Funzionalità incluso a partire da Professional: Asset management, confrontare i pacchetti
Asset management
Il Suo inventario degli asset come base comune per compliance e sicurezza: IT e OT su un’unica piattaforma centrale, rilevati senza agent, con SBOM, avvisi dei produttori e relazioni.
Non si possono proteggere impianti che non si conoscono, e questa conoscenza è spesso dispersa tra fogli di calcolo, esportazioni di strumenti e teste delle persone.
Rilevare senza agent
Script di raccolta al posto di un agent
Script leggibili per Windows (PowerShell, cmd per i sistemi più datati) e Linux. Si limitano a leggere, non installano nulla e scrivono un file per sistema.
Firmati, cifrati, verificati
I file degli script PowerShell e Linux sono firmati e cifrati. Complass rifiuta file alterati, estranei o duplicati. L’importazione avviene in blocco con anteprima, anche come ZIP.
Riutilizzare ciò che già avete
Importazione dal modello Excel/CSV, da Zeek e Nmap e da esportazioni CSV dei più comuni strumenti di monitoraggio OT. Le catture di rete (PCAP, PCAPNG) vengono analizzate nel vostro browser; il file non lascia il vostro computer.
Nessun duplicato
Tutti i percorsi di importazione eseguono la corrispondenza a livello centrale: numero di serie con fornitore, indirizzo MAC, UUID di sistema, hostname con dominio. I casi dubbi compaiono come “possibile duplicato: verificare” e non vengono mai creati automaticamente.
Dispositivi e fornitori individuati
Le tabelle dei vicini dei sistemi forniscono ulteriori dispositivi come candidati, mai direttamente come asset. Se manca il fornitore, Complass lo suggerisce dal registro pubblico IEEE, contrassegnato come “ipotizzato (MAC)”.
Dai Suoi strumenti
I connettori per gli asset leggono l’inventario da NetBox, Snipe-IT, Intune, Lansweeper e strumenti OT.
Distribuzione tramite criteri di gruppo
Modello per l’utilità di pianificazione di Windows, più istruzioni per criteri di gruppo, timer systemd e cron.
Basi giuridiche e normative
- IEC 62443-3-2
- IEC 62443-2-1
- ISO/IEC 27001:2022, A.5.9
- ISO/IEC 27001:2022, A.8.9
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Apri l’originale (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAllegato I Parte II Regolamento sulla ciberresilienza Requisiti di gestione delle vulnerabilitàI fabbricanti di prodotti con elementi digitali: 1) identificano e documentano le vulnerabilità e i componenti contenuti nel prodotto con elementi digitali, redigendo anche una distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, che includa almeno le dipendenze di primo livello del prodotto; 2) in relazione ai rischi posti dai prodotti con elementi digitali, affrontano e …Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗

Tre modalità per gli script di raccolta
In Complass decidete come il file vi raggiunge. La modalità è fissata nello script e non può essere modificata all’esecuzione.
Solo in locale
Nessuna connessione di rete. Il file resta sul sistema; lo caricate voi stessi.
Push su una condivisione
Solo una copia su una condivisione nella Sua rete, senza token e senza indirizzo. Carica poi i file raccolti come ZIP.
Push verso Complass
Il file arriva direttamente a Complass via HTTPS con un token di raccolta. Se la destinazione non è raggiungibile, il file resta in locale.
Asset da una cattura di rete
Il video breve mostra l’interfaccia utente in tedesco.
Capire che cosa è in esecuzione
La pagina dell’asset riunisce in schede panoramica, tecnologia, rete, sicurezza, contratti, relazioni, processi, evidenze e cronologia.
Dettagli tecnici per ogni asset
Hardware, BIOS/UEFI, CPU, RAM, unità, sistema operativo con build, schede di rete e software installato, facoltativamente porte in ascolto e servizi. Il software diventa la SBOM.
Stato di sicurezza dal sistema
Antivirus, firewall e cifratura delle unità (BitLocker) dalla raccolta. Segnalazioni come “firewall disattivato” compaiono sull’asset.
