azienda di esempio fittizia

Complass presso Kellenbach: un tour in 11 capitoli

Le immagini mostrano il portale reale con i dati di esempio di Kellenbach Maschinenbau. Scelga un capitolo: i passaggi proseguono da soli e può metterli in pausa in qualsiasi momento. Ogni passaggio mostra come funziona spesso oggi e che cosa cambia con Complass.

Avvia il tour

Capitolo

Panoramica Tutti i framework in un unico portale 3 passaggi Punto di partenza consigliato
Dalla lacuna alla misura Analisi dei gap, applicabilità, misure 4 passaggi
Lavorare in Teams e Jira Attività e scadenze negli strumenti abituali 2 passaggi
Incidente con termine di notifica Un incidente NIS2 in corso 2 passaggi
Prodotto proprio (CRA) KB Connect Gateway e KB Insight 5 passaggi
Catena di fornitura Valutare i fornitori, tenere d’occhio le loro evidenze 3 passaggi
Stabilimento di Hagen (OT) Zone, conduit e livelli di sicurezza 2 passaggi
Rischi Valutare, trattare, riferire 3 passaggi
Direzione Obblighi della direzione ai sensi di NIS2 3 passaggi
Audit e accessi Evidenze e autorizzazioni 2 passaggi
Evidenze automatiche Verifiche dai propri sistemi 3 passaggi

Azienda a conduzione familiare, 380 dipendenti, due stabilimenti a Hagen e Iserlohn
Soggetto importante ai sensi della NIS2
Fabbricante ai sensi del CRA e del regolamento macchine, con il proprio KB Connect Gateway

Capitolo 1

Panoramica: Tutti i framework in un unico portale

Dashboard di Kellenbach con avanzamento complessivo, prossimo audit, attività aperte, livello di maturità e termini di notifica in corso

Panoramica · 1 di 3

La situazione di Kellenbach in una sola pagina

Spesso oggi: Chi vuole sapere a che punto è l’azienda raccoglie dati da tabelle, e-mail e cartelle di progetto.
Con Complass: Il dashboard mostra avanzamento complessivo, prossimo audit, attività aperte e livello di maturità di tutti i progetti. Sotto scorrono i termini di notifica dell’incidente in corso, e ogni riquadro porta direttamente all’elenco corrispondente.

26 framework nel portale

Avanzamento complessivo di tutti i progetti
Termini di notifica in corso

Panoramica dei framework: misure trasversali e progetti in cui contano

Panoramica · 2 di 3

Attuare una volta, dimostrare per ogni framework

Spesso oggi: ISO 27001, NIS2 e CRA richiedono molte cose in doppio, e ogni requisito viene gestito in un elenco a parte.
Con Complass: La panoramica dei framework associa a ogni misura trasversale i progetti in cui conta. Ciò che è stato attuato e documentato una volta vale per ogni framework che lo richiede.

Misure trasversali
Effetto per progetto

Progetto ISO 27001 per gli stabilimenti di Hagen e Iserlohn con avanzamento, prossimo passo e fasi

Panoramica · 3 di 3

Un progetto per ogni framework, passo dopo passo fino all’audit

Spesso oggi: Il piano di progetto è nelle mani di una sola persona, e solo lei sa che cosa viene dopo.
Con Complass: Il progetto ISO 27001 per entrambi gli stabilimenti mostra l’avanzamento di ogni fase e il prossimo passo aperto, con un clic per proseguire il lavoro. Pre-audit e audit di certificazione sono scadenze del progetto.

Il Suo prossimo passo
Fasi fino all’audit

Capitolo 2

Dalla lacuna alla misura: Analisi dei gap, applicabilità, misure

Analisi dei gap con scala di maturità e valutazione per area

Dalla lacuna alla misura · 1 di 4

A che punto è oggi Kellenbach?

Spesso oggi: L’analisi dei gap è il risultato di un workshop che dopo pochi mesi nessuno aggiorna più.
Con Complass: Ogni misura trasversale viene valutata da «non presente» a «efficace e riesaminata», con obiettivo e motivazione. Complass mostra dove si trovano le lacune maggiori e, se lo desidera, le trasferisce direttamente nel piano delle misure.

Scala di maturità
Valutazione per area

Dichiarazione di applicabilità secondo ISO 27001 Allegato A con stato di valutazione ed esportazione

Dalla lacuna alla misura · 2 di 4

La dichiarazione di applicabilità come documento controllato

Spesso oggi: La dichiarazione di applicabilità è un file Excel le cui motivazioni, all’audit successivo, nessuno è più in grado di ricondurre.
Con Complass: Per ogni controllo dell’Allegato A il catalogo indica se è applicabile, perché, a che punto è l’attuazione e dove si trova l’evidenza. Dopo la verifica la dichiarazione viene approvata come versione ed esportata come Word, Excel o PDF.

