Fonctionnalités inclus à partir de Professional: Gestion des vulnérabilités, comparer les offres
Gestion des vulnérabilités
Trouvez les vulnérabilités connues de vos actifs, priorisez-les dans le contexte de vos installations et traitez-les de façon traçable.
Des dizaines de milliers de vulnérabilités sont publiées chaque année. L’essentiel est de savoir lesquelles touchent vos installations et par quoi commencer.
Comment Complass vous aide
Rapprochement sans fuite de données
Les logiciels et firmwares de votre inventaire des actifs sont rapprochés des données publiques sur les vulnérabilités (NVD, CISA KEV, EPSS, ENISA EUVD). Les données sont répliquées sur le serveur ; vos informations ne quittent pas le portail.
Imports depuis des scanners, SBOM et VEX
Reprenez les résultats de scanners courants, de nomenclatures logicielles (CycloneDX, SPDX) et de documents VEX, avec aperçu et annulation.
Priorité en contexte
De P1 à P4 selon la gravité, l’exposition et la criticité de l’actif, l’exploitation active (KEV) et l’EPSS, chacune avec justification et échéance.
Actions recommandées avec source
Avis des fabricants et mises à jour issues des données de référence, ajoutés au plan d’action sous forme de tâche en un clic.
Avis de sécurité des fabricants (CSAF)
Téléversez les avis CSAF des fabricants ou faites-les charger depuis des flux publics sélectionnés : signature et somme de contrôle sont vérifiées, les correspondances sur le modèle et la version de firmware deviennent des constats avec les mesures du fabricant, sans constats en double pour une même CVE.
Notification et signalement CRA
E-mail au-delà d’un seuil, toujours pour les vulnérabilités activement exploitées. Si une telle vulnérabilité touche l’un de vos propres produits, vous créez l’incident au titre de l’art. 14 du CRA prérempli.
Bases juridiques et normatives
- § 30 Abs. 2 Nr. 5 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Ouvrir l’original (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAnnexe I Partie II Règlement sur la cyberrésilience Exigences relatives à la gestion des vulnérabilitésLes fabricants des produits comportant des éléments numériques: 1) recensent et documentent les vulnérabilités et les composants des produits, notamment par l’établissement d’une nomenclature des logiciels dans un format couramment utilisé et lisible par machine couvrant au moins les dépendances de niveau supérieur des produits; 2) gèrent et corrigent sans retard les vulnérabilités qui touchent les produits …Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
- Art. 14 CRAArticle 14 Règlement sur la cyberrésilience Obligations en matière de communication d’informations incombant aux fabricants1. Un fabricant notifie toute vulnérabilité activement exploitée contenue dans le produit comportant des éléments numériques dont il prend connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 du présent article, et à l’ENISA. Le fabricant notifie cette vulnérabilité activement exploitée par l’intermédiaire de la plateforme unique de signalement établie en vertu de l’article 16. …Ouvrir l’original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90768, 3.10.2025; OJ L 2025/90828, 17.10.2025; OJ L 2026/90243, 25.3.2026) ↗
- ISO/IEC 27001:2022, A.8.8
Prioriser, décider, prouver
Toutes les vulnérabilités critiques ne sont pas urgentes chez vous. Complass motive l’ordre de traitement et consigne les décisions.
Décision selon SSVC
L’exploitation, l’exposition et l’impact mènent à une décision telle que « agir immédiatement » ou « corriger selon le planning » ; la liste de l’UE des vulnérabilités activement exploitées est prise en compte.
Exceptions avec validation à quatre yeux
Règles pour les exceptions motivées, validées par une seconde personne et assorties d’une date d’expiration.
Catalogue de logiciels
Définissez une fois comment s’appelle un programme ou un type d’appareil ; chaque nouvel actif est ensuite rapproché correctement de façon automatique, même sans CPE.
Échéances avec escalade
Rappel avant l’échéance et escalade en cas de dépassement.
Avis de sécurité des distributions Linux
Debian, Ubuntu, Alpine, AlmaLinux et Rocky Linux sont rapprochés avec la comparaison de versions du gestionnaire de paquets. Si un correctif a été rétroporté, Complass clôt lui-même le constat.
Durcissement et détection
Les auditeurs veulent voir que les systèmes sont durcis et que les attaques seraient remarquées. Vous prouvez les deux avec des données issues de vos outils.
Comparaison de durcissement inclus à partir de Professional: Comparaison de durcissement, comparer les offres
Importez des résultats SCAP (XCCDF, ARF), Wazuh SCA ou CSV : conformité par actif et par référentiel de base, écarts approuvés avec justification.
Sources de journaux inclus à partir de Professional: Sources de journaux, comparer les offres
Quels systèmes journalisent où et combien de temps, sous forme de registre avec couverture par actif.
Couverture de détection selon MITRE ATT&CK inclus à partir de Professional: Couverture de détection, comparer les offres
Vos règles de détection par technique sous forme de carte thermique : vous voyez où une attaque passerait inaperçue.
La comparaison de durcissement et les sources de journaux relèvent du module Gestion des actifs, la couverture de détection du module Gestion des vulnérabilités.
Bases juridiques et normatives
- Art. 21 Abs. 2 lit. b und e NIS2-RichtlinieArticle 21 Directive SRI 2 Mesures de gestion des risques en matière de cybersécurité1. Les États membres veillent à ce que les entités essentielles et importantes prennent les mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information que ces entités utilisent dans le cadre de leurs activités ou de la fourniture de leurs services, ainsi que pour éliminer ou réduire les conséquences …Ouvrir l’original (EUR-Lex) ↗
- ISO/IEC 27001:2022, A.8.9, A.8.15, A.8.16
- IEC 62443-3-3, SR 6.2, SR 7.6
Questions fréquentes
Les données de mes actifs sont-elles envoyées à la NVD ou à d’autres services ?
Non. Le portail télécharge les données publiques sur son propre serveur et effectue le rapprochement sur place. Aucune information de votre inventaire n’est envoyée à l’extérieur.
Ai-je besoin de la gestion des actifs pour cela ?
Oui, le rapprochement porte sur les logiciels et firmwares des actifs. Les imports de scanners rattachent aussi les constats aux actifs.
Comment traiter les constats qui ne s’appliquent pas ?
Vous définissez le statut avec un motif, par exemple « non concerné ». Vous reprenez les déclarations des fabricants via l’import VEX, avec le motif.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.