Complass – Navigate compliance Complass – Navigate compliance
Idioma PT
Deutsch English Français Italiano Español Nederlands Polski Português
Experimentar grátis

empresa de exemplo fictícia

O Complass na Kellenbach: uma visita em sete capítulos

A Kellenbach Maschinenbau é fictícia; as imagens mostram o portal real com os dados de exemplo da empresa. Em cada passo vê como as coisas costumam funcionar hoje e o que o Complass muda. Percorra os capítulos ao seu ritmo; cada um pode ser iniciado em separado.

  • Empresa familiar, 380 colaboradores, duas fábricas em Hagen e Iserlohn
  • Entidade importante nos termos da NIS2
  • Fabricante nos termos do CRA e do Regulamento Máquinas, com o próprio KB Connect Gateway

Iniciar a visita

Capítulo

  1. Visão geral Todos os referenciais num só portal 3 passos Início recomendado
  2. Da lacuna à medida Análise de lacunas, aplicabilidade, medidas 4 passos
  3. Incidente com prazo de notificação Um incidente NIS2 em curso 2 passos
  4. Produto próprio (CRA) KB Connect Gateway e KB Insight 5 passos
  5. Fábrica de Hagen (OT) Zonas, condutas e níveis de segurança 2 passos
  6. Riscos Avaliar, tratar, reportar 3 passos
  7. Auditoria e acesso Evidências e permissões 2 passos

Capítulo 1

Visão geral: Todos os referenciais num só portal

Dashboard da Kellenbach com progresso global, próxima auditoria, tarefas em aberto, maturidade e prazos de notificação em curso

Visão geral · 1 de 3

A situação da Kellenbach numa só página

Hoje, muitas vezes
Quem quer saber em que ponto está a empresa reúne números de folhas de cálculo, e-mails e pastas de projetos.
Com o Complass
O dashboard mostra o progresso global, a próxima auditoria, as tarefas em aberto e a maturidade de todos os projetos. Por baixo, correm os prazos de notificação do incidente atual, e cada mosaico conduz diretamente à lista correspondente.
  • 20 referenciais no portal
  • Progresso global de todos os projetos
  • Prazos de notificação em curso
Visão geral dos referenciais: medidas transversais e os projetos em que contam

Visão geral · 2 de 3

Implementar uma vez, comprovar para cada referencial

Hoje, muitas vezes
A ISO 27001, a NIS2 e o CRA exigem muita coisa em duplicado, e cada requisito é mantido numa lista própria.
Com o Complass
A visão geral dos referenciais associa a cada medida transversal os projetos em que esta conta. O que foi implementado e comprovado uma vez vale para todos os referenciais que o exigem.
  • Medidas transversais
  • Efeito por projeto
Projeto ISO 27001 para as fábricas de Hagen e Iserlohn, com progresso, próximo passo e fases

Visão geral · 3 de 3

Um projeto por referencial, passo a passo até à auditoria

Hoje, muitas vezes
O plano do projeto está nas mãos de uma única pessoa, e só ela sabe o que se segue.
Com o Complass
O projeto ISO 27001 para ambas as fábricas mostra o progresso de cada fase e o próximo passo em aberto, a um clique de distância para continuar a trabalhar. A pré-auditoria e a auditoria de certificação constam como datas no projeto.
  • O seu próximo passo
  • Fases até à auditoria

Capítulo 2

Da lacuna à medida: Análise de lacunas, aplicabilidade, medidas

Análise de lacunas com escala de maturidade e avaliação por área

Da lacuna à medida · 1 de 4

Onde está a Kellenbach hoje?

Hoje, muitas vezes
A análise de lacunas é o resultado de um workshop que, passados poucos meses, ninguém atualiza.
Com o Complass
Cada medida transversal é avaliada de «inexistente» a «eficaz e verificada», com objetivo e fundamentação. O Complass mostra onde estão as maiores lacunas e, se pretender, transfere-as diretamente para o plano de medidas.
  • Escala de maturidade
  • Avaliação por área
Declaração de Aplicabilidade segundo o anexo A da ISO 27001, com estado de avaliação e exportação

Da lacuna à medida · 2 de 4

A Declaração de Aplicabilidade como documento controlado

Hoje, muitas vezes
A Declaração de Aplicabilidade é um ficheiro Excel cujas justificações ninguém consegue já associar na auditoria seguinte.
Com o Complass
Para cada controlo do anexo A, o catálogo indica se é aplicável, porquê, até que ponto está implementado e onde se encontra a evidência. Após revisão, a declaração é aprovada como versão e exportada em Word, Excel ou PDF.
  • Estado de avaliação do catálogo
  • Exportação para Word, Excel, PDF
Plano de medidas com filtros, responsáveis, prazos e prioridades

