Complass – Navigate compliance Complass – Navigate compliance

Funcionalidades incluído a partir de Professional: Gestão de ativos, comparar pacotes

Gestão de ativos

O seu inventário de ativos como base comum para compliance e segurança: TI e OT numa plataforma central, registados sem agentes, com SBOM, avisos dos fabricantes e relações.

Imagem fixa do vídeo curto «Gestão de ativos em 20 segundos»
Gestão de ativos em 20 segundos Importação, captura de rede, inventário, zonas e condutas. Beispieldaten der Demo-Firma.
?>

Não se protegem instalações que não se conhecem, e esse conhecimento encontra-se muitas vezes disperso por folhas de cálculo, exportações de ferramentas e na cabeça das pessoas.

Registo sem agentes

  • Scripts de recolha em vez de agente

    Scripts legíveis para Windows (PowerShell, cmd para sistemas mais antigos) e Linux. Limitam-se a ler, não instalam nada e escrevem um ficheiro por sistema.

  • Assinados, cifrados, verificados

    Os ficheiros dos scripts PowerShell e Linux são assinados e cifrados. O Complass rejeita ficheiros alterados, alheios ou duplicados. A importação é feita em lote com pré-visualização, também em ZIP.

  • Aproveite o que já tem

    Importação a partir do modelo Excel/CSV, de Zeek e Nmap e de exportações CSV de ferramentas de monitorização OT comuns. As capturas de rede (PCAP, PCAPNG) são analisadas no seu browser; o ficheiro não sai do seu computador.

  • Sem duplicados

    Todos os caminhos de importação fazem a correspondência de forma centralizada: número de série com fabricante, endereço MAC, UUID do sistema, nome de anfitrião com domínio. Os casos pouco claros aparecem como «possível duplicado: verificar» e nunca são criados automaticamente.

  • Dispositivos e fabricantes descobertos

    As tabelas de vizinhos dos sistemas fornecem outros dispositivos como candidatos, nunca diretamente como ativos. Se faltar o fabricante, o Complass sugere-o a partir do registo público do IEEE, assinalado como «presumido (MAC)».

  • A partir das suas ferramentas

    Os conectores de ativos leem o inventário do NetBox, Snipe-IT, Intune, Lansweeper e de ferramentas de OT.

  • Implementação através de política de grupo

    Modelo para o agendador de tarefas do Windows, com instruções para política de grupo, temporizadores systemd e cron.

Base legal e normativa

  • IEC 62443-3-2
  • IEC 62443-2-1
  • ISO/IEC 27001:2022, A.5.9
  • ISO/IEC 27001:2022, A.8.9
  • § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Versão de: 26.09.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗
  • Anhang I Teil II CRAAnexo I Parte II Regulamento de Ciber-Resiliência Requisitos de tratamento de vulnerabilidadesOs fabricantes de produtos com elementos digitais devem: 1) Identificar e documentar vulnerabilidades e componentes existentes nos produtos com elementos digitais, nomeadamente elaborando uma lista de materiais do software num formato de uso corrente e legível por máquina que abranja, pelo menos, as dependências de nível superior dos produtos; 2) Em relação aos riscos que os produtos com elementos digitais …Versão de: 06.10.2026 · Fonte: EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
Inventário de ativos da empresa de demonstração com tipo, endereços, zona, responsabilidade e necessidades de proteção
Inventário de ativos com zona, responsabilidade e necessidades de proteção.

Três modos para os scripts de recolha

No Complass, define como o ficheiro chega até si. O modo fica fixado no script e não pode ser alterado na execução.

Apenas local

Sem qualquer ligação de rede. O ficheiro permanece no sistema; é o utilizador que o carrega.

Push para partilha

Apenas uma cópia para uma partilha na sua rede, sem token e sem endereço. Carrega os ficheiros em conjunto como ZIP.

Push para o Complass

O ficheiro segue diretamente para o Complass por HTTPS com um token de recolha. Se o destino estiver inacessível, permanece local.

Ativos a partir de uma captura de rede

Imagem fixa do vídeo curto «Ativos de uma captura de rede»
Assets aus einem Netzwerkmitschnitt PCAP-Datei im Browser auswerten: Die Datei bleibt auf Ihrem Rechner, übertragen wird nur das Ergebnis. Beispieldaten der Demo-Firma.

