Funciones incluido desde Business: Gestión de riesgos, comparar planes
Gestión de riesgos
Identifique, evalúe y trate los riesgos con el método que mejor se adapte a su empresa, conectados con activos, vulnerabilidades y medidas.
Casi todos los marcos normativos exigen un enfoque basado en el riesgo, y la evaluación debe encajar con los activos, las vulnerabilidades y las medidas que ya documenta.
Cómo le ayuda Complass
Registro de riesgos con contexto
Riesgos vinculados a activos, zonas y ubicaciones, relacionados con vulnerabilidades, incidentes y la declaración de aplicabilidad.
El método que usted elija
Matriz de 3 × 3 a 5 × 5 con plantillas según ISO/IEC 27005, IEC 62443-3-2 y el estándar BSI 200-3. Cualitativa, cuantitativa como pérdida anual esperada en euros con rangos (P50/P90) o combinada.
Apetito de riesgo y aceptación
Apetito de riesgo y criterios de aceptación definibles libremente, con niveles de aprobación. A partir de la clase que usted fije, y siempre por encima del apetito de riesgo, una segunda persona da su conformidad (principio de los cuatro ojos).
Tratamiento con análisis coste-beneficio
Medidas y tareas por riesgo, riesgo residual con las medidas implementadas, riesgo objetivo tras todas las medidas previstas con aprobación del propietario del riesgo y análisis de coste-beneficio (ROSI). Plan de tratamiento del riesgo e informe de evaluación de riesgos en PDF.
Heatmap y evaluación de riesgos por zonas
Mapa de calor del riesgo inherente, el riesgo residual y el riesgo objetivo, evaluación de riesgos por zona conforme a IEC 62443-3-2. Es posible registrar técnicas de ataque según MITRE ATT&CK.
Base jurídica y normativa
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir el original (gesetze-im-internet.de) ↗
- Art. 21 NIS2-RichtlinieArtículo 21 Directiva SRI 2 Medidas para la gestión de riesgos de ciberseguridad1. Los Estados miembros velarán por que las entidades esenciales e importantes tomen las medidas técnicas, operativas y de organización adecuadas y proporcionadas para gestionar los riesgos que se planteen para la seguridad de los sistemas de redes y de información que utilizan dichas entidades en sus operaciones o en la prestación de sus servicios y prevenir o minimizar las repercusiones de los incidentes en los …Abrir el original (EUR-Lex) ↗
- Art. 13 CRAArtículo 13 Reglamento de Ciberresiliencia Obligaciones de los fabricantes1. Cuando se introduzca en el mercado un producto con elementos digitales, los fabricantes garantizarán que el producto ha sido diseñado, desarrollado y producido de conformidad con los requisitos esenciales de ciberseguridad establecidos en el anexo I, parte I. 2. A efectos del cumplimiento del apartado 1, los fabricantes llevarán a cabo una evaluación de los riesgos de ciberseguridad asociados a un producto con …Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, 6.1 und 8.2–8.3
- ISO/IEC 27005
- IEC 62443-3-2
- BSI-Standard 200-3
MITRE ATT&CK como marco y como panorama de amenazas
MITRE ATT&CK describe cómo operan realmente los atacantes. Complass conecta esta base de conocimiento pública con sus medidas, vulnerabilidades e incidentes, configurable por empresa, para TI, OT o ambos.
Heatmap táctica × técnica
Enterprise para TI, ICS para controladores y plantas: ¿qué técnicas de ataque cubren sus medidas y dónde están las brechas? Filtros por plataforma y tipo de activo, como PLC, HMI o estación de ingeniería.
Mitigaciones como requisitos
Estado, justificación, evidencia y tareas por mitigación, rellenados previamente a partir de su implantación de ISO 27001 anexo A e IEC 62443-3-3.
Vulnerabilidades, incidentes y riesgos
Técnicas habilitadas por vulnerabilidades abiertas, técnicas observadas en incidentes y escenarios de riesgo creados directamente a partir de una técnica.
© The MITRE Corporation. ATT&CK® es una marca registrada de The MITRE Corporation.
Preguntas frecuentes
¿Cualitativo o cuantitativo? ¿Cuál es el adecuado?
Ambos son admisibles. Muchas empresas empiezan con una matriz y evalúan además en euros los riesgos importantes. Complass admite ambos enfoques y su combinación.
¿Podemos conservar nuestro método actual?
Sí, usted mismo define el tamaño de la matriz, los niveles, el apetito de riesgo y los criterios de aceptación, o bien empieza con una plantilla.
¿Qué relación tiene la gestión de riesgos con los marcos normativos?
Los tratamientos de riesgos se refieren a medidas y requisitos, por ejemplo en la declaración de aplicabilidad. Así queda trazable por qué se implanta una medida.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.