azienda di esempio fittizia

Complass presso Kellenbach: un tour in sette capitoli

Kellenbach Maschinenbau è un’azienda fittizia; le immagini mostrano il portale reale con i dati di esempio dell’azienda. Per ogni passaggio vede come funziona spesso oggi e che cosa cambia con Complass. Percorra i capitoli con i Suoi tempi: ciascuno può essere avviato singolarmente.

Azienda a conduzione familiare, 380 dipendenti, due stabilimenti a Hagen e Iserlohn
Soggetto importante ai sensi della NIS2
Fabbricante ai sensi del CRA e del regolamento macchine, con il proprio KB Connect Gateway

Avvia il tour

Capitolo

Panoramica Tutti i framework in un unico portale 3 passaggi Punto di partenza consigliato
Dalla lacuna alla misura Analisi dei gap, applicabilità, misure 4 passaggi
Incidente con termine di notifica Un incidente NIS2 in corso 2 passaggi
Prodotto proprio (CRA) KB Connect Gateway e KB Insight 5 passaggi
Stabilimento di Hagen (OT) Zone, conduit e livelli di sicurezza 2 passaggi
Rischi Valutare, trattare, riferire 3 passaggi
Audit e accessi Evidenze e autorizzazioni 2 passaggi

Capitolo 1

Panoramica: Tutti i framework in un unico portale

Dashboard di Kellenbach con avanzamento complessivo, prossimo audit, attività aperte, livello di maturità e termini di notifica in corso

Panoramica · 1 di 3

La situazione di Kellenbach in una sola pagina

Spesso oggi: Chi vuole sapere a che punto è l’azienda raccoglie dati da tabelle, e-mail e cartelle di progetto.
Con Complass: Il dashboard mostra avanzamento complessivo, prossimo audit, attività aperte e livello di maturità di tutti i progetti. Sotto scorrono i termini di notifica dell’incidente in corso, e ogni riquadro porta direttamente all’elenco corrispondente.

20 framework nel portale

Avanzamento complessivo di tutti i progetti
Termini di notifica in corso

Panoramica dei framework: misure trasversali e progetti in cui contano

Panoramica · 2 di 3

Attuare una volta, dimostrare per ogni framework

Spesso oggi: ISO 27001, NIS2 e CRA richiedono molte cose in doppio, e ogni requisito viene gestito in un elenco a parte.
Con Complass: La panoramica dei framework associa a ogni misura trasversale i progetti in cui conta. Ciò che è stato attuato e documentato una volta vale per ogni framework che lo richiede.

Misure trasversali
Effetto per progetto

Progetto ISO 27001 per gli stabilimenti di Hagen e Iserlohn con avanzamento, prossimo passo e fasi

Panoramica · 3 di 3

Un progetto per ogni framework, passo dopo passo fino all’audit

Spesso oggi: Il piano di progetto è nelle mani di una sola persona, e solo lei sa che cosa viene dopo.
Con Complass: Il progetto ISO 27001 per entrambi gli stabilimenti mostra l’avanzamento di ogni fase e il prossimo passo aperto, con un clic per proseguire il lavoro. Pre-audit e audit di certificazione sono scadenze del progetto.

Il Suo prossimo passo
Fasi fino all’audit

Capitolo 2

Dalla lacuna alla misura: Analisi dei gap, applicabilità, misure

Analisi dei gap con scala di maturità e valutazione per area

Dalla lacuna alla misura · 1 di 4

A che punto è oggi Kellenbach?

Spesso oggi: L’analisi dei gap è il risultato di un workshop che dopo pochi mesi nessuno aggiorna più.
Con Complass: Ogni misura trasversale viene valutata da «non presente» a «efficace e riesaminata», con obiettivo e motivazione. Complass mostra dove si trovano le lacune maggiori e, se lo desidera, le trasferisce direttamente nel piano delle misure.

Scala di maturità
Valutazione per area

Dichiarazione di applicabilità secondo ISO 27001 Allegato A con stato di valutazione ed esportazione

Dalla lacuna alla misura · 2 di 4

La dichiarazione di applicabilità come documento controllato

Spesso oggi: La dichiarazione di applicabilità è un file Excel le cui motivazioni, all’audit successivo, nessuno è più in grado di ricondurre.
Con Complass: Per ogni controllo dell’Allegato A il catalogo indica se è applicabile, perché, a che punto è l’attuazione e dove si trova l’evidenza. Dopo la verifica la dichiarazione viene approvata come versione ed esportata come Word, Excel o PDF.

Stato di valutazione del catalogo
Esportazione come Word, Excel, PDF

Piano delle misure con filtri, responsabili, scadenze e priorità

Dalla lacuna alla misura · 3 di 4

Ogni lacuna diventa un’attività con un nome e una data

Spesso oggi: Le attività derivanti da audit e analisi dei gap si disperdono tra e-mail, appunti di riunione e ticket.
Con Complass: Il piano delle misure raccoglie tutte le attività con responsabile, scadenza, priorità e il framework che le richiede. I responsabili ricevono un’e-mail all’assegnazione e un promemoria prima della scadenza; ciò che è in ritardo risalta subito.

