Complass w firmie Kellenbach: przewodnik w siedmiu rozdziałach

Od luki do działania · 1 z 4

Gdzie Kellenbach znajduje się dzisiaj?

Często dziś

Analiza luk jest wynikiem warsztatu, którego po kilku miesiącach nikt już nie aktualizuje.

Z Complass

Każde wspólne działanie jest oceniane od „brak” do „skuteczne i zweryfikowane”, z celem i uzasadnieniem. Complass pokazuje, gdzie są największe luki, i na życzenie przenosi je bezpośrednio do planu działań.

• Skala dojrzałości
• Ocena według obszarów

Od luki do działania · 2 z 4

Deklaracja stosowania jako dokument nadzorowany

Często dziś

Deklaracja stosowania to plik Excel, którego uzasadnień przy następnym audycie nikt nie potrafi już przypisać.

Z Complass

Dla każdego zabezpieczenia z załącznika A katalog podaje, czy ma zastosowanie, dlaczego, w jakim stopniu jest wdrożone i gdzie znajduje się dowód. Po weryfikacji deklaracja jest zatwierdzana jako wersja i eksportowana do Worda, Excela lub PDF.

• Stan oceny katalogu
• Eksport do Worda, Excela, PDF

Od luki do działania · 3 z 4

Każda luka staje się zadaniem z imieniem i terminem

Często dziś

Zadania z audytu i analizy luk rozpraszają się po e-mailach, notatkach ze spotkań i zgłoszeniach.

Z Complass

Plan działań gromadzi wszystkie zadania wraz z osobą odpowiedzialną, terminem, priorytetem i ramami regulacyjnymi, które ich wymagają. Osoby odpowiedzialne otrzymują e-mail przy przydzieleniu i przypomnienie przed terminem; zaległości od razu rzucają się w oczy.

• Zadania z osobą odpowiedzialną i terminem
• Filtr według ram regulacyjnych, priorytetu i osoby

Od luki do działania · 4 z 4

Pytania tam, gdzie toczy się praca

Często dziś

Uzgodnienia dotyczące działania toczą się mailowo i przy następnym audycie nie da się ich odnaleźć.

Z Complass

Komentarze ze wzmiankami znajdują się bezpośrednio przy zadaniu, a pytanie można oznaczyć jako zamknięte. Podczas audytu widać dzięki temu, kto co sprawdził i zdecydował.

• Komentarze do zadania

Własny produkt (CRA) · 1 z 5

Podatności według pilności, a nie według kolejności wpływu

Często dziś

Raporty skanerów przychodzą jako PDF, a o tym, które ustalenie zostanie usunięte najpierw, decyduje przeczucie.

Z Complass

Wszystkie ustalenia są na jednej liście z CVSS, oznaczeniem aktywnie wykorzystywanych podatności (KEV), priorytetem, terminem i osobami odpowiedzialnymi. Na górze znajduje się to, co jest wykorzystywane i osiągalne.

• Ustalenia według priorytetu

Własny produkt (CRA) · 2 z 5

Jedno ustalenie ze wszystkim, czego wymaga decyzja

Często dziś

Numer CVE, ocena i zagrożony system znajdują się w trzech różnych narzędziach.

Z Complass

Ustalenie dotyczące własnego portalu klienta KB Insight pokazuje ocenę, wpis KEV i decyzję SSVC obok zagrożonego zasobu i jego dostępności z internetu. Dzięki temu wiadomo, dlaczego jest obsługiwane natychmiast.

• Ocena podatności
• Zagrożony zasób

Własny produkt (CRA) · 3 z 5

Od ustalenia do działania

Często dziś

To, co należy zrobić, jest rozproszone po informacjach producentów, bazach danych i forach.

Z Complass

Do każdego ustalenia dostępne są zalecane działania wraz ze źródłem: aktualizacja producenta, wytyczna CISA, ogólne działanie dla danego rodzaju podatności. Jednym kliknięciem staje się z tego zadanie z terminem.

• Zalecane działania ze źródłem

Własny produkt (CRA) · 4 z 5

SBOM bramy KB Connect Gateway

Często dziś

Jakie komponenty zawiera oprogramowanie układowe, wie dział rozwoju; zarządzanie produktem i wsparcie tego nie wiedzą.

Z Complass

SBOM pokazuje oprogramowanie układowe z bootloaderem, jądrem i bibliotekami, ich licencjami i otwartymi podatnościami. Jest importowany z CycloneDX, na bieżąco porównywany z nowymi podatnościami i eksportowany w formacie standardowym.

• Komponenty oprogramowania układowego
• Eksport w formacie standardowym

Własny produkt (CRA) · 5 z 5

Przypisywanie komunikatów producentów do własnych urządzeń

Często dziś

Komunikaty bezpieczeństwa dostawców przychodzą e-mailem, a to, czy własne urządzenia są zagrożone, sprawdza ktoś ręcznie.

Z Complass

Komunikaty w formacie CSAF są importowane i przypisywane do własnych zasobów na podstawie modelu i wersji. Lista od razu pokazuje, które urządzenie jest zagrożone, a które jest jeszcze badane.

• Państwa zagrożone zasoby
• Eksport

Ryzyka · 1 z 3

Jeden rejestr ryzyk dla całej firmy

Często dziś

Ryzyka znajdują się na liście, która jest odświeżana raz w roku na potrzeby audytu.

Z Complass

Każde ryzyko ma ocenę, sposób postępowania, właściciela ryzyka i termin następnego przeglądu, powiązane z zasobami, podatnościami i działaniami. Rejestr, mapa ciepła i metoda są na jednej stronie.

• 12 ocenionych ryzyk

• Rejestr ryzyk
• Rejestr, mapa ciepła i metoda

Ryzyka · 2 z 3

Przed i po na pierwszy rzut oka

Często dziś

Dla kierownictwa mapa ciepła jest co kwartał budowana od nowa w prezentacji.

Z Complass

Mapa ciepła powstaje z rejestru: po lewej ryzyko nieodłączne, po prawej ryzyko szczątkowe po wdrożonych działaniach. Kliknięcie liczby otwiera stojące za nią ryzyka.

• Ryzyko nieodłączne i ryzyko szczątkowe

Ryzyka · 3 z 3

Propozycja oceny, decyzja pozostaje w firmie

Często dziś

Każda ocena zaczyna się od zera, a każdy dział ocenia według własnej miary.

Z Complass

Complass wyprowadza propozycję z potrzeby ochrony i ekspozycji powiązanych zasobów oraz z otwartych podatności i podaje uzasadnienie. Propozycja nie jest wiążąca; przyjmują ją lub korygują specjaliści w firmie.

• Propozycja z uzasadnieniem