fikcyjna firma przykładowa

Complass w firmie Kellenbach: przewodnik (liczba rozdziałów: 11)

Zrzuty ekranu pokazują prawdziwy portal z przykładowymi danymi Kellenbach Maschinenbau. Proszę wybrać rozdział: kroki przechodzą dalej samoczynnie, a w każdej chwili można je zatrzymać. Każdy krok pokazuje, jak to często wygląda dziś i co zmienia Complass.

Rozpocznij przewodnik

Rozdział

Przegląd Wszystkie ramy regulacyjne w jednym portalu 3 kroków Zalecany początek
Od luki do działania Analiza luk, stosowalność, działania 4 kroków
Praca w Teams i Jira Zadania i terminy w znanych narzędziach 2 kroków
Incydent z terminem zgłoszenia Bieżący incydent NIS2 2 kroków
Własny produkt (CRA) KB Connect Gateway i KB Insight 5 kroków
Łańcuch dostaw Ocena dostawców, dowody pod kontrolą 3 kroków
Zakład w Hagen (OT) Strefy, kanały komunikacyjne i poziomy bezpieczeństwa 2 kroków
Ryzyka Oceniać, postępować, raportować 3 kroków
Kierownictwo Obowiązki kierownictwa według NIS2 3 kroków
Audyt i dostęp Dowody i uprawnienia 2 kroków
Automatyczne dowody Kontrole z własnych systemów 3 kroków

Firma rodzinna, 380 pracowników, dwa zakłady w Hagen i Iserlohn
Według NIS2 podmiot ważny
Producent według CRA i rozporządzenia maszynowego, z własną bramą KB Connect Gateway

Rozdział 1

Przegląd: Wszystkie ramy regulacyjne w jednym portalu

Dashboard firmy Kellenbach z łącznym postępem, najbliższym audytem, otwartymi zadaniami, poziomem dojrzałości i bieżącymi terminami zgłoszeń

Przegląd · 1 z 3

Stan firmy Kellenbach na jednej stronie

Często dziś: Kto chce wiedzieć, na jakim etapie jest firma, zbiera liczby z arkuszy, e-maili i folderów projektowych.
Z Complass: Dashboard pokazuje łączny postęp, najbliższy audyt, otwarte zadania i poziom dojrzałości we wszystkich projektach. Poniżej biegną terminy zgłoszeń bieżącego incydentu, a każdy kafelek prowadzi bezpośrednio do listy, która za nim stoi.

26 ram regulacyjnych w portalu

Łączny postęp we wszystkich projektach
Bieżące terminy zgłoszeń

Przegląd ram regulacyjnych: wspólne działania i projekty, w których się liczą

Przegląd · 2 z 3

Wdrożyć raz, udowodnić dla każdych ram regulacyjnych

Często dziś: ISO 27001, NIS2 i CRA wymagają w dużej mierze tego samego, a każde wymaganie jest prowadzone na osobnej liście.
Z Complass: Przegląd ram regulacyjnych przypisuje każdemu wspólnemu działaniu projekty, w których się ono liczy. Co zostało raz wdrożone i udokumentowane, działa dla każdych ram regulacyjnych, które tego wymagają.

Wspólne działania
Wpływ na projekt

Projekt ISO 27001 dla zakładów w Hagen i Iserlohn z postępem, następnym krokiem i fazami

Przegląd · 3 z 3

Jeden projekt na każde ramy regulacyjne, krok po kroku do audytu

Często dziś: Plan projektu jest w rękach jednej osoby i tylko ona wie, co jest następne.
Z Complass: Projekt ISO 27001 dla obu zakładów pokazuje postęp każdej fazy i następny otwarty krok, a jednym kliknięciem można przejść do pracy. Audyt wstępny i audyt certyfikujący są terminami w projekcie.

Państwa następny krok
Fazy do audytu

Rozdział 2

Od luki do działania: Analiza luk, stosowalność, działania

Analiza luk ze skalą dojrzałości i oceną według obszarów

Od luki do działania · 1 z 4

Gdzie Kellenbach znajduje się dzisiaj?

Często dziś: Analiza luk jest wynikiem warsztatu, którego po kilku miesiącach nikt już nie aktualizuje.
Z Complass: Każde wspólne działanie jest oceniane od „brak” do „skuteczne i zweryfikowane”, z celem i uzasadnieniem. Complass pokazuje, gdzie są największe luki, i na życzenie przenosi je bezpośrednio do planu działań.