A curta-metragem mostra a interface de utilizador em alemão.

Compreender o que está a funcionar

A página do ativo reúne, em separadores, visão geral, tecnologia, rede, segurança, contratos, relações, processos, evidências e histórico.

  • Detalhes técnicos por ativo

    Hardware, BIOS/UEFI, CPU, RAM, unidades, sistema operativo com compilação, adaptadores de rede e software instalado, opcionalmente portas e serviços em escuta. O software passa a ser o SBOM.

  • Estado de segurança a partir do sistema

    Antivírus, firewall e cifragem de unidades (BitLocker) a partir da recolha. Alertas como «firewall desativada» surgem no ativo.

  • Histórico com origem

    As alterações desde a última recolha aparecem no histórico, com a origem (manual, importação, script de recolha), filtráveis e exportáveis em Excel/CSV.

  • Certificados e criptografia

    Certificados com aviso 30, 14 e 7 dias antes do termo, importação de PEM, nmap e testssl; um inventário de chaves mostra o que tem de ser migrado para criptografia pós-quântica.

  • Pontes entre zonas

    O Complass deteta sistemas presentes em várias redes e classifica-os: médio, alto com reencaminhamento de IP, crítico se ligarem zonas sem uma conduta. A vista geral das zonas apresenta-os como «ponte».

SBOM para produtos e instalações

O Regulamento de Ciber-Resiliência exige que os fabricantes mantenham uma lista de materiais de software para os seus produtos. Os operadores utilizam-na para encontrar as instalações afetadas assim que se torna conhecida uma nova vulnerabilidade.

  • SBOM por ativo e produto

    Componentes com versão, fornecedor, tipo, purl, CPE, licença, soma de verificação e componente de origem. As vulnerabilidades em aberto surgem ao lado do componente.

  • Modelo, importação ou script de recolha

    Modelo Excel/CSV, ficheiros existentes em CycloneDX 1.4–1.6 e SPDX 2.2/2.3 ou o software do script de recolha, sempre com pré-visualização.

  • Instantâneos e comparação

    «Guardar instantâneo» congela o SBOM, p. ex. por versão de firmware. A comparação mostra os componentes adicionados, removidos e alterados.

  • Exportação para clientes e autoridades

    CycloneDX 1.6 (JSON, XML) e SPDX 2.3, verificados face aos campos obrigatórios antes da saída, mais VEX com o estado das vulnerabilidades conhecidas.

  • Visão geral das licenças

    Licenças permissivas, copyleft fraco ou forte, proprietárias ou desconhecidas. Para os seus próprios produtos, alertas como «verificar obrigações» ou «clarificar licença»; não constitui aconselhamento jurídico.

Relatórios e exportações: relatório de segurança de ativos em PDF, formato de intercâmbio do Complass, CSV para sistemas CMDB e de tickets, CycloneDX e Excel. As ligações diretas estão na página Integrações →

Identificar riscos e priorizá-los com fundamentação

  • Prioridade com fundamentação

    Se um serviço do componente afetado estiver acessível na rede, a prioridade da vulnerabilidade sobe; os serviços acessíveis apenas localmente descem. Firewall desativada, antivírus desativado e unidades não cifradas são tidos em conta, cada um com um motivo.

  • Fim do apoio do fabricante

    O Complass mostra, por ativo, quando o fabricante deixa de fornecer updates de segurança para o sistema operativo ou o software, com regra e fonte. Filtro, contagem por zona e um mosaico no dashboard.

  • Operado com conhecimento, compensado

    Para sistemas OT legados, documenta a segmentação, a lista de permissões ou a monitorização com um motivo e uma data de revisão. A prioridade das vulnerabilidades tem isto em conta.

  • Avisos de fabricantes (CSAF)

    Os avisos de segurança de fontes oficiais são cruzados com o fabricante, o modelo e a versão de firmware dos seus ativos. A assinatura e a soma de verificação são verificadas; se a verificação falhar, o aviso não é utilizado. Os seus administradores podem desativar fontes por empresa.

  • Risco ou tarefa com um clique

    A partir de um alerta no ativo, cria um risco ou uma tarefa pré-preenchidos, por exemplo para migração, substituição ou uma medida compensatória.

