Funzionalità incluso a partire da Professional: Vulnerability management, confrontare i pacchetti
Vulnerability management
Individuare le vulnerabilità note nei vostri asset, classificarle per priorità nel contesto dei vostri impianti e gestirle in modo tracciabile.
Ogni anno vengono pubblicate decine di migliaia di vulnerabilità. Ciò che conta è quali riguardano i vostri impianti e che cosa fare per primo.
Come Complass aiuta
Corrispondenza senza che i dati escano
Software e firmware del vostro inventario degli asset vengono confrontati con i dati pubblici sulle vulnerabilità (NVD, CISA KEV, EPSS, ENISA EUVD). I dati sono replicati sul server; le vostre informazioni non lasciano il portale.
Importazioni da scanner, SBOM e VEX
Acquisite i risultati dei più comuni scanner, delle distinte base del software (CycloneDX, SPDX) e dei documenti VEX, con anteprima e annullamento.
Priorità nel contesto
Da P1 a P4 in base a gravità, esposizione e criticità dell’asset, sfruttamento attivo (KEV) ed EPSS, ciascuna con motivazione e scadenza.
Misure raccomandate con fonte
Bollettini e update dei fornitori dai dati di riferimento, aggiunti al piano d’azione come attività con un clic.
Bollettini di sicurezza dei fornitori (CSAF)
Caricate i bollettini CSAF dei fornitori oppure fateli caricare da feed pubblici selezionati: firma e checksum vengono verificati, le corrispondenze su modello e versione del firmware diventano rilievi con le misure del fornitore, senza rilievi duplicati per la stessa CVE.
Notifica e segnalazione CRA
E-mail al superamento di una soglia, sempre per le vulnerabilità sfruttate attivamente. Se una tale vulnerabilità riguarda uno dei vostri prodotti, create l’incidente ai sensi dell’art. 14 del CRA già precompilato.
Basi giuridiche e normative
- § 30 Abs. 2 Nr. 5 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Apri l’originale (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAllegato I Parte II Regolamento sulla ciberresilienza Requisiti di gestione delle vulnerabilitàI fabbricanti di prodotti con elementi digitali: 1) identificano e documentano le vulnerabilità e i componenti contenuti nel prodotto con elementi digitali, redigendo anche una distinta base del software in un formato di uso comune e leggibile da un dispositivo automatico, che includa almeno le dipendenze di primo livello del prodotto; 2) in relazione ai rischi posti dai prodotti con elementi digitali, affrontano e …Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArticolo 14 Regolamento sulla ciberresilienza Obblighi di segnalazione dei fabbricanti1. Un fabbricante notifica simultaneamente al CSIRT designato come coordinatore, conformemente al paragrafo 7 del presente articolo, e all’ENISA, qualsiasi vulnerabilità attivamente sfruttata contenuta nel prodotto con elementi digitali di cui viene a conoscenza. Il fabbricante notifica tale vulnerabilità attivamente sfruttata tramite la piattaforma unica di segnalazione istituita a norma dell’articolo 16. 2. Ai …Apri l’originale (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, A.8.8
Dare priorità, decidere, documentare
Non ogni vulnerabilità critica è urgente per Lei. Complass motiva l’ordine di priorità e registra le decisioni.
Decisione secondo SSVC
Sfruttamento, esposizione e impatto portano a una decisione come “intervenire subito” o “correggere secondo programma”; viene considerato l’elenco UE delle vulnerabilità attivamente sfruttate.
Eccezioni con approvazione a quattro occhi
Regole per eccezioni motivate, approvate da una seconda persona e con data di scadenza.
Catalogo software
Stabilire una sola volta come si chiama un programma o un tipo di dispositivo; ogni nuovo asset viene poi abbinato correttamente in automatico, anche senza CPE.
Scadenze con escalation
Promemoria prima della scadenza ed escalation in caso di superamento.
Avvisi di sicurezza delle distribuzioni Linux
Debian, Ubuntu, Alpine, AlmaLinux e Rocky Linux vengono confrontate con il confronto delle versioni del gestore di pacchetti. Se una correzione è stata retroportata, Complass chiude da sé il rilievo.
Hardening e rilevamento
Gli auditor vogliono vedere che i sistemi sono sottoposti a hardening e che gli attacchi verrebbero notati. Entrambi gli aspetti sono documentati con i dati dei Suoi strumenti.
Verifica dell’hardening incluso a partire da Professional: Verifica dell’hardening, confrontare i pacchetti
Importare i risultati da SCAP (XCCDF, ARF), Wazuh SCA o CSV: conformità per asset e prescrizione, deroghe approvate con motivazione.
Fonti di log incluso a partire da Professional: Fonti di log, confrontare i pacchetti
Quali sistemi registrano i log, dove e per quanto tempo, come registro con copertura per asset.
Copertura del rilevamento secondo MITRE ATT&CK incluso a partire da Professional: Copertura del rilevamento, confrontare i pacchetti
Le Sue regole di rilevamento per tecnica come heatmap: si vede dove un attacco passerebbe inosservato.
La verifica dell’hardening e le fonti di log fanno parte del componente Gestione degli asset, la copertura del rilevamento del componente Gestione delle vulnerabilità.
Basi giuridiche e normative
- Art. 21 Abs. 2 lit. b und e NIS2-RichtlinieArticolo 21 Direttiva NIS 2 Misure di gestione dei rischi di cibersicurezza1. Gli Stati membri provvedono affinché i soggetti essenziali e importanti adottino misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l'impatto degli incidenti per i destinatari dei loro servizi e …Apri l’originale (EUR-Lex) ↗
- ISO/IEC 27001:2022, A.8.9, A.8.15, A.8.16
- IEC 62443-3-3, SR 6.2, SR 7.6
Domande frequenti
I dati dei miei asset vengono inviati all’NVD o ad altri servizi?
No. Il portale scarica i dati pubblici sul proprio server ed esegue lì la corrispondenza. Nessuna informazione del vostro inventario viene inviata all’esterno.
Per questo mi serve l’asset management?
Sì, la corrispondenza si basa su software e firmware degli asset. Anche le importazioni degli scanner assegnano i rilievi agli asset.
Come gestisco i rilievi che non si applicano?
Impostate lo stato con una motivazione, ad es. “non interessato”. Le dichiarazioni dei fornitori le acquisite tramite importazione VEX, con la relativa motivazione.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.