Funciones incluido desde Professional: Gestión de vulnerabilidades, comparar planes
Gestión de vulnerabilidades
Encuentre las vulnerabilidades conocidas de sus activos, priorícelas en el contexto de sus plantas y resuélvalas de forma trazable.
Cada año se publican decenas de miles de vulnerabilidades. Lo importante es cuáles afectan a sus plantas y qué hacer primero.
Cómo le ayuda Complass
Conciliación sin que los datos salgan
El software y el firmware de su inventario de activos se concilian con datos públicos de vulnerabilidades (NVD, CISA KEV, EPSS, ENISA EUVD). Los datos se replican en el servidor; su información no sale del portal.
Importaciones desde escáneres, SBOM y VEX
Adopte resultados de escáneres habituales, listas de materiales de software (CycloneDX, SPDX) y documentos VEX, con vista previa y opción de deshacer.
Prioridad en contexto
De P1 a P4 según la gravedad, la exposición y la criticidad del activo, la explotación activa (KEV) y EPSS, cada una con justificación y plazo.
Medidas recomendadas con su fuente
Avisos y updates de fabricantes procedentes de los datos de referencia, añadidos al plan de acción como tarea con un clic.
Avisos de seguridad de fabricantes (CSAF)
Cargue los avisos CSAF de los fabricantes o haga que se carguen desde fuentes públicas seleccionadas: se verifican la firma y la suma de comprobación, y las coincidencias con el modelo y la versión de firmware se convierten en hallazgos con las medidas del fabricante, sin hallazgos duplicados para el mismo CVE.
Notificación y comunicación del CRA
Correo electrónico al superar un umbral y, siempre, para las vulnerabilidades explotadas activamente. Si una de ellas afecta a uno de sus propios productos, crea el incidente conforme al art. 14 del CRA ya rellenado.
Base jurídica y normativa
- § 30 Abs. 2 Nr. 5 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir el original (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAnexo I Parte II Reglamento de Ciberresiliencia Requisitos de gestión de las vulnerabilidadesLos fabricantes de los productos con elementos digitales: 1) identificarán y documentarán las vulnerabilidades y los componentes presentes en el producto con elementos digitales, también mediante la elaboración de una nomenclatura de materiales de los programas informáticos en un formato comúnmente utilizado y legible por máquina, que incluya, como mínimo, las dependencias de máximo nivel del producto; 2) por lo que …Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArtículo 14 Reglamento de Ciberresiliencia Obligaciones de información de los fabricantes1. Los fabricantes notificarán simultáneamente al CSIRT designado como coordinador, de conformidad con el apartado 7 del presente artículo, y a la ENISA cualquier vulnerabilidad aprovechada activamente presente en el producto con elementos digitales de la que tengan conocimiento. El fabricante notificará dicha vulnerabilidad aprovechada activamente a través de la plataforma única de notificación establecida en …Abrir el original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, A.8.8
Priorizar, decidir, acreditar
No toda vulnerabilidad crítica es urgente para usted. Complass justifica el orden y registra las decisiones.
Decisión según SSVC
La explotación, la exposición y el impacto conducen a una decisión como «actuar de inmediato» o «corregir según lo planificado»; se incorpora la lista de la UE de vulnerabilidades explotadas activamente.
Excepciones con aprobación por el principio de los cuatro ojos
Reglas para excepciones justificadas, aprobadas por una segunda persona y con fecha de caducidad.
Catálogo de software
Defina una sola vez cómo se llama un programa o tipo de dispositivo; después cada nuevo activo se concilia automáticamente de forma correcta, incluso sin CPE.
Plazos con escalado
Recordatorio antes del vencimiento y escalado si se supera.
Avisos de seguridad de las distribuciones de Linux
Debian, Ubuntu, Alpine, AlmaLinux y Rocky Linux se contrastan con la comparación de versiones del gestor de paquetes. Si una corrección está retroportada, Complass cierra el hallazgo por sí mismo.
Bastionado y detección
Los auditores quieren ver que los sistemas están bastionados y que los ataques se detectarían. Ambas cosas las acredita con datos de sus herramientas.
Contraste de bastionado incluido desde Professional: Contraste de bastionado, comparar planes
Importe resultados de SCAP (XCCDF, ARF), Wazuh SCA o CSV: cumplimiento por activo y requisito, desviaciones aprobadas con justificación.
Fuentes de registros incluido desde Professional: Fuentes de registros, comparar planes
Qué sistemas registran dónde y durante cuánto tiempo, como registro con cobertura por activo.
Cobertura de detección según MITRE ATT&CK incluido desde Professional: Cobertura de detección, comparar planes
Sus reglas de detección por técnica como mapa de calor: usted ve dónde un ataque pasaría desapercibido.
El contraste de bastionado y las fuentes de registros forman parte del módulo de gestión de activos; la cobertura de detección, del módulo de gestión de vulnerabilidades.
Base jurídica y normativa
- Art. 21 Abs. 2 lit. b und e NIS2-RichtlinieArtículo 21 Directiva SRI 2 Medidas para la gestión de riesgos de ciberseguridad1. Los Estados miembros velarán por que las entidades esenciales e importantes tomen las medidas técnicas, operativas y de organización adecuadas y proporcionadas para gestionar los riesgos que se planteen para la seguridad de los sistemas de redes y de información que utilizan dichas entidades en sus operaciones o en la prestación de sus servicios y prevenir o minimizar las repercusiones de los incidentes en los …Abrir el original (EUR-Lex) ↗
- ISO/IEC 27001:2022, A.8.9, A.8.15, A.8.16
- IEC 62443-3-3, SR 6.2, SR 7.6
Preguntas frecuentes
¿Se envían los datos de mis activos a la NVD o a otros servicios?
No. El portal descarga los datos públicos en su propio servidor y realiza allí la conciliación. No se envía ninguna información de su inventario.
¿Necesito la gestión de activos para esto?
Sí, la conciliación se refiere al software y al firmware de los activos. Las importaciones desde escáneres también asignan los hallazgos a activos.
¿Cómo trato los hallazgos que no proceden?
Usted establece el estado con un motivo, por ejemplo «no afectado». Las declaraciones de los fabricantes se adoptan mediante la importación VEX, con su motivo.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.