Avisos de fabricantes de fontes oficiais

Feeds CSAF públicos, obtidos diariamente e ativáveis ou desativáveis por empresa. Também pode carregar os seus próprios ficheiros CSAF, individualmente ou em ZIP.

  • Siemens ProductCERT
  • Schneider Electric
  • Phoenix Contact
  • CERT@VDE
  • ABB PSIRT
  • BSI (CERT-Bund)
  • CISA (avisos ICS)

Relações, contratos e zonas

As relações e responsabilidades de que a conformidade e a continuidade de negócio necessitam, sem introduzir uma CMDB ITIL completa.

  • Relações com um mapa

    «depende de», «executa-se em», «ligado a», «parte de», «faz backup/monitoriza». O sentido inverso aparece no outro ativo; o mapa mostra o ambiente envolvente até ao segundo nível.

  • Processos de negócio

    Processos como «Linha de montagem 2» com proprietário, criticidade, RTO e RPO e os ativos que os suportam, opcionalmente ao longo de todas as dependências.

  • Contratos e manutenção remota

    Garantia, contrato de manutenção com SLA e custos, manutenção remota por fabricante ou prestador de serviços com caminho de acesso e aprovação. O Complass lembra os responsáveis por e-mail 90 e 30 dias antes do termo.

  • Tags, campos personalizados, árvore de localizações

    Número de inventário, tags coloridas, campos personalizados (texto, número, data, escolha, sim/não) e local, edifício, pavilhão, sala – em lista, filtros, importação e exportação.

  • Estado de segurança por ativo

    Reforço com referência, antivírus/EDR, nível de patches, backup e backup da configuração com data, e a última revisão. As lacunas surgem como número e como filtro.

Contratos e licenças

O inventário inclui também aquilo que pode utilizar, quanto utiliza e até quando. O registo está incluído no módulo de gestão de ativos, sem custo adicional.

  • Um registo para licenças e contratos

    Licenças de software, subscrições na nuvem, contratos de manutenção e de prestação de serviços com fabricante, produto, modelo de licenciamento, quantidade, duração e prazo de pré-aviso, bem como responsável e suplente.

  • Prazos com lembrete

    A data de rescisão ou o fim do contrato aparecem em Prazos, na subscrição de calendário e como mosaico no dashboard. O Complass lembra 90, 30 e 7 dias antes, sem detalhes do contrato no e-mail.

  • Com ativos e evidências

    Associe os ativos em que uma licença está a ser utilizada e anexe o contrato, a fatura ou o certificado de licença. Importação a partir de uma tabela com pré-visualização, evidência de auditoria em PDF ou Excel.

  • Licenciado e utilizado

    O Complass compara a quantidade licenciada com a utilizada: a partir de ativos associados, de instalações segundo o inventário, de contas de um sistema, de um registo manual ou do Microsoft 365. O estado aparece na lista, como filtro e num mosaico. Perante um novo défice de licenças, os responsáveis recebem um aviso no máximo uma vez por semana.

  • Software sem contrato

    Uma lista mostra aplicações e sistemas operativos do inventário que não estão atribuídos a nenhum contrato ativo. Com um clique cria o contrato ou marca o software, com fundamentação, como «Sem necessidade de contrato».

  • Propositadamente simples

    O Complass não guarda chaves de licença, apenas o local onde estão arquivadas. Os custos são opcionais e visíveis apenas para administradores e pessoas com permissão própria. A reconciliação é uma contagem e não substitui uma auditoria de licenças segundo as regras do fabricante.

Microsoft 365: através de um registo de aplicação próprio, com permissão exclusivamente de leitura, o Complass lê o número de licenças adquiridas e atribuídas por produto, sem nomes de pessoas. a partir de Professional: Licenças do Microsoft 365, comparar pacotes

Apoia as evidências para a ISO/IEC 27001:2022 A.5.9 e A.5.32 e as informações para o registo de informações nos termos do art. 28.º do DORA, sem exportação no formato de comunicação.

Zonas e condutas segundo a IEC 62443-3-2

  • Zonas e condutas

    Zonas e vias de comunicação segundo a IEC 62443-3-2, com uma vista geral zona × zona e um plano.

  • Proposta de zonas a partir de dados de rede

    O Complass propõe zonas a partir de sub-redes, VLAN e ligações observadas e indica a zona correspondente para os sistemas recolhidos. É o utilizador quem decide o que adotar.