Skala dojrzałości
Ocena według obszarów

Deklaracja stosowania według załącznika A do ISO 27001 ze stanem oceny i eksportem

Od luki do działania · 2 z 4

Deklaracja stosowania jako dokument nadzorowany

Często dziś: Deklaracja stosowania to plik Excel, którego uzasadnień przy następnym audycie nikt nie potrafi już przypisać.
Z Complass: Dla każdego zabezpieczenia z załącznika A katalog podaje, czy ma zastosowanie, dlaczego, w jakim stopniu jest wdrożone i gdzie znajduje się dowód. Po weryfikacji deklaracja jest zatwierdzana jako wersja i eksportowana do Worda, Excela lub PDF.

Stan oceny katalogu
Eksport do Worda, Excela, PDF

Plan działań z filtrami, osobami odpowiedzialnymi, terminami i priorytetami

Od luki do działania · 3 z 4

Każda luka staje się zadaniem z imieniem i terminem

Często dziś: Zadania z audytu i analizy luk rozpraszają się po e-mailach, notatkach ze spotkań i zgłoszeniach.
Z Complass: Plan działań gromadzi wszystkie zadania wraz z osobą odpowiedzialną, terminem, priorytetem i ramami regulacyjnymi, które ich wymagają. Osoby odpowiedzialne otrzymują e-mail przy przydzieleniu i przypomnienie przed terminem; zaległości od razu rzucają się w oczy.

Zadania z osobą odpowiedzialną i terminem
Filtr według ram regulacyjnych, priorytetu i osoby

Komentarze ze wzmiankami i zamkniętym pytaniem do zadania

Od luki do działania · 4 z 4

Pytania tam, gdzie toczy się praca

Często dziś: Uzgodnienia dotyczące działania toczą się mailowo i przy następnym audycie nie da się ich odnaleźć.
Z Complass: Komentarze ze wzmiankami znajdują się bezpośrednio przy zadaniu, a pytanie można oznaczyć jako zamknięte. Podczas audytu widać dzięki temu, kto co sprawdził i zdecydował.

Komentarze do zadania

Rozdział 3

Praca w Teams i Jira: Zadania i terminy w znanych narzędziach

Microsoft Teams w integracjach: aktywny kanał z jego zdarzeniami

Praca w Teams i Jira · 1 z 2

Terminy i zatwierdzenia trafiają do Microsoft Teams

Często dziś: Kto nie chce przegapić żadnego terminu ani zatwierdzenia, musi regularnie zaglądać do narzędzia compliance.
Z Complass: Kanał „Informationssicherheit” otrzymuje kartę, gdy zostaje założony incydent, mija termin zgłoszenia, zadanie zostaje przydzielone lub staje się zaległe albo czeka zatwierdzenie. Link na karcie otwiera wpis w Complass, gdzie osoby obsługują go z własnymi uprawnieniami.

Kanał z jego zdarzeniami

Zadanie z powiązanym zgłoszeniem Jira, komunikatem „Jira zgłasza wykonanie” i formularzem potwierdzenia

Praca w Teams i Jira · 2 z 2

Działanie staje się zgłoszeniem Jira

Często dziś: Dział rozwoju pracuje w Jira, compliance w listach, a na końcu ktoś ręcznie uzgadnia jedno z drugim.
Z Complass: Jednym kliknięciem działanie staje się zgłoszeniem Jira, pojedynczo lub kilka naraz. Status, komentarze i osoby odpowiedzialne wracają do Complass. Gdy Jira zgłasza „wykonane”, osoba odpowiedzialna potwierdza działanie w Complass krótkim komentarzem, dzięki czemu dowód zawiera potwierdzenie przez człowieka.

Powiązane zgłoszenie Jira
Potwierdzenie w Complass

Rozdział 4

Incydent z terminem zgłoszenia: Bieżący incydent NIS2

Lista incydentów z bieżącym incydentem ransomware i jego najbliższym terminem zgłoszenia

Incydent z terminem zgłoszenia · 1 z 2

Ransomware na serwerach plików administracji

Często dziś: W sytuacji kryzysowej zespół musi najpierw ustalić, czy zgłoszenie jest wymagane, komu i do kiedy.
Z Complass: Bieżący incydent jest zarejestrowany, oceniony jako podlegający zgłoszeniu według NIS2 i pokazuje najbliższy termin wraz z pozostałym czasem. Zamknięte incydenty, w tym przypadek CRA dotyczący własnej bramy, pozostają możliwe do prześledzenia ze wszystkimi zgłoszeniami.