Da lacuna à medida · 3 de 4

Cada lacuna torna-se uma tarefa com nome e data

Hoje, muitas vezes
As tarefas da auditoria e da análise de lacunas dispersam-se por e-mails, notas de reuniões e tickets.
Com o Complass
O plano de medidas reúne todas as tarefas com responsável, prazo, prioridade e o referencial que as exige. Os responsáveis recebem um e-mail aquando da atribuição e um lembrete antes do prazo; o que está em atraso salta logo à vista.
  • Tarefas com responsável e prazo
  • Filtro por referencial, prioridade e pessoa
Comentários com menções e uma pergunta resolvida numa tarefa

Da lacuna à medida · 4 de 4

Perguntas onde o trabalho se encontra

Hoje, muitas vezes
A discussão sobre uma medida decorre por e-mail e, na auditoria seguinte, já não é possível encontrá-la.
Com o Complass
Os comentários com menções ficam diretamente na tarefa, e uma pergunta é marcada como resolvida. Na auditoria, fica assim claro quem verificou e decidiu o quê.
  • Comentários na tarefa

Capítulo 3

Incidente com prazo de notificação: Um incidente NIS2 em curso

Lista de incidentes com o incidente de ransomware em curso e o respetivo próximo prazo de notificação

Incidente com prazo de notificação · 1 de 2

Ransomware nos servidores de ficheiros da administração

Hoje, muitas vezes
Numa emergência, a equipa começa por esclarecer se é necessário notificar, a quem e até quando.
Com o Complass
O incidente em curso está registado, avaliado como sujeito a notificação nos termos da NIS2 e mostra o próximo prazo com o tempo restante. Os incidentes encerrados, entre eles um caso CRA no gateway próprio, permanecem rastreáveis com todas as notificações.
  • 3 incidentes no exemplo
  • Incidente em aberto com o próximo prazo
  • Prazos num relance
Fases de notificação do incidente NIS2, com prazos, alerta precoce transmitido e notificação em aberto

Incidente com prazo de notificação · 2 de 2

As fases de notificação da NIS2 e os respetivos prazos

Hoje, muitas vezes
Alguém calcula os prazos à mão sob pressão do tempo, e o que foi transmitido consta de um e-mail.
Com o Complass
O Complass calcula os prazos a partir do conhecimento do incidente: alerta precoce, notificação, relatório final. As fases transmitidas surgem com data e hora e número de processo; a notificação propriamente dita é enviada, como prescrito, através do portal da autoridade competente.
  • Próximo prazo
  • Fases de notificação da NIS2

Capítulo 4

Produto próprio (CRA): KB Connect Gateway e KB Insight

Lista de vulnerabilidades com CVSS, KEV, prioridade, prazo e responsáveis

Produto próprio (CRA) · 1 de 5

Vulnerabilidades por urgência, e não por ordem de chegada

Hoje, muitas vezes
Os relatórios dos scanners chegam em PDF, e é a intuição que decide qual a constatação a corrigir primeiro.
Com o Complass
Todas as constatações constam de uma só lista, com CVSS, indicador de vulnerabilidades ativamente exploradas (KEV), prioridade, prazo e responsáveis. No topo está o que está a ser explorado e é acessível.
  • Constatações por prioridade
Constatação no portal de clientes KB Insight, com CVSS, KEV, decisão SSVC e ativo afetado

Produto próprio (CRA) · 2 de 5

Uma constatação com tudo o que a decisão exige

Hoje, muitas vezes
O número CVE, a avaliação e o sistema afetado estão em três ferramentas diferentes.
Com o Complass
A constatação no portal de clientes próprio, o KB Insight, mostra a avaliação, a entrada KEV e a decisão SSVC junto do ativo afetado e da sua exposição à internet. Fica assim fundamentado porque é tratada de imediato.
  • Avaliação da vulnerabilidade
  • Ativo afetado
Medidas recomendadas para uma constatação, com fonte e «Adotar como medida»

Produto próprio (CRA) · 3 de 5

Da constatação à medida

Hoje, muitas vezes
O que é preciso fazer encontra-se disperso por avisos de fabricantes, bases de dados e fóruns.
Com o Complass
Para cada constatação, estão disponíveis as medidas recomendadas com a respetiva fonte: atualização do fabricante, requisito da CISA, medida geral para o tipo de vulnerabilidade. Com um clique, uma delas converte-se numa tarefa com prazo.
  • Medidas recomendadas com fonte
SBOM do firmware KB Connect, com componentes, licenças e vulnerabilidades em aberto

Produto próprio (CRA) · 4 de 5

A SBOM do KB Connect Gateway

Hoje, muitas vezes
Que componentes existem no firmware, sabe-o o desenvolvimento; a gestão de produto e o suporte não.
Com o Complass
A SBOM mostra o firmware com bootloader, kernel e bibliotecas, as respetivas licenças e as vulnerabilidades em aberto. É importada a partir de CycloneDX, comparada continuamente com novas vulnerabilidades e exportada em formato padrão.
  • Componentes do firmware
  • Exportação em formato padrão
Aviso de segurança de um fabricante de exemplo, com os ativos próprios afetados