  • Portas abertas e pontes por zona

    A vista geral das zonas mostra as portas abertas por zona, os sistemas sem apoio do fabricante e os sistemas multi-homed.

Zonas e condutas da empresa de demonstração sob a forma de plano
Zonas e condutas segundo a IEC 62443-3-2.

Permissões e segurança: leitura e escrita por área, a pedido apenas ativos próprios; exportações no registo; exportações a partir da subscrição. Detalhes na página Segurança e proteção de dados →

Identidades e acessos

O auditor não pergunta apenas que sistemas tem, mas quem se autentica e como. O Complass mostra-o por sistema num só lugar.

  • Autenticação por sistema

    SSO, diretório ou contas locais, MFA em geral e para contas privilegiadas, PAM e acesso de emergência (break-glass).

  • Contas diretamente ou por importação

    Diretamente do Microsoft Entra ID ou da sua organização GitHub, de forma regular e apenas em leitura, ou por importação do Active Directory e de CSV. As contas privilegiadas, partilhadas e de serviço são assinaladas.

  • Revisões de permissões (Access Reviews)

    Campanhas de recertificação de permissões. Se pretender, os proprietários revisam os seus grupos, assinala permissões individuais para retirada e a reconciliação seguinte mostra se a retirada foi concretizada. No fim, fica uma evidência selada. incluído a partir de Professional: Revisões de acessos, comparar pacotes

  • Entradas e saídas

    Listas de verificação para colaboradores novos, em mudança e de saída; na saída, o Complass mostra as contas que ainda existem.

Base legal e normativa

  • ISO/IEC 27001:2022, A.5.15–A.5.18, A.8.2
  • § 30 Abs. 2 Nr. 9 und 10 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Versão de: 26.09.2026 · Fonte: gesetze-im-internet.deAbrir o original (gesetze-im-internet.de) ↗

Perguntas frequentes

É necessário um agente?

Não. Os scripts de recolha para Windows e Linux são legíveis, não instalam nada e só são executados quando o utilizador ou o agendador de tarefas os inicia. Sem uma recolha válida configurada no Complass, não arrancam.

O que acontece em redes sem acesso à Internet?

No modo «Push para partilha», o script apenas copia o seu ficheiro para uma partilha na sua rede, sem token e sem ligação ao Complass. Depois, carrega os ficheiros em conjunto como ZIP.

Os controladores (PLC) são analisados?

Não, o Complass não analisa dispositivos. Para os controladores, analisa-se passivamente uma captura de rede (PCAP) ou registos Zeek. É possível importar resultados do Nmap; as análises ativas de controladores só devem ser executadas com a aprovação do proprietário da instalação e fora da produção.

Como se evitam duplicados?

Todos os caminhos de importação usam a mesma correspondência por número de série com fabricante, endereço MAC, UUID do sistema e nome de anfitrião com domínio; o endereço IP é apenas uma indicação. Os casos pouco claros são decididos pelo utilizador.

Que formatos estão disponíveis para sistemas de terceiros?

JSON no formato de intercâmbio do Complass, CSV com colunas em inglês, CSV para CMDB e sistemas de ticketing como ServiceNow ou GLPI, CycloneDX 1.6 com VEX e CSAF 2.0 VEX. Está disponível no portal uma referência dos campos.

A captura de rede sai do meu computador?

Não. A análise é executada no browser; apenas a lista de dispositivos e ligações detetados, que o utilizador revê antes de os adotar, é enviada para o portal.

O Complass substitui uma ferramenta de Software Asset Management?

Não. O registo «Contratos e licenças» gere licenças, contratos, prazos e evidências e conta quantas licenças tem e quantas estão em utilização. Não substitui um balanço de licenças segundo as regras de licenciamento dos fabricantes.

O registo «Contratos e licenças» tem custo adicional?

Não, está incluído no bloco de construção Gestão de ativos. Com a gestão de fornecedores, vê também os contratos junto do fornecedor em causa.

A gestão de ativos é um módulo autónomo?

Sim, pode ser contratada como módulo e é a base da gestão de vulnerabilidades, de riscos e de incidentes, bem como do modelo de zonas.

Teste o Complass com os seus próprios dados

Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.