Cronologia con origine
Le modifiche dall’ultima raccolta compaiono nella cronologia, con origine (manuale, importazione, script di raccolta), filtrabili ed esportabili in Excel/CSV.
Certificati e crittografia
Certificati con avviso a 30, 14 e 7 giorni dalla scadenza, importazione da PEM, nmap e testssl; un inventario delle chiavi mostra che cosa deve essere migrato alla crittografia post-quantistica.
Ponti tra le zone
Complass rileva i sistemi presenti in più reti e li valuta: medio, alto con IP forwarding, critico se collegano zone senza un conduit. La panoramica delle zone li mostra come “ponte”.
SBOM per prodotti e impianti
Il regolamento sulla ciberresilienza (CRA) impone ai produttori di tenere una distinta base del software (SBOM) per i propri prodotti. I gestori la usano per individuare gli impianti interessati non appena viene resa nota una nuova vulnerabilità.
SBOM per asset e prodotto
Componenti con versione, fornitore, tipo, purl, CPE, licenza, checksum e componente padre. Le vulnerabilità aperte compaiono direttamente accanto al componente.
Modello, importazione o script di raccolta
Modello Excel/CSV, file esistenti in CycloneDX 1.4–1.6 e SPDX 2.2/2.3 oppure il software dallo script di raccolta, sempre con anteprima.
Snapshot e confronto
“Salvare snapshot” congela la SBOM, ad es. per ogni versione del firmware. Il confronto mostra i componenti aggiunti, rimossi e modificati.
Esportazione per clienti e autorità
CycloneDX 1.6 (JSON, XML) e SPDX 2.3, verificati rispetto ai campi obbligatori prima dell’output, più VEX con lo stato delle vulnerabilità note.
Panoramica delle licenze
Licenze classificate come permissive, copyleft debole o forte, proprietarie o sconosciute. Per i vostri prodotti, segnalazioni come “verificare gli obblighi” o “chiarire la licenza”; non costituisce consulenza legale.
Rapporti ed esportazioni: rapporto di sicurezza degli asset in PDF, formato di scambio Complass, CSV per sistemi CMDB e di ticketing, CycloneDX ed Excel. I collegamenti diretti sono indicati nella pagina Integrazioni →
Riconoscere i rischi e classificarli per priorità con motivazioni
Priorità con motivazione
Se un servizio del componente interessato è raggiungibile in rete, la priorità della vulnerabilità aumenta; i servizi raggiungibili solo in locale la abbassano. Firewall disattivato, antivirus disattivato e unità non cifrate vengono considerati, ciascuno con la relativa motivazione.
Fine del supporto del fornitore
Complass mostra per ogni asset quando il fornitore smette di rilasciare update di sicurezza per il sistema operativo o il software, con regola e fonte. Filtro, conteggio per zona e tile della dashboard.
Gestito consapevolmente, compensato
Per i sistemi OT legacy documentate segmentazione, allowlisting o monitoraggio con motivazione e data di riesame. La priorità delle vulnerabilità ne tiene conto.
Bollettini dei fornitori (CSAF)
I bollettini di sicurezza da fonti ufficiali vengono confrontati con fornitore, modello e versione del firmware dei vostri asset. Firma e checksum vengono verificati; se la verifica fallisce, il bollettino non viene utilizzato. I vostri amministratori possono disattivare le fonti per ogni azienda.
Rischio o attività con un clic
Da una segnalazione sull’asset create un rischio o un’attività precompilati, ad esempio per migrazione, sostituzione o una misura compensativa.
Bollettini dei fornitori da fonti ufficiali
Feed CSAF pubblici, recuperati ogni giorno e attivabili o disattivabili per ogni azienda. Potete anche caricare file CSAF propri, singolarmente o come ZIP.
- Siemens ProductCERT
- Schneider Electric
- Phoenix Contact
- CERT@VDE
- ABB PSIRT
- BSI (CERT-Bund)
- CISA (ICS advisories)
Relazioni, contratti e zone
Le relazioni e le responsabilità necessarie a compliance e continuità operativa, senza dover introdurre un CMDB ITIL completo.