Stato di valutazione del catalogo
Esportazione come Word, Excel, PDF

Piano delle misure con filtri, responsabili, scadenze e priorità

Dalla lacuna alla misura · 3 di 4

Ogni lacuna diventa un’attività con un nome e una data

Spesso oggi: Le attività derivanti da audit e analisi dei gap si disperdono tra e-mail, appunti di riunione e ticket.
Con Complass: Il piano delle misure raccoglie tutte le attività con responsabile, scadenza, priorità e il framework che le richiede. I responsabili ricevono un’e-mail all’assegnazione e un promemoria prima della scadenza; ciò che è in ritardo risalta subito.

Attività con responsabile e scadenza
Filtro per framework, priorità e persona

Commenti con menzioni e una domanda risolta su un’attività

Dalla lacuna alla misura · 4 di 4

Le domande dove si svolge il lavoro

Spesso oggi: Il confronto su una misura avviene via e-mail e all’audit successivo non è più rintracciabile.
Con Complass: I commenti con menzioni si trovano direttamente sull’attività e una domanda viene contrassegnata come risolta. All’audit è così chiaro chi ha verificato e deciso che cosa.

Commenti sull’attività

Capitolo 3

Lavorare in Teams e Jira: Attività e scadenze negli strumenti abituali

Microsoft Teams nelle integrazioni: canale attivo con i suoi eventi

Lavorare in Teams e Jira · 1 di 2

Scadenze e approvazioni arrivano in Microsoft Teams

Spesso oggi: Chi non vuole perdere nessuna scadenza né alcuna approvazione deve controllare regolarmente lo strumento di compliance.
Con Complass: Il canale “Informationssicherheit” riceve una scheda quando viene registrato un incidente, scade un termine di notifica, un’attività viene assegnata o è in ritardo, oppure un’approvazione è in attesa. Il link della scheda apre la voce in Complass, dove le persone la gestiscono con i propri diritti.

Canale con i suoi eventi

Attività con un ticket Jira collegato, l’avviso “Jira segnala completato” e il modulo di conferma

Lavorare in Teams e Jira · 2 di 2

La misura diventa un ticket Jira

Spesso oggi: Lo sviluppo lavora in Jira, la compliance in elenchi, e alla fine qualcuno allinea i due a mano.
Con Complass: Con un clic una misura diventa un ticket Jira, singolarmente o più alla volta. Stato, commenti e responsabili tornano indietro. Quando Jira segnala “completato”, la persona responsabile conferma la misura in Complass con un breve commento: così l’evidenza porta la conferma di una persona.

Ticket Jira collegato
Conferma in Complass

Capitolo 4

Incidente con termine di notifica: Un incidente NIS2 in corso

Elenco degli incidenti con l’incidente ransomware in corso e il suo prossimo termine di notifica

Incidente con termine di notifica · 1 di 2

Ransomware sui file server dell’amministrazione

Spesso oggi: In caso di emergenza il team deve prima chiarire se occorre notificare, a chi e entro quando.
Con Complass: L’incidente in corso è registrato, valutato come soggetto a notifica ai sensi della NIS2 e mostra la prossima scadenza con il tempo residuo. Gli incidenti chiusi, tra cui un caso CRA sul gateway aziendale, restano tracciabili con tutte le notifiche.

3 incidenti nell’esempio

Incidente aperto con la prossima scadenza
Scadenze sotto controllo

Fasi di notifica dell’incidente NIS2 con scadenze, preallarme trasmesso e notifica aperta

Incidente con termine di notifica · 2 di 2

Le fasi di notifica secondo la NIS2 con le relative scadenze

Spesso oggi: Le scadenze vengono calcolate a mano da qualcuno sotto pressione, e ciò che è stato trasmesso risiede in un’e-mail.
Con Complass: Complass calcola le scadenze dal momento della presa di conoscenza: preallarme, notifica, relazione finale. Le fasi trasmesse sono riportate con data e ora e numero di protocollo; la notifica vera e propria passa, come prescritto, attraverso il portale dell’autorità competente.

