Funzionalità incluso a partire da Business: Risk management, confrontare i pacchetti
Risk management
Identificare, valutare e trattare i rischi con il metodo più adatto alla vostra azienda, collegati ad asset, vulnerabilità e misure.
Quasi ogni framework richiede un approccio basato sul rischio, e la valutazione deve essere coerente con gli asset, le vulnerabilità e le misure che già documentate.
Come Complass aiuta
Registro dei rischi con contesto
Rischi collegati ad asset, zone e sedi, associati a vulnerabilità, incidenti e dichiarazione di applicabilità.
Il metodo che preferite
Matrice da 3 × 3 a 5 × 5 con modelli secondo ISO/IEC 27005, IEC 62443-3-2 e BSI Standard 200-3. Qualitativa, quantitativa come perdita annua attesa in euro con intervalli (P50/P90), oppure combinata.
Propensione al rischio e accettazione
Propensione al rischio e criteri di accettazione liberamente definibili, con livelli di approvazione. A partire dalla classe che stabilisce Lei, e sempre al di sopra della propensione al rischio, è necessaria l’approvazione di una seconda persona (principio dei quattro occhi).
Trattamento con analisi costi-benefici
Misure e attività per ogni rischio, rischio residuo con le misure attuate, rischio obiettivo dopo tutte le misure pianificate con approvazione da parte del titolare del rischio e analisi costi-benefici (ROSI). Piano di trattamento del rischio e rapporto di valutazione del rischio in PDF.
Heatmap e valutazione del rischio per zona
Heatmap per rischio inerente, rischio residuo e rischio obiettivo, valutazione del rischio per zona secondo IEC 62443-3-2. È possibile registrare le tecniche di attacco secondo MITRE ATT&CK.
Basi giuridiche e normative
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Apri l’originale (gesetze-im-internet.de) ↗
- Art. 21 NIS2-RichtlinieArticolo 21 Direttiva NIS 2 Misure di gestione dei rischi di cibersicurezza1. Gli Stati membri provvedono affinché i soggetti essenziali e importanti adottino misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l'impatto degli incidenti per i destinatari dei loro servizi e …Apri l’originale (EUR-Lex) ↗
- Art. 13 CRAArticolo 13 Regolamento sulla ciberresilienza Obblighi dei fabbricanti1. All’atto dell’immissione sul mercato di un prodotto con elementi digitali, i fabbricanti assicurano che esso sia stato progettato, sviluppato e prodotto conformemente ai requisiti essenziali di cibersicurezza di cui all’allegato I, parte I. 2. Ai fini della conformità al paragrafo 1, i fabbricanti effettuano una valutazione dei rischi di cibersicurezza associati a un prodotto con elementi digitali e tengono conto …Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, 6.1 und 8.2–8.3
- ISO/IEC 27005
- IEC 62443-3-2
- BSI-Standard 200-3
MITRE ATT&CK come framework e quadro delle minacce
MITRE ATT&CK descrive come operano realmente gli attaccanti. Complass collega questa base di conoscenza pubblica con le vostre misure, vulnerabilità e incidenti – configurabile per azienda, per IT, OT o entrambi.
Heatmap tattica × tecnica
Enterprise per l’IT, ICS per controllori e impianti: quali tecniche di attacco coprono le vostre misure, dove sono le lacune? Filtri per piattaforma e tipo di asset, come PLC, HMI o postazione di engineering.
Mitigazioni come requisiti
Stato, motivazione, evidenze e attività per ogni mitigazione, precompilati a partire dall’attuazione di ISO 27001 Allegato A e IEC 62443-3-3.
Vulnerabilità, incidenti, rischi
Tecniche rese possibili da vulnerabilità aperte, tecniche osservate negli incidenti e scenari di rischio creati direttamente da una tecnica.
© The MITRE Corporation. ATT&CK® è un marchio registrato di The MITRE Corporation.
Domande frequenti
Qualitativo o quantitativo: qual è l’approccio giusto?
Entrambi sono ammissibili. Molte aziende iniziano con una matrice e valutano inoltre i rischi importanti in euro. Complass supporta entrambi gli approcci e la loro combinazione.
Possiamo mantenere il nostro metodo attuale?
Sì, dimensione della matrice, livelli, propensione al rischio e criteri di accettazione li definite voi, oppure partite da un modello.
Che rapporto c’è tra la gestione dei rischi e i framework?
I trattamenti del rischio rimandano a misure e requisiti, ad es. nella dichiarazione di applicabilità. In questo modo si può ricostruire perché una misura viene attuata.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.