Attività con responsabile e scadenza
Filtro per framework, priorità e persona

Commenti con menzioni e una domanda risolta su un’attività

Dalla lacuna alla misura · 4 di 4

Le domande dove si svolge il lavoro

Spesso oggi: Il confronto su una misura avviene via e-mail e all’audit successivo non è più rintracciabile.
Con Complass: I commenti con menzioni si trovano direttamente sull’attività e una domanda viene contrassegnata come risolta. All’audit è così chiaro chi ha verificato e deciso che cosa.

Commenti sull’attività

Capitolo 3

Incidente con termine di notifica: Un incidente NIS2 in corso

Elenco degli incidenti con l’incidente ransomware in corso e il suo prossimo termine di notifica

Incidente con termine di notifica · 1 di 2

Ransomware sui file server dell’amministrazione

Spesso oggi: In caso di emergenza il team deve prima chiarire se occorre notificare, a chi e entro quando.
Con Complass: L’incidente in corso è registrato, valutato come soggetto a notifica ai sensi della NIS2 e mostra la prossima scadenza con il tempo residuo. Gli incidenti chiusi, tra cui un caso CRA sul gateway aziendale, restano tracciabili con tutte le notifiche.

3 incidenti nell’esempio

Incidente aperto con la prossima scadenza
Scadenze sotto controllo

Fasi di notifica dell’incidente NIS2 con scadenze, preallarme trasmesso e notifica aperta

Incidente con termine di notifica · 2 di 2

Le fasi di notifica secondo la NIS2 con le relative scadenze

Spesso oggi: Le scadenze vengono calcolate a mano da qualcuno sotto pressione, e ciò che è stato trasmesso risiede in un’e-mail.
Con Complass: Complass calcola le scadenze dal momento della presa di conoscenza: preallarme, notifica, relazione finale. Le fasi trasmesse sono riportate con data e ora e numero di protocollo; la notifica vera e propria passa, come prescritto, attraverso il portale dell’autorità competente.

Prossima scadenza
Fasi di notifica secondo la NIS2

Capitolo 4

Prodotto proprio (CRA): KB Connect Gateway e KB Insight

Elenco delle vulnerabilità con CVSS, KEV, priorità, scadenza e responsabili

Prodotto proprio (CRA) · 1 di 5

Vulnerabilità per urgenza anziché per ordine di arrivo

Spesso oggi: I report degli scanner arrivano in PDF e a decidere quale rilievo correggere per primo è l’istinto.
Con Complass: Tutti i rilievi sono in un unico elenco con CVSS, indicatore delle vulnerabilità attivamente sfruttate (KEV), priorità, scadenza e responsabili. In cima c’è ciò che viene sfruttato ed è raggiungibile.

Rilievi per priorità

Rilievo sul portale clienti KB Insight con CVSS, KEV, decisione SSVC e asset interessato

Prodotto proprio (CRA) · 2 di 5

Un rilievo con tutto ciò che serve per decidere

Spesso oggi: Numero CVE, valutazione e sistema interessato si trovano in tre strumenti diversi.
Con Complass: Il rilievo sul portale clienti KB Insight dell’azienda mostra valutazione, voce KEV e decisione SSVC accanto all’asset interessato e alla sua raggiungibilità da Internet. Così è motivato perché viene trattato subito.

Valutazione della vulnerabilità
Asset interessato

Misure raccomandate per un rilievo con fonte e «Adotta come misura»

Prodotto proprio (CRA) · 3 di 5

Dal rilievo alla misura

Spesso oggi: Che cosa fare è sparso tra avvisi dei produttori, database e forum.
Con Complass: Per ogni rilievo sono disponibili le misure raccomandate con la relativa fonte: aggiornamento del produttore, prescrizione della CISA, misura generale per il tipo di vulnerabilità. Con un clic una di esse diventa un’attività con scadenza.

Misure raccomandate con fonte

SBOM del firmware KB Connect con componenti, licenze e vulnerabilità aperte

Prodotto proprio (CRA) · 4 di 5

La SBOM del KB Connect Gateway

Spesso oggi: Quali componenti ci siano nel firmware lo sa lo sviluppo; gestione del prodotto e supporto no.
Con Complass: La SBOM mostra il firmware con bootloader, kernel e librerie, le loro licenze e le vulnerabilità aperte. Viene importata da CycloneDX, confrontata continuamente con le nuove vulnerabilità ed esportata in formato standard.