Prossima scadenza
Fasi di notifica secondo la NIS2

Capitolo 5

Prodotto proprio (CRA): KB Connect Gateway e KB Insight

Elenco delle vulnerabilità con CVSS, KEV, priorità, scadenza e responsabili

Prodotto proprio (CRA) · 1 di 5

Vulnerabilità per urgenza anziché per ordine di arrivo

Spesso oggi: I report degli scanner arrivano in PDF e a decidere quale rilievo correggere per primo è l’istinto.
Con Complass: Tutti i rilievi sono in un unico elenco con CVSS, indicatore delle vulnerabilità attivamente sfruttate (KEV), priorità, scadenza e responsabili. In cima c’è ciò che viene sfruttato ed è raggiungibile.

Rilievi per priorità

Rilievo sul portale clienti KB Insight con CVSS, KEV, decisione SSVC e asset interessato

Prodotto proprio (CRA) · 2 di 5

Un rilievo con tutto ciò che serve per decidere

Spesso oggi: Numero CVE, valutazione e sistema interessato si trovano in tre strumenti diversi.
Con Complass: Il rilievo sul portale clienti KB Insight dell’azienda mostra valutazione, voce KEV e decisione SSVC accanto all’asset interessato e alla sua raggiungibilità da Internet. Così è motivato perché viene trattato subito.

Valutazione della vulnerabilità
Asset interessato

Misure raccomandate per un rilievo con fonte e «Adotta come misura»

Prodotto proprio (CRA) · 3 di 5

Dal rilievo alla misura

Spesso oggi: Che cosa fare è sparso tra avvisi dei produttori, database e forum.
Con Complass: Per ogni rilievo sono disponibili le misure raccomandate con la relativa fonte: aggiornamento del produttore, prescrizione della CISA, misura generale per il tipo di vulnerabilità. Con un clic una di esse diventa un’attività con scadenza.

Misure raccomandate con fonte

SBOM del firmware KB Connect con componenti, licenze e vulnerabilità aperte

Prodotto proprio (CRA) · 4 di 5

La SBOM del KB Connect Gateway

Spesso oggi: Quali componenti ci siano nel firmware lo sa lo sviluppo; gestione del prodotto e supporto no.
Con Complass: La SBOM mostra il firmware con bootloader, kernel e librerie, le loro licenze e le vulnerabilità aperte. Viene importata da CycloneDX, confrontata continuamente con le nuove vulnerabilità ed esportata in formato standard.

Componenti del firmware
Esportazione in formato standard

Avviso di sicurezza di un produttore di esempio con gli asset aziendali interessati

Prodotto proprio (CRA) · 5 di 5

Associare gli avvisi dei produttori ai propri dispositivi

Spesso oggi: Gli avvisi di sicurezza dei fornitori arrivano via e-mail e se i propri dispositivi siano interessati lo verifica qualcuno a mano.
Con Complass: Gli avvisi in formato CSAF vengono importati e associati agli asset aziendali in base a modello e versione. L’elenco mostra subito quale dispositivo è interessato e quale è ancora in corso di analisi.

I Suoi asset interessati
Esportare

Capitolo 6

Catena di fornitura: Valutare i fornitori, tenere d’occhio le loro evidenze

Cockpit dei fornitori con gli indicatori della catena di fornitura e l’elenco “Richiede attenzione”

Catena di fornitura · 1 di 3

Dove la catena di fornitura richiede attenzione

Spesso oggi: Quale fornitore è critico e di chi scade il certificato è sparso tra elenchi degli acquisti ed e-mail.
Con Complass: Il cockpit dei fornitori conta i fornitori critici, le valutazioni dovute, le evidenze in scadenza e gli accordi sul trattamento dei dati mancanti. Sotto compare chi richiede attenzione per primo: in cima il rischio più alto, derivato dalla classificazione e dall’ultima valutazione.

Stato della catena di fornitura
Richiede attenzione

Valutazioni di un fornitore: autovalutazione in modalità esterna con avanzamento, nuovo invito automatico e promemoria

Catena di fornitura · 2 di 3

Il fornitore risponde da sé al questionario

Spesso oggi: I questionari vanno avanti e indietro come file Excel, e nessuno sa con certezza quale versione sia quella valida.
Con Complass: Druck & Service Hagen risponde ai requisiti di sicurezza di base nel proprio accesso al portale fornitori. Kellenbach vede l’avanzamento e verifica le risposte dopo l’invio. Prima della scadenza Complass invia un promemoria al fornitore e, se lo desidera, parte automaticamente una nuova valutazione per il prossimo riesame.

Autovalutazione del fornitore
Nuovo invito automatico

Evidenze di un fornitore di hosting con validità, l’avviso “Scade a breve” e la verifica dell’ambito di applicazione

Catena di fornitura · 3 di 3

Certificati e rapporti di audit con data di scadenza

Spesso oggi: Che il certificato di un fornitore di servizi sia scaduto spesso emerge solo all’audit.
Con Complass: Per ogni fornitore sono riportati certificati, rapporti di audit e assicurazioni con la relativa validità e la verifica che il loro ambito copra la prestazione. Ciò che scade a breve viene segnalato e compare nel cockpit prima che si crei una lacuna.

