Funcionalidades incluído a partir de Business: Gestão de riscos, comparar pacotes
Gestão de riscos
Identificar, avaliar e tratar riscos com o método adequado à sua empresa, ligado a ativos, vulnerabilidades e medidas.
Quase todos os referenciais exigem uma abordagem baseada no risco, e a avaliação tem de se adequar aos ativos, vulnerabilidades e medidas que já documenta.
Como o Complass ajuda
Registo de riscos com contexto
Riscos associados a ativos, zonas e localizações, ligados a vulnerabilidades, incidentes e à declaração de aplicabilidade.
Método à sua escolha
Matriz de 3 × 3 a 5 × 5 com modelos segundo a ISO/IEC 27005, a IEC 62443-3-2 e a norma BSI 200-3. Qualitativo, quantitativo como perda anual esperada em euros com intervalos (P50/P90), ou combinado.
Apetite pelo risco e aceitação
Apetite ao risco e critérios de aceitação livremente definíveis, com níveis de aprovação. A partir da classe que definir, e sempre acima do apetite ao risco, uma segunda pessoa aprova (princípio dos quatro olhos).
Tratamento com relação custo-benefício
Medidas e tarefas por risco, risco residual com as medidas implementadas, risco-alvo após todas as medidas planeadas com aprovação do responsável pelo risco e análise custo-benefício (ROSI). Plano de tratamento de riscos e relatório de avaliação de riscos em PDF.
Heatmap e avaliação de riscos por zona
Heatmap do risco inerente, do risco residual e do risco-alvo, avaliação de riscos por zona segundo a IEC 62443-3-2. É possível registar técnicas de ataque segundo o MITRE ATT&CK.
Base legal e normativa
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir o original (gesetze-im-internet.de) ↗
- Art. 21 NIS2-RichtlinieArtigo 21 Diretiva SRI 2 Medidas de gestão dos riscos de cibersegurança1. Os Estados-Membros devem assegurar que as entidades essenciais e importantes tomam medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos que se colocam à segurança dos sistemas de rede e informação que utilizam nas suas operações ou na prestação dos seus serviços e para impedir ou minimizar o impacto de incidentes nos destinatários dos seus serviços e noutros serviços. As …Abrir o original (EUR-Lex) ↗
- Art. 13 CRAArtigo 13 Regulamento de Ciber-Resiliência Obrigações dos fabricantes1. Quando colocam um produto com elementos digitais no mercado, os fabricantes devem assegurar que esse produto foi concebido, desenvolvido e produzido em conformidade com os requisitos essenciais de cibersegurança constantes da parte I do anexo I. 2. Para efeitos do cumprimento do n.o 1, os fabricantes devem efetuar uma avaliação dos riscos de cibersegurança associados a um produto com elementos digitais e ter em …Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, 6.1 und 8.2–8.3
- ISO/IEC 27005
- IEC 62443-3-2
- BSI-Standard 200-3
MITRE ATT&CK como referencial e panorama de ameaças
O MITRE ATT&CK descreve como os atacantes atuam realmente. O Complass liga esta base de conhecimento pública às suas medidas, vulnerabilidades e incidentes – configurável por empresa, para TI, OT ou ambos.
Heatmap tática × técnica
Enterprise para TI, ICS para controladores e instalações: que técnicas de ataque cobrem as suas medidas, onde estão as lacunas? Filtros por plataforma e tipo de ativo, como PLC, HMI ou posto de engenharia.
Mitigações como requisitos
Estado, justificação, evidências e tarefas por mitigação, pré-preenchidos a partir da sua implementação do anexo A da ISO 27001 e da IEC 62443-3-3.
Vulnerabilidades, incidentes, riscos
Técnicas viabilizadas por vulnerabilidades em aberto, técnicas observadas em incidentes e cenários de risco criados diretamente a partir de uma técnica.
© The MITRE Corporation. ATT&CK® é uma marca registada da The MITRE Corporation.
Perguntas frequentes
Qualitativo ou quantitativo – qual é o adequado?
Ambos são admissíveis. Muitas empresas começam com uma matriz e avaliam adicionalmente em euros os riscos importantes. O Complass suporta ambas as abordagens e a sua combinação.
Podemos manter o nosso método atual?
Sim, define por si o tamanho da matriz, os níveis, o apetite pelo risco e os critérios de aceitação, ou começa com um modelo.
Como se relaciona a gestão de riscos com os referenciais?
Os tratamentos de riscos remetem para medidas e requisitos, p. ex. na declaração de aplicabilidade. Assim, fica rastreável porque é que uma medida é implementada.
Teste o Complass com os seus próprios dados
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.