Componenti del firmware
Esportazione in formato standard

Avviso di sicurezza di un produttore di esempio con gli asset aziendali interessati

Prodotto proprio (CRA) · 5 di 5

Associare gli avvisi dei produttori ai propri dispositivi

Spesso oggi: Gli avvisi di sicurezza dei fornitori arrivano via e-mail e se i propri dispositivi siano interessati lo verifica qualcuno a mano.
Con Complass: Gli avvisi in formato CSAF vengono importati e associati agli asset aziendali in base a modello e versione. L’elenco mostra subito quale dispositivo è interessato e quale è ancora in corso di analisi.

I Suoi asset interessati
Esportare

Capitolo 5

Stabilimento di Hagen (OT): Zone, conduit e livelli di sicurezza

Zone e conduit dello stabilimento di Hagen con indicatori e schema di rete per livelli Purdue

Stabilimento di Hagen (OT) · 1 di 2

Zone e conduit con livello obiettivo e livello effettivo

Spesso oggi: Il modello delle zone è un disegno dell’ultimo progetto che dopo la prossima ristrutturazione non è più corretto.
Con Complass: Lo stabilimento di Hagen è suddiviso in zone e conduit secondo IEC 62443. Complass mostra le lacune tra livello di sicurezza obiettivo e raggiunto e il traffico osservato senza conduit approvato, anche nello schema di rete per livelli Purdue.

Zone, conduit e gap di SL
Schema di rete per livelli Purdue

Inventario degli asset con zona, responsabile e fabbisogno di protezione

Stabilimento di Hagen (OT) · 2 di 2

Un unico inventario per IT e OT

Spesso oggi: I server li gestisce l’IT, mentre macchine e controllori sono tenuti da ogni stabilimento in un elenco proprio.
Con Complass: Server, postazioni di lavoro, controllori e pannelli operatore sono in un unico inventario con zona, fabbisogno di protezione e responsabile. Aperto e visibile: gli asset dello stabilimento di Iserlohn non hanno ancora una zona, il progetto OT lì seguirà nel 2027.

38 asset registrati

Inventario con zona e fabbisogno di protezione

Capitolo 6

Rischi: Valutare, trattare, riferire

Registro dei rischi con valutazione e trattamento

Rischi · 1 di 3

Un unico registro dei rischi per l’intera azienda

Spesso oggi: I rischi sono in un elenco che viene aggiornato una volta all’anno per l’audit.
Con Complass: Ogni rischio ha una valutazione, un trattamento, un titolare del rischio e la data del prossimo riesame, collegati ad asset, vulnerabilità e misure. Registro, heatmap e metodo sono su un’unica pagina.

12 rischi valutati

Registro dei rischi
Registro, heatmap e metodo

Heatmap con rischio inerente e rischio residuo affiancati

Rischi · 2 di 3

Prima e dopo a colpo d’occhio

Spesso oggi: Per la direzione la heatmap viene ricostruita ogni trimestre in una presentazione.
Con Complass: La heatmap nasce dal registro: a sinistra il rischio inerente, a destra il rischio residuo dopo le misure attuate. Un clic su un numero apre i rischi sottostanti.

Rischio inerente e rischio residuo

Valutazione di un rischio con proposta non vincolante e relative motivazioni

Rischi · 3 di 3

Una proposta di valutazione, la decisione resta in azienda

Spesso oggi: Ogni valutazione parte da zero e ogni reparto valuta con un proprio metro.
Con Complass: Complass ricava una proposta dal fabbisogno di protezione e dall’esposizione degli asset collegati e dalle vulnerabilità aperte, indicandone le motivazioni. La proposta non è vincolante; a recepirla o modificarla sono gli esperti dell’azienda.

Proposta con motivazione

Capitolo 7

Audit e accessi: Evidenze e autorizzazioni

Esportazione per l’audit con l’ambito del pacchetto

Audit e accessi · 1 di 2

Il pacchetto per l’audit su richiesta

Spesso oggi: Prima dell’audit qualcuno passa giorni a raccogliere documenti, elenchi ed evidenze dalle cartelle.
Con Complass: L’esportazione per l’audit riunisce documenti, cataloghi, registri, evidenze e log in un unico file ZIP, con pagina iniziale ed elenco dei checksum. Contiene solo ciò che la persona richiedente può leggere; ogni esportazione è riportata nel registro attività cliente.

Ambito dell’esportazione

Autorizzazioni per persona e area con filtro

Audit e accessi · 2 di 2

Chi può fare che cosa, documentato per l’audit

Spesso oggi: Chi può accedere a che cosa è sparso tra sistemi ed e-mail, e il quadro per l’audit viene ricostruito ogni volta da capo.
Con Complass: Per ogni persona e area è definito: nessun accesso, lettura o scrittura, oltre a diritti speciali come esportare o approvare. Il quadro può essere filtrato ed esportato come evidenza.

Chi può fare cosa?
Autorizzazioni per area

Il Suo prossimo passo: Veda Complass con il Suo esempio

Nella demo mostriamo Complass con un progetto di esempio, adattato ai Suoi framework. Oppure verifichi prima quali framework si applicano alla Sua azienda.

Richiedere una demo Verifica l’applicabilità Prezzi