Funkcje w cenie od Business: Zarządzanie ryzykiem, porównaj pakiety
Zarządzanie ryzykiem
Identyfikowanie, szacowanie i postępowanie z ryzykami metodą dopasowaną do Państwa firmy, w powiązaniu z zasobami, podatnościami i działaniami.
Niemal wszystkie ramy regulacyjne wymagają podejścia opartego na ryzyku, a szacowanie musi pasować do zasobów, podatności i działań, które już Państwo dokumentują.
Jak Complass pomaga
Rejestr ryzyk z kontekstem
Ryzyka powiązane z zasobami, strefami i lokalizacjami, sprzężone z podatnościami, incydentami i deklaracją stosowania.
Metoda według Państwa wyboru
Macierz od 3 × 3 do 5 × 5 z szablonami według ISO/IEC 27005, IEC 62443-3-2 i standardu BSI 200-3. Jakościowo, ilościowo jako oczekiwana roczna strata w euro z zakresami (P50/P90) lub łącznie.
Apetyt na ryzyko i akceptacja
Dowolnie definiowalny apetyt na ryzyko i kryteria akceptacji ze stopniami zatwierdzenia. Od klasy, którą Państwo ustalą, i zawsze powyżej apetytu na ryzyko zgadza się druga osoba (zasada czterech oczu).
Postępowanie z analizą kosztów i korzyści
Działania i zadania dla każdego ryzyka, ryzyko szczątkowe z wdrożonymi działaniami, ryzyko docelowe po wszystkich planowanych działaniach z zatwierdzeniem przez właściciela ryzyka oraz analiza kosztów i korzyści (ROSI). Plan postępowania z ryzykiem i raport z oceny ryzyka w formacie PDF.
Heatmapa i ocena ryzyka stref
Mapa cieplna dla ryzyka nieodłącznego, szczątkowego i docelowego, ocena ryzyka dla każdej strefy według IEC 62443-3-2. Techniki ataków według MITRE ATT&CK można rejestrować.
Podstawa prawna i normatywna
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Otwórz oryginał (gesetze-im-internet.de) ↗
- Art. 21 NIS2-RichtlinieArtykuł 21 Dyrektywa NIS 2 Środki zarządzania ryzykiem w cyberbezpieczeństwie1. Państwa członkowskie zapewniają, aby podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez te podmioty do prowadzenia działalności lub świadczenia usług oraz w celu zapobiegania wpływowi incydentów na odbiorców ich usług lub na inne usługi bądź …Otwórz oryginał (EUR-Lex) ↗
- Art. 13 CRAArtykuł 13 Akt o cyberodporności Obowiązki producentów1. Wprowadzając produkt z elementami cyfrowymi do obrotu, producenci zapewniają, aby został on zaprojektowany, opracowany i wyprodukowany zgodnie z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I. 2. W celu zapewnienia zgodności z ust. 1, producenci przeprowadzają ocenę ryzyka w cyberprzestrzeni związanego z produktem z elementami cyfrowymi i uwzględniają wynik tej oceny na …Otwórz oryginał (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, 6.1 und 8.2–8.3
- ISO/IEC 27005
- IEC 62443-3-2
- BSI-Standard 200-3
MITRE ATT&CK jako ramy i obraz zagrożeń
MITRE ATT&CK opisuje, jak w rzeczywistości działają atakujący. Complass łączy tę publiczną bazę wiedzy z Państwa działaniami, podatnościami i incydentami – konfigurowalnie dla każdej firmy, dla IT, OT lub obu.
Heatmapa taktyka × technika
Enterprise dla IT, ICS dla sterowników i instalacji: które techniki ataków pokrywają Państwa działania, gdzie są luki? Filtry według platformy i typu zasobu, takiego jak PLC, HMI lub stacja inżynierska.
Środki zaradcze jako wymagania
Status, uzasadnienie, dowody i zadania dla każdego środka zaradczego, wstępnie wypełnione na podstawie Państwa wdrożenia ISO 27001 załącznik A i IEC 62443-3-3.
Podatności, incydenty, ryzyka
Techniki umożliwiane przez otwarte podatności, obserwowane techniki w incydentach oraz scenariusze ryzyka tworzone bezpośrednio z techniki.
© The MITRE Corporation. ATT&CK® jest zastrzeżonym znakiem towarowym The MITRE Corporation.
Często zadawane pytania
Jakościowo czy ilościowo – co jest właściwe?
Dopuszczalne są obie metody. Wiele firm zaczyna od macierzy i dodatkowo ocenia ważne ryzyka w euro. Complass wspiera oba podejścia oraz ich połączenie.
Czy możemy zachować naszą dotychczasową metodę?
Tak, rozmiar macierzy, poziomy, apetyt na ryzyko i kryteria akceptacji definiują Państwo samodzielnie lub zaczynają od szablonu.
Jak zarządzanie ryzykiem odnosi się do ram regulacyjnych?
Postępowanie z ryzykiem odnosi się do działań i wymagań, np. w deklaracji stosowania. Dzięki temu wiadomo, dlaczego dane działanie jest wdrażane.
Przetestuj Complass na własnych danych
Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.