3 incydentów w przykładzie

Otwarty incydent z najbliższym terminem
Terminy w zasięgu wzroku

Etapy zgłoszenia incydentu NIS2 z terminami, przekazanym wczesnym ostrzeżeniem i otwartym zgłoszeniem

Incydent z terminem zgłoszenia · 2 z 2

Etapy zgłoszenia według NIS2 i ich terminy

Często dziś: Terminy przelicza ktoś ręcznie pod presją czasu, a to, co zostało przekazane, znajduje się w e-mailu.
Z Complass: Complass liczy terminy od momentu uzyskania wiedzy: wczesne ostrzeżenie, zgłoszenie, sprawozdanie końcowe. Przekazane etapy są widoczne z datą i godziną oraz numerem sprawy; samo zgłoszenie trafia, zgodnie z wymogami, przez portal właściwego organu.

Najbliższy termin
Etapy zgłoszenia według NIS2

Rozdział 5

Własny produkt (CRA): KB Connect Gateway i KB Insight

Lista podatności z CVSS, KEV, priorytetem, terminem i osobami odpowiedzialnymi

Własny produkt (CRA) · 1 z 5

Podatności według pilności, a nie według kolejności wpływu

Często dziś: Raporty skanerów przychodzą jako PDF, a o tym, które ustalenie zostanie usunięte najpierw, decyduje przeczucie.
Z Complass: Wszystkie ustalenia są na jednej liście z CVSS, oznaczeniem aktywnie wykorzystywanych podatności (KEV), priorytetem, terminem i osobami odpowiedzialnymi. Na górze znajduje się to, co jest wykorzystywane i osiągalne.

Ustalenia według priorytetu

Ustalenie dotyczące portalu klienta KB Insight z CVSS, KEV, decyzją SSVC i zagrożonym zasobem

Własny produkt (CRA) · 2 z 5

Jedno ustalenie ze wszystkim, czego wymaga decyzja

Często dziś: Numer CVE, ocena i zagrożony system znajdują się w trzech różnych narzędziach.
Z Complass: Ustalenie dotyczące własnego portalu klienta KB Insight pokazuje ocenę, wpis KEV i decyzję SSVC obok zagrożonego zasobu i jego dostępności z internetu. Dzięki temu wiadomo, dlaczego jest obsługiwane natychmiast.

Ocena podatności
Zagrożony zasób

Zalecane działania dla ustalenia ze źródłem i opcją „Przejmij jako działanie”

Własny produkt (CRA) · 3 z 5

Od ustalenia do działania

Często dziś: To, co należy zrobić, jest rozproszone po informacjach producentów, bazach danych i forach.
Z Complass: Do każdego ustalenia dostępne są zalecane działania wraz ze źródłem: aktualizacja producenta, wytyczna CISA, ogólne działanie dla danego rodzaju podatności. Jednym kliknięciem staje się z tego zadanie z terminem.

Zalecane działania ze źródłem

SBOM oprogramowania układowego KB Connect z komponentami, licencjami i otwartymi podatnościami

Własny produkt (CRA) · 4 z 5

SBOM bramy KB Connect Gateway

Często dziś: Jakie komponenty zawiera oprogramowanie układowe, wie dział rozwoju; zarządzanie produktem i wsparcie tego nie wiedzą.
Z Complass: SBOM pokazuje oprogramowanie układowe z bootloaderem, jądrem i bibliotekami, ich licencjami i otwartymi podatnościami. Jest importowany z CycloneDX, na bieżąco porównywany z nowymi podatnościami i eksportowany w formacie standardowym.