Produto próprio (CRA) · 5 de 5

Associar os avisos dos fabricantes aos dispositivos próprios

Hoje, muitas vezes
Os avisos de segurança dos fornecedores chegam por e-mail, e alguém verifica à mão se os dispositivos próprios são afetados.
Com o Complass
Os avisos em formato CSAF são importados e associados aos ativos próprios através do modelo e da versão. A lista mostra de imediato que dispositivo é afetado e qual ainda está em análise.
  • Os seus ativos afetados
  • Exportar

Capítulo 5

Fábrica de Hagen (OT): Zonas, condutas e níveis de segurança

Zonas e condutas da fábrica de Hagen, com indicadores e plano de rede por níveis de Purdue

Fábrica de Hagen (OT) · 1 de 2

Zonas e condutas com nível pretendido e nível atingido

Hoje, muitas vezes
O modelo de zonas é um desenho do último projeto, que deixa de estar correto após a próxima remodelação.
Com o Complass
A fábrica de Hagen está dividida em zonas e condutas segundo a IEC 62443. O Complass mostra as lacunas entre o nível de segurança pretendido e o atingido, bem como o tráfego observado sem conduta aprovada, também no plano de rede por níveis de Purdue.
  • Zonas, condutas e lacunas de SL
  • Plano de rede por níveis de Purdue
Inventário de ativos com zona, responsável e necessidade de proteção

Fábrica de Hagen (OT) · 2 de 2

Um inventário para TI e OT

Hoje, muitas vezes
Os servidores são geridos pela TI, e cada fábrica mantém uma lista própria das máquinas e dos controladores.
Com o Complass
Servidores, postos de trabalho, controladores e painéis de operação constam de um único inventário, com zona, necessidade de proteção e responsável. Em aberto e visível: os ativos da fábrica de Iserlohn ainda não têm zona; o projeto OT aí segue-se em 2027.
  • 38 ativos registados
  • Inventário com zona e necessidade de proteção

Capítulo 6

Riscos: Avaliar, tratar, reportar

Registo de riscos com avaliação e tratamento

Riscos · 1 de 3

Um registo de riscos para toda a empresa

Hoje, muitas vezes
Os riscos constam de uma lista que é atualizada uma vez por ano para a auditoria.
Com o Complass
Cada risco tem avaliação, tratamento, responsável pelo risco e data da próxima revisão, associados a ativos, vulnerabilidades e medidas. O registo, o mapa de calor e o método encontram-se numa só página.
  • 12 riscos avaliados
  • Registo de riscos
  • Registo, mapa de calor e método
Mapa de calor com o risco inerente e o risco residual lado a lado

Riscos · 2 de 3

Antes e depois num relance

Hoje, muitas vezes
Para a administração, o mapa de calor é reconstruído numa apresentação todos os trimestres.
Com o Complass
O mapa de calor resulta do registo: à esquerda o risco inerente, à direita o risco residual após as medidas implementadas. Um clique num número abre os riscos que lhe subjazem.
  • Risco inerente e risco residual
Avaliação de um risco com sugestão não vinculativa e respetivos motivos

Riscos · 3 de 3

Uma sugestão de avaliação; a decisão permanece na empresa

Hoje, muitas vezes
Cada avaliação começa do zero, e cada departamento avalia segundo o seu próprio critério.
Com o Complass
O Complass deduz uma sugestão a partir da necessidade de proteção e da exposição dos ativos associados e das vulnerabilidades em aberto, e indica os motivos. A sugestão não é vinculativa; é adotada ou ajustada pelos especialistas da empresa.
  • Sugestão com fundamentação

Capítulo 7

Auditoria e acesso: Evidências e permissões

Exportação para auditoria com o âmbito do pacote

Auditoria e acesso · 1 de 2

O pacote de auditoria a pedido

Hoje, muitas vezes
Antes da auditoria, alguém passa dias a reunir documentos, listas e evidências a partir de pastas.
Com o Complass
A exportação para auditoria reúne documentos, catálogos, registos, evidências e protocolos num ficheiro ZIP, com página inicial e lista de somas de controlo. Inclui apenas o que a pessoa que a solicita pode ler; cada exportação fica registada no registo do cliente.
  • Âmbito da exportação
Permissões por pessoa e área, com filtro

Auditoria e acesso · 2 de 2

Quem pode fazer o quê, comprovado para a auditoria

Hoje, muitas vezes
Quem pode aceder a quê encontra-se disperso por sistemas e e-mails, e a síntese para a auditoria é refeita de cada vez.
Com o Complass
Para cada pessoa e área está definido: sem acesso, leitura ou escrita, além de permissões especiais como exportar ou aprovar. A síntese pode ser filtrada e exportada como evidência.
  • Quem pode fazer o quê?
  • Permissões por área

O seu próximo passo: Veja o Complass com o seu exemplo

Na demonstração, mostramos o Complass num projeto de exemplo, adaptado aos seus referenciais. Ou verifique primeiro quais os referenciais que se aplicam a si.

Pedir demonstração Verificar aplicabilidade Preços