Evidenze con scadenza

Capitolo 7

Stabilimento di Hagen (OT): Zone, conduit e livelli di sicurezza

Zone e conduit dello stabilimento di Hagen con indicatori e schema di rete per livelli Purdue

Stabilimento di Hagen (OT) · 1 di 2

Zone e conduit con livello obiettivo e livello effettivo

Spesso oggi: Il modello delle zone è un disegno dell’ultimo progetto che dopo la prossima ristrutturazione non è più corretto.
Con Complass: Lo stabilimento di Hagen è suddiviso in zone e conduit secondo IEC 62443. Complass mostra le lacune tra livello di sicurezza obiettivo e raggiunto e il traffico osservato senza conduit approvato, anche nello schema di rete per livelli Purdue.

Zone, conduit e gap di SL
Schema di rete per livelli Purdue

Inventario degli asset con zona, responsabile e fabbisogno di protezione

Stabilimento di Hagen (OT) · 2 di 2

Un unico inventario per IT e OT

Spesso oggi: I server li gestisce l’IT, mentre macchine e controllori sono tenuti da ogni stabilimento in un elenco proprio.
Con Complass: Server, postazioni di lavoro, controllori e pannelli operatore sono in un unico inventario con zona, fabbisogno di protezione e responsabile. Aperto e visibile: gli asset dello stabilimento di Iserlohn non hanno ancora una zona, il progetto OT lì seguirà nel 2027.

38 asset registrati

Inventario con zona e fabbisogno di protezione

Capitolo 8

Rischi: Valutare, trattare, riferire

Registro dei rischi con valutazione e trattamento

Rischi · 1 di 3

Un unico registro dei rischi per l’intera azienda

Spesso oggi: I rischi sono in un elenco che viene aggiornato una volta all’anno per l’audit.
Con Complass: Ogni rischio ha una valutazione, un trattamento, un titolare del rischio e la data del prossimo riesame, collegati ad asset, vulnerabilità e misure. Registro, heatmap e metodo sono su un’unica pagina.

12 rischi valutati

Registro dei rischi
Registro, heatmap e metodo

Heatmap con rischio inerente e rischio residuo affiancati

Rischi · 2 di 3

Prima e dopo a colpo d’occhio

Spesso oggi: Per la direzione la heatmap viene ricostruita ogni trimestre in una presentazione.
Con Complass: La heatmap nasce dal registro: a sinistra il rischio inerente, a destra il rischio residuo dopo le misure attuate. Un clic su un numero apre i rischi sottostanti.

Rischio inerente e rischio residuo

Valutazione di un rischio con proposta non vincolante e relative motivazioni

Rischi · 3 di 3

Una proposta di valutazione, la decisione resta in azienda

Spesso oggi: Ogni valutazione parte da zero e ogni reparto valuta con un proprio metro.
Con Complass: Complass ricava una proposta dal fabbisogno di protezione e dall’esposizione degli asset collegati e dalle vulnerabilità aperte, indicandone le motivazioni. La proposta non è vincolante; a recepirla o modificarla sono gli esperti dell’azienda.

Proposta con motivazione

Capitolo 9

Direzione: Obblighi della direzione ai sensi di NIS2

Cockpit della direzione con gli obblighi di un soggetto importante e le relative disposizioni normative

Direzione · 1 di 3

Che cosa deve la direzione ai sensi di NIS2

Spesso oggi: La direzione risponde personalmente, ma vede lo stato solo una volta all’anno in una presentazione.
Con Complass: Il cockpit della direzione mostra a Katharina Kellenbach e a Dr. Martin Oberholz che cosa vale per un soggetto importante: attuare la gestione dei rischi, notificare gli incidenti significativi, registrarsi, vigilare sull’attuazione e seguire una formazione. Ogni obbligo è accompagnato dalla relativa disposizione normativa.

Ciò che vale per Lei

Delibera sulle misure di gestione dei rischi con lo stato delle conferme, vigilanza trimestrale e stato della formazione per membro

Direzione · 2 di 3

Deliberare, vigilare, formarsi: ogni passo confermato

Spesso oggi: Che la direzione abbia approvato le misure lo dimostra, al massimo, una frase nel verbale di una riunione.
Con Complass: Sabine Hartwig prepara la delibera sulle misure di gestione dei rischi e ogni membro della direzione la conferma dopo un nuovo accesso. La vigilanza si svolge ogni trimestre con una scadenza, e per ogni membro è indicata l’ultima formazione con la sua validità. Ciò che è scaduto o in scadenza salta subito all’occhio.