Relazioni con una mappa
“dipende da”, “è eseguito su”, “connesso a”, “parte di”, “esegue il backup/monitora”. La direzione inversa compare sull’altro asset; la mappa mostra il contesto fino al secondo livello.
Processi aziendali
Processi come “Linea di montaggio 2” con responsabile, criticità, RTO e RPO e gli asset che li supportano, facoltativamente lungo tutte le dipendenze.
Contratti e manutenzione remota
Garanzia, contratto di manutenzione con SLA e costi, manutenzione remota da parte di fornitore o prestatore di servizi con percorso di accesso e autorizzazione. Complass ricorda ai responsabili via e-mail 90 e 30 giorni prima della scadenza.
Tag, campi personalizzati, albero delle sedi
Numero di inventario, tag colorati, campi personalizzati (testo, numero, data, scelta, sì/no) e sede, edificio, capannone, locale – in elenco, filtri, importazione ed esportazione.
Stato di sicurezza per asset
Hardening con riferimento, antivirus/EDR, livello di patch, backup e backup della configurazione con data, e l’ultimo riesame. Le lacune compaiono come numero e come filtro.
Contratti e licenze
Dell’inventario fa parte anche ciò che potete utilizzare, in che misura lo utilizzate e fino a quando. Il registro è incluso nel modulo Asset management, senza costi aggiuntivi.
Un registro per licenze e contratti
Licenze software, abbonamenti cloud, contratti di manutenzione e di servizio con produttore, prodotto, modello di licenza, quantità, durata e termine di disdetta, oltre a responsabile e sostituto.
Scadenze con promemoria
La data di disdetta o la fine del contratto compaiono alla voce Scadenze, nell’abbonamento al calendario e come riquadro nella dashboard. Complass invia un promemoria 90, 30 e 7 giorni prima, senza dettagli del contratto nell’e-mail.
Con asset ed evidenze
Collegate gli asset su cui è in uso una licenza e allegate contratto, fattura o certificato di licenza. Importazione da una tabella con anteprima, evidenza per l’audit in PDF o Excel.
Con licenza e in uso
Complass confronta il numero di licenze con il numero in uso: da asset collegati, installazioni secondo l’inventario, account di un sistema, un inserimento manuale o da Microsoft 365. Lo stato compare nell’elenco, come filtro e su una tessera. In caso di nuova carenza di licenze, i responsabili ricevono una segnalazione al massimo una volta alla settimana.
Software senza contratto
Un elenco mostra applicazioni e sistemi operativi dell’inventario che non sono assegnati ad alcun contratto attivo. Con un clic create il contratto oppure contrassegnate il software, motivando, come “Contratto non necessario”.
Volutamente snello
Complass non memorizza le chiavi di licenza, ma solo il luogo in cui sono conservate. I costi sono facoltativi e visibili solo agli amministratori e alle persone con un diritto apposito. La riconciliazione è un conteggio e non sostituisce una verifica delle licenze secondo le regole del fabbricante.
Microsoft 365: tramite una registrazione dell’app dedicata con autorizzazione esclusivamente di lettura, Complass legge il numero di licenze acquistate e assegnate per prodotto, non i nomi delle persone. da Professional: Licenze Microsoft 365, confrontare i pacchetti
Supporta le evidenze per ISO/IEC 27001:2022 A.5.9 e A.5.32 nonché le informazioni per il registro delle informazioni ai sensi dell’art. 28 DORA, senza esportazione nel formato di segnalazione.
Zone e conduit secondo IEC 62443-3-2
Zone e conduit
Zone e percorsi di comunicazione secondo IEC 62443-3-2 con una panoramica zona × zona e una planimetria.
Proposta di zone dai dati di rete
Complass propone le zone a partire da sottoreti, VLAN e connessioni osservate e indica la zona adatta per i sistemi rilevati. Decidete voi che cosa adottare.