Komponenty oprogramowania układowego
Eksport w formacie standardowym

Komunikat bezpieczeństwa przykładowego producenta z zagrożonymi zasobami własnymi

Własny produkt (CRA) · 5 z 5

Przypisywanie komunikatów producentów do własnych urządzeń

Często dziś: Komunikaty bezpieczeństwa dostawców przychodzą e-mailem, a to, czy własne urządzenia są zagrożone, sprawdza ktoś ręcznie.
Z Complass: Komunikaty w formacie CSAF są importowane i przypisywane do własnych zasobów na podstawie modelu i wersji. Lista od razu pokazuje, które urządzenie jest zagrożone, a które jest jeszcze badane.

Państwa zagrożone zasoby
Eksport

Rozdział 6

Łańcuch dostaw: Ocena dostawców, dowody pod kontrolą

Kokpit dostawców ze wskaźnikami łańcucha dostaw i listą „Wymaga uwagi”

Łańcuch dostaw · 1 z 3

Gdzie łańcuch dostaw wymaga uwagi

Często dziś: Który dostawca jest krytyczny i czyj certyfikat wygasa, jest rozproszone po listach zakupowych i e-mailach.
Z Complass: Kokpit dostawców zlicza krytycznych dostawców, zaległe oceny, wygasające dowody i brakujące umowy powierzenia przetwarzania danych. Poniżej widać, kto najpierw wymaga uwagi: na górze najwyższe ryzyko wynikające z klasyfikacji i ostatniej oceny.

Stan łańcucha dostaw
Wymaga uwagi

Oceny dostawcy: samoocena w trybie zewnętrznym z postępem, automatyczne ponowne zaproszenie i przypomnienia

Łańcuch dostaw · 2 z 3

Dostawca sam wypełnia kwestionariusz

Często dziś: Kwestionariusze krążą tam i z powrotem jako pliki Excel i nikt nie wie dokładnie, która wersja obowiązuje.
Z Complass: Druck & Service Hagen odpowiada na podstawowe wymagania bezpieczeństwa we własnym dostępie do portalu dostawców. Kellenbach widzi postęp i sprawdza odpowiedzi po ich przesłaniu. Przed upływem terminu Complass przypomina dostawcy, a na życzenie przy kolejnym przeglądzie automatycznie wysyła nową ocenę.

Samoocena dostawcy
Automatyczne ponowne zaproszenie

Dowody dostawcy usług hostingowych z okresem ważności, komunikatem „Wkrótce wygasa” i weryfikacją zakresu

Łańcuch dostaw · 3 z 3

Certyfikaty i raporty z audytów z datą ważności

Często dziś: To, że certyfikat usługodawcy wygasł, często wychodzi na jaw dopiero podczas audytu.
Z Complass: Dla każdego dostawcy widać certyfikaty, raporty z audytów i polisy ubezpieczeniowe z okresem ważności oraz informacją, czy ich zakres obejmuje świadczoną usługę. To, co wkrótce wygasa, jest oznaczone i pojawia się w kokpicie, zanim powstanie luka.

Dowody z datą ważności

Rozdział 7

Zakład w Hagen (OT): Strefy, kanały komunikacyjne i poziomy bezpieczeństwa

Strefy i kanały komunikacyjne zakładu w Hagen ze wskaźnikami i planem sieci według poziomów Purdue

Zakład w Hagen (OT) · 1 z 2

Strefy i kanały komunikacyjne z poziomem docelowym i osiągniętym

Często dziś: Model stref to rysunek z ostatniego projektu, który po następnej przebudowie przestaje się zgadzać.
Z Complass: Zakład w Hagen jest podzielony według IEC 62443 na strefy i kanały komunikacyjne. Complass pokazuje luki między docelowym a osiągniętym poziomem bezpieczeństwa oraz zaobserwowany ruch bez zatwierdzonego kanału, także na planie sieci według poziomów Purdue.

Strefy, kanały komunikacyjne i luki SL
Plan sieci według poziomów Purdue

Inwentarz zasobów ze strefą, osobą odpowiedzialną i potrzebą ochrony

Zakład w Hagen (OT) · 2 z 2

Jeden inwentarz dla IT i OT

Często dziś: Serwery prowadzi dział IT, a maszyny i sterowniki każdy zakład prowadzi na własnej liście.
Z Complass: Serwery, stanowiska pracy, sterowniki i panele operatorskie znajdują się w jednym inwentarzu ze strefą, potrzebą ochrony i osobą odpowiedzialną. Otwarta i widoczna kwestia: zasoby w zakładzie w Iserlohn nie mają jeszcze strefy, a projekt OT w tym zakładzie ruszy w 2027 roku.

