediante un registro de aplicación propio con permiso exclusivamente de lectura, Complass lee el número de licencias adquiridas y asignadas por producto, no los nombres de personas. desde Professional: Licencias de Microsoft 365, comparar planes
Respalda las evidencias de ISO/IEC 27001:2022 A.5.9 y A.5.32 y los datos del registro de información conforme al art. 28 DORA, sin exportación en el formato de notificación.
Zonas y conductos conforme a la IEC 62443-3-2
Zonas y conductos
Zonas y rutas de comunicación según IEC 62443-3-2 con una vista de zona × zona y un plano.
Propuesta de zonas a partir de datos de red
Complass propone zonas a partir de subredes, VLAN y conexiones observadas, e indica la zona correspondiente para los sistemas recopilados. Usted decide qué adoptar.
Puertos abiertos y puentes por zona
La vista de zonas muestra los puertos abiertos por zona, los sistemas sin soporte del fabricante y los sistemas con varias conexiones de red.
Permisos y seguridad: lectura y escritura por área, a petición solo los activos propios; exportaciones en el registro; exportaciones a partir de la suscripción. Detalles en la página Seguridad y protección de datos →
Identidades y accesos
El auditor no pregunta solo qué sistemas tiene, sino quién inicia sesión y cómo. Complass lo muestra por sistema en un solo lugar.
Inicio de sesión por sistema
SSO, directorio o cuentas locales, MFA en general y para cuentas privilegiadas, PAM y acceso de emergencia (break-glass).
Cuentas directamente o mediante importación
Directamente desde Microsoft Entra ID o su organización de GitHub, de forma periódica y solo en modo lectura, o mediante importación desde Active Directory y CSV. Las cuentas privilegiadas, compartidas y de servicio se marcan.
Revisiones de accesos (Access Reviews)
Campañas para recertificar los permisos. Si lo desea, los propietarios revisan sus grupos, usted marca permisos concretos para retirarlos, y la siguiente conciliación muestra si la retirada se ha llevado a cabo. Al final queda una evidencia sellada. incluido desde Professional: Revisiones de accesos, comparar planes
Altas y bajas
Listas de comprobación para empleados nuevos, que cambian de puesto o que se marchan; en la baja, Complass muestra las cuentas que aún existen.
Base jurídica y normativa
- ISO/IEC 27001:2022, A.5.15–A.5.18, A.8.2
- § 30 Abs. 2 Nr. 9 und 10 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir el original (gesetze-im-internet.de) ↗
Preguntas frecuentes
¿Se necesita un agente?
No. Los scripts de recopilación para Windows y Linux son legibles, no instalan nada y solo se ejecutan cuando usted o el programador de tareas los inician. Sin una recopilación válida configurada en Complass no se inician.
¿Qué ocurre en redes sin acceso a Internet?
En el modo «Envío a recurso compartido», el script copia su archivo solo a un recurso compartido de su red, sin token y sin conexión con Complass. Después usted sube los archivos juntos como ZIP.
¿Se escanean los controladores (PLC)?
No, Complass no escanea dispositivos. Para los controladores se analiza de forma pasiva una captura de red (PCAP) o registros de Zeek. Puede importar resultados de Nmap; los escaneos activos de controladores solo deberían realizarse con la autorización del operador de la planta y fuera de producción.
¿Cómo se evitan los duplicados?
Todas las vías de importación utilizan la misma conciliación por número de serie con fabricante, dirección MAC, UUID del sistema y nombre de host con dominio; la dirección IP es solo un indicio. Los casos dudosos los decide usted mismo.
¿Qué formatos hay disponibles para sistemas de terceros?
JSON en el formato de intercambio de Complass, CSV con columnas en inglés, CSV para CMDB y sistemas de tickets como ServiceNow o GLPI, CycloneDX 1.6 con VEX y CSAF 2.0 VEX. En el portal hay disponible una referencia de campos.
¿La captura de red sale de mi equipo?
No. El análisis se ejecuta en el navegador; al portal solo se envía la lista de dispositivos y conexiones detectados, que usted revisa antes de adoptarla.
¿Sustituye Complass a una herramienta de Software Asset Management?
No. El registro «Contratos y licencias» gestiona licencias, contratos, plazos y evidencias, y cuenta cuántas licencias tiene y cuántas se utilizan. No sustituye un balance de licencias según las normas de licencias de los fabricantes.
¿Cuesta algo más el registro «Contratos y licencias»?
No, está incluido en el elemento Gestión de activos. Con la gestión de proveedores, además ve los contratos en el proveedor correspondiente.
¿La gestión de activos es un módulo aparte?
Sí, se puede contratar como módulo y es la base de la gestión de vulnerabilidades, riesgos e incidentes y del modelo de zonas.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.