Porte aperte e ponti per zona
La panoramica delle zone mostra le porte aperte per zona, i sistemi senza supporto del fornitore e i sistemi multi-homed.

Diritti e sicurezza: lettura e scrittura per area, su richiesta solo i propri asset; esportazioni registrate nel log; esportazioni dall’abbonamento in su. Dettagli nella pagina Sicurezza e protezione dei dati →
Identità e accessi
L’auditor non chiede solo quali sistemi avete, ma chi vi accede e in che modo. Complass lo mostra per ogni sistema in un unico punto.
Autenticazione per sistema
SSO, directory o account locali, MFA in generale e per gli account privilegiati, PAM e accesso di emergenza (break-glass).
Account direttamente o tramite importazione
Direttamente da Microsoft Entra ID o dalla vostra organizzazione GitHub, a intervalli regolari e in sola lettura, oppure tramite importazione da Active Directory e CSV. Gli account con privilegi, condivisi e di servizio vengono contrassegnati.
Riesami degli accessi (access review)
Campagne per la ricertificazione dei diritti. Su richiesta, i titolari verificano i propri gruppi, voi contrassegnate i singoli diritti da revocare e la riconciliazione successiva mostra se la revoca è stata eseguita. Alla fine si ottiene un’evidenza sigillata. incluso a partire da Professional: Riesami degli accessi, confrontare i pacchetti
Ingressi e uscite del personale
Checklist per il personale in ingresso, in cambio di ruolo e in uscita; all’uscita Complass mostra gli account ancora esistenti.
Basi giuridiche e normative
- ISO/IEC 27001:2022, A.5.15–A.5.18, A.8.2
- § 30 Abs. 2 Nr. 9 und 10 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Apri l’originale (gesetze-im-internet.de) ↗
Domande frequenti
È necessario un agent?
No. Gli script di raccolta per Windows e Linux sono leggibili, non installano nulla e vengono eseguiti solo quando li avviate voi o l’utilità di pianificazione. Senza una raccolta valida configurata in Complass non si avviano.
Che cosa succede nelle reti senza accesso a Internet?
Nella modalità “Push su una condivisione” lo script copia il proprio file solo su una condivisione nella Sua rete, senza token e senza connessione a Complass. Carica poi i file raccolti come ZIP.
I controllori (PLC) vengono sottoposti a scansione?
No, Complass non esegue scansioni dei dispositivi. Per i controllori si analizza in modo passivo una cattura di rete (PCAP) o i log di Zeek. È possibile importare i risultati di Nmap; le scansioni attive dei controllori dovrebbero essere eseguite solo con l’autorizzazione del gestore dell’impianto e al di fuori della produzione.
Come si evitano i duplicati?
Tutti i percorsi di importazione usano la stessa corrispondenza per numero di serie con fornitore, indirizzo MAC, UUID di sistema e hostname con dominio; l’indirizzo IP è solo un indizio. I casi dubbi li decidete voi.
Quali formati sono disponibili per i sistemi di terze parti?
JSON nel formato di scambio Complass, CSV con colonne in inglese, CSV per CMDB e sistemi di ticketing come ServiceNow o GLPI, CycloneDX 1.6 con VEX e CSAF 2.0 VEX. Nel portale è disponibile un riferimento dei campi.
La cattura di rete lascia il mio computer?
No. L’analisi viene eseguita nel browser; al portale viene inviato solo l’elenco dei dispositivi e delle connessioni rilevati, che verificate prima di adottarlo.
Complass sostituisce uno strumento di Software Asset Management?
No. Il registro “Contratti e licenze” gestisce licenze, contratti, scadenze ed evidenze e conta quante licenze avete e quante ne vengono utilizzate. Non sostituisce un bilancio delle licenze secondo le regole di licenza dei fabbricanti.
Il registro “Contratti e licenze” costa un extra?
No, è incluso nel componente Asset management. Con la gestione dei fornitori vedete i contratti anche presso il fornitore interessato.
L’asset management è un modulo separato?
Sì, può essere prenotato come modulo ed è la base per vulnerability, risk e incident management e per il modello a zone.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.