38 zarejestrowanych zasobów

Inwentarz ze strefą i potrzebą ochrony

Rozdział 8

Ryzyka: Oceniać, postępować, raportować

Rejestr ryzyk z oceną i postępowaniem z ryzykiem

Ryzyka · 1 z 3

Jeden rejestr ryzyk dla całej firmy

Często dziś: Ryzyka znajdują się na liście, która jest odświeżana raz w roku na potrzeby audytu.
Z Complass: Każde ryzyko ma ocenę, sposób postępowania, właściciela ryzyka i termin następnego przeglądu, powiązane z zasobami, podatnościami i działaniami. Rejestr, mapa ciepła i metoda są na jednej stronie.

12 ocenionych ryzyk

Rejestr ryzyk
Rejestr, mapa ciepła i metoda

Mapa ciepła z ryzykiem nieodłącznym i ryzykiem szczątkowym obok siebie

Ryzyka · 2 z 3

Przed i po na pierwszy rzut oka

Często dziś: Dla kierownictwa mapa ciepła jest co kwartał budowana od nowa w prezentacji.
Z Complass: Mapa ciepła powstaje z rejestru: po lewej ryzyko nieodłączne, po prawej ryzyko szczątkowe po wdrożonych działaniach. Kliknięcie liczby otwiera stojące za nią ryzyka.

Ryzyko nieodłączne i ryzyko szczątkowe

Ocena ryzyka z niewiążącą propozycją i jej uzasadnieniem

Ryzyka · 3 z 3

Propozycja oceny, decyzja pozostaje w firmie

Często dziś: Każda ocena zaczyna się od zera, a każdy dział ocenia według własnej miary.
Z Complass: Complass wyprowadza propozycję z potrzeby ochrony i ekspozycji powiązanych zasobów oraz z otwartych podatności i podaje uzasadnienie. Propozycja nie jest wiążąca; przyjmują ją lub korygują specjaliści w firmie.

Propozycja z uzasadnieniem

Rozdział 9

Kierownictwo: Obowiązki kierownictwa według NIS2

Kokpit kierownictwa z obowiązkami podmiotu ważnego i odpowiednimi przepisami

Kierownictwo · 1 z 3

Do czego NIS2 zobowiązuje kierownictwo

Często dziś: Kierownictwo ponosi odpowiedzialność, ale widzi stan rzeczy tylko raz w roku w prezentacji.
Z Complass: W kokpicie kierownictwa Katharina Kellenbach i Dr. Martin Oberholz widzą, co dotyczy podmiotu ważnego: wdrożyć zarządzanie ryzykiem, zgłaszać poważne incydenty, zarejestrować się, nadzorować wdrażanie i odbywać szkolenia. Przy każdym obowiązku podany jest przepis.

Co Państwa dotyczy

Uchwała w sprawie środków zarządzania ryzykiem ze stanem potwierdzeń, kwartalny nadzór i stan szkoleń każdego członka

Kierownictwo · 2 z 3

Uchwalać, nadzorować, szkolić, za każdym razem z potwierdzeniem

Często dziś: To, że kierownictwo zatwierdziło środki, potwierdza co najwyżej jedno zdanie w protokole z posiedzenia.
Z Complass: Sabine Hartwig przygotowuje uchwałę w sprawie środków zarządzania ryzykiem, a każdy członek kierownictwa potwierdza ją po ponownym zalogowaniu. Nadzór odbywa się co kwartał z terminem, a przy każdym członku widać ostatnie szkolenie i jego ważność. To, co zaległe lub wkrótce wymagane, od razu rzuca się w oczy.

Uchwała w sprawie środków
Nadzór co kwartał
Szkolenie każdego członka

Rejestr obowiązków kierownictwa jako zapieczętowany PDF i jako wersja robocza

Kierownictwo · 3 z 3

Rejestr obowiązków kierownictwa, który się obroni

Często dziś: Co i kiedy kierownictwo postanowiło i czego się nauczyło, w razie potrzeby trzeba najpierw wyszukiwać w segregatorach.
Z Complass: Rejestr obowiązków kierownictwa zbiera uchwały, nadzór, szkolenia i potwierdzenia zapoznania się kierownictwa za dany okres w jednym zapieczętowanym pliku PDF. Odbiorcy sprawdzają jego autentyczność bez logowania na stronie weryfikacji.