Delibera sulle misure
Vigilanza trimestrale
Formazione per membro

Attestazione degli obblighi di direzione come PDF sigillato e come versione di lavoro

Direzione · 3 di 3

Un’attestazione degli obblighi di direzione che regge

Spesso oggi: Che cosa la direzione ha deliberato e imparato, e quando, va prima ricercato nei raccoglitori quando conta davvero.
Con Complass: L’attestazione degli obblighi di direzione raccoglie in un PDF sigillato delibere, attività di vigilanza, formazioni e prese visione della direzione per un periodo. I destinatari ne verificano l’autenticità sulla pagina di verifica, senza effettuare l’accesso.

Attestazione degli obblighi di direzione

Capitolo 10

Audit e accessi: Evidenze e autorizzazioni

Esportazione per l’audit con l’ambito del pacchetto

Audit e accessi · 1 di 2

Il pacchetto per l’audit su richiesta

Spesso oggi: Prima dell’audit qualcuno passa giorni a raccogliere documenti, elenchi ed evidenze dalle cartelle.
Con Complass: L’esportazione per l’audit riunisce documenti, cataloghi, registri, evidenze e log in un unico file ZIP, con pagina iniziale ed elenco dei checksum. Contiene solo ciò che la persona richiedente può leggere; ogni esportazione è riportata nel registro attività cliente.

Ambito dell’esportazione

Autorizzazioni per persona e area con filtro

Audit e accessi · 2 di 2

Chi può fare che cosa, documentato per l’audit

Spesso oggi: Chi può accedere a che cosa è sparso tra sistemi ed e-mail, e il quadro per l’audit viene ricostruito ogni volta da capo.
Con Complass: Per ogni persona e area è definito: nessun accesso, lettura o scrittura, oltre a diritti speciali come esportare o approvare. Il quadro può essere filtrato ed esportato come evidenza.

Chi può fare cosa?
Autorizzazioni per area

Capitolo 11

Evidenze automatiche: Verifiche dai propri sistemi

Connessione a Microsoft Entra ID e Microsoft 365 con i risultati delle verifiche e l’ultima e la prossima esecuzione

Evidenze automatiche · 1 di 3

Complass legge le impostazioni ogni giorno

Spesso oggi: Per l’audit si fanno screenshot della console di amministrazione, che il giorno dopo possono essere già superati.
Con Complass: La connessione a Microsoft Entra ID e Microsoft 365 legge una volta al giorno, in sola lettura, impostazioni come l’obbligo di MFA, l’autenticazione forte per gli amministratori o il numero di amministratori globali. Ogni verifica riceve un semaforo; vengono salvati numeri e risultati, non nomi di persone. Un’organizzazione GitHub si può collegare allo stesso modo.

Verifiche con semaforo
Esecuzione giornaliera

Requisito della dichiarazione di applicabilità con una proposta di stato da un’evidenza automatica non superata e le evidenze automatiche da Microsoft Entra ID

Evidenze automatiche · 2 di 3

L’evidenza si trova sul requisito

Spesso oggi: Se un requisito è ancora soddisfatto lo si verifica di nuovo solo poco prima dell’audit successivo.
Con Complass: Nella dichiarazione di applicabilità, il requisito sui principi di controllo degli accessi indica quali verifiche automatiche lo comprovano, con risultato, età e cronologia. Poiché una verifica non è superata, Complass propone qui “Parzialmente attuato” e ne indica il motivo; la proposta viene adottata solo manualmente.

Proposta di stato con la motivazione
Evidenze automatiche sul requisito

Panoramica delle evidenze automatiche con lo stato di tutte le verifiche e le fonti di evidenza

Evidenze automatiche · 3 di 3

Tutte le verifiche a colpo d’occhio

Spesso oggi: Quali evidenze siano superate di solito si nota solo quando l’auditor le chiede.
Con Complass: La panoramica mostra quante verifiche sono in ordine, in scadenza a breve o non superate, e da quale fonte provengono. Oltre ai connettori, anche i propri sistemi, come il backup o la pipeline di build, forniscono risultati tramite l’API.

Stato di tutte le verifiche
Fonti di evidenza

Il Suo prossimo passo: Complass con i Suoi dati

Crei da sé il Suo accesso di prova, 14 giorni gratis e senza dati di pagamento. Oppure Le mostriamo Complass in una demo adattata ai Suoi framework.

Provare gratis Richiedere una demo

Verifica l’applicabilità Pacchetti e prezzi