Rejestr obowiązków kierownictwa

Rozdział 10

Audyt i dostęp: Dowody i uprawnienia

Audyt i dostęp · 1 z 2

Pakiet audytowy na żądanie

Często dziś: Przed audytem ktoś przez wiele dni zbiera dokumenty, listy i dowody z folderów.
Z Complass: Eksport audytowy zestawia dokumenty, katalogi, rejestry, dowody i protokoły w jednym pliku ZIP, ze stroną startową i listą sum kontrolnych. Zawiera wyłącznie to, co może czytać osoba występująca o eksport; każdy eksport jest odnotowany w dzienniku klienta.

Zakres eksportu

Uprawnienia według osoby i obszaru z filtrem

Audyt i dostęp · 2 z 2

Kto co może, udokumentowane na potrzeby audytu

Często dziś: To, kto do czego ma dostęp, jest rozproszone po systemach i e-mailach, a zestawienie na audyt powstaje za każdym razem od nowa.
Z Complass: Dla każdej osoby i obszaru określono: brak dostępu, odczyt lub zapis, a także uprawnienia szczególne, takie jak eksport lub zatwierdzanie. Zestawienie można filtrować i eksportować jako dowód.

Kto co może?
Uprawnienia według obszarów

Rozdział 11

Automatyczne dowody: Kontrole z własnych systemów

Połączenie z Microsoft Entra ID i Microsoft 365 z wynikami kontroli oraz ostatnim i następnym uruchomieniem

Automatyczne dowody · 1 z 3

Complass codziennie odczytuje ustawienia

Często dziś: Na potrzeby audytu powstają zrzuty ekranu z konsoli administracyjnej, które następnego dnia mogą być już nieaktualne.
Z Complass: Połączenie z Microsoft Entra ID i Microsoft 365 raz dziennie, wyłącznie w trybie odczytu, odczytuje ustawienia takie jak obowiązek MFA, silne logowanie administratorów czy liczbę administratorów globalnych. Każda kontrola otrzymuje kolor sygnalizacji; zapisywane są liczby i wyniki, a nie nazwiska osób. W ten sam sposób można podłączyć organizację GitHub.

Kontrole z sygnalizacją świetlną
Codzienne uruchomienie

Wymaganie z deklaracji stosowania z propozycją statusu wynikającą z nieudanej automatycznej kontroli i automatycznymi dowodami z Microsoft Entra ID

Automatyczne dowody · 2 z 3

Dowód jest przy wymaganiu

Często dziś: Czy wymaganie jest nadal spełnione, ktoś sprawdza ponownie dopiero tuż przed kolejnym audytem.
Z Complass: W deklaracji stosowania przy zasadach kontroli dostępu widać, które automatyczne kontrole je potwierdzają, wraz z wynikiem, wiekiem i historią. Ponieważ jedna kontrola kończy się niepowodzeniem, Complass proponuje tu status „Częściowo wdrożone” i podaje powód; propozycję przyjmuje się wyłącznie ręcznie.

Propozycja statusu z uzasadnieniem
Automatyczne dowody przy wymaganiu

Przegląd automatycznych dowodów ze stanem wszystkich kontroli i źródłami dowodów

Automatyczne dowody · 3 z 3

Wszystkie kontrole w jednym miejscu

Często dziś: Które dowody są nieaktualne, zwykle wychodzi na jaw dopiero wtedy, gdy pyta o nie audytor.
Z Complass: Przegląd pokazuje, ile kontroli jest w porządku, wkrótce wygasa lub zakończyło się niepowodzeniem, oraz z jakiego źródła pochodzą. Oprócz konektorów wyniki przez API dostarczają też własne systemy, takie jak backup czy build pipeline.

Stan wszystkich kontroli
Źródła dowodów

Państwa następny krok: Complass z Państwa własnymi danymi

Załóż Państwo samodzielnie konto testowe, 14 dni bezpłatnie i bez danych płatniczych. Albo pokażemy Państwu Complass w prezentacji dopasowanej do Państwa ram regulacyjnych.

Wypróbuj za darmo Umów demo

Sprawdź stosowalność Pakiety i ceny