Planned

Building Now

Completed

Secfix Roadmap

I would like to share a small usability suggestion regarding the Secfix interface.For findings such as the Microsoft 365 checks, the action button is currently labeled "Remediate". Initially, both a colleague and I were hesitant to click it because it sounded like it would immediately apply changes to our environment. In practice, the button opens guidance and remediation instructions rather than performing the remediation itself.For that reason, a label such as "Instructions", "View Instructions", or "Review Remediation Steps" may better reflect the actual behaviour and help avoid confusion.

In Progress

Automated tasks

Rename "remediate" button for automated checks to prevent confusion

ivana.jendzic

<h4>For the employees who didn’t have a match, adding employees from the HRIS sync takes three clicks each, with waiting for things to load in between. I'm working through a backlog right now and it adds up fast.</h4>In UI I cannot modify anything anyways, fields are locked so I feel I am doing unnecessary work that could be just done in bulk.What I'd like:Checkboxes on each row plus a select-all (right side would work well). Tick everything, untick what I don't need, then run one action:<ul><li>Add employee/s</li><li>Mark out of scope</li></ul>

<h4>Bei den Mitarbeitern, für die keine Übereinstimmung gefunden wurde, erfordert das Hinzufügen von Mitarbeitern aus der HRIS-Synchronisierung jeweils drei Klicks, wobei man zwischendurch warten muss, bis die Daten geladen sind. Ich arbeite gerade einen Rückstand ab, und das summiert sich schnell.</h4>In der Benutzeroberfläche kann ich ohnehin nichts ändern, da die Felder gesperrt sind – daher habe ich das Gefühl, unnötige Arbeit zu verrichten, die einfach in einem Schritt für alle erledigt werden könnte.Was ich mir wünsche:Kontrollkästchen in jeder Zeile sowie eine Option zum „Alle auswählen“ (auf der rechten Seite wäre das gut). Alles ankreuzen, das Unnötige abwählen und dann eine Aktion ausführen:<ul><li>Mitarbeiter hinzufügen</li><li>Als „außerhalb des Geltungsbereichs“ markieren</li></ul>

Massenaktion zur Überprüfung des Umfangs der HRIS-Verbindungen – HR-Daten zusammenführen

Bulk action on HRIS connections scope review - Merge HR data

Arne Gebert

We'd like to manually add evidence records to prove that we're actually generating "records of access request issues tracked". Since Secfix doesn't provide Clickup integration yet and we can't turn some ticketing-system-related tasks green, we would then add proof for that on the manual evidence list.I'm referring to the automated tasks called "Records of access requests issues tracked" and "Records of security issues being tracked" in my example.

Wir möchten manuell Nachweise hinzufügen, um zu belegen, dass wir tatsächlich „Aufzeichnungen zu nachverfolgten Zugriffsanfragen” erstellen. Da Secfix noch keine Clickup-Integration bietet und wir einige Aufgaben im Zusammenhang mit dem Ticketingsystem nicht grün markieren können, würden wir einen entsprechenden Nachweis in die manuelle Nachweisliste aufnehmen.Ich beziehe mich dabei auf die automatisierten Aufgaben „Aufzeichnungen zu nachverfolgten Zugriffsanfragen” und „Aufzeichnungen zu nachverfolgten Sicherheitsproblemen” in meinem Beispiel.

Benutzerdefinierte manuelle Nachweise zur Liste hinzufügen

Manual evidence

Add custom manual evidence records to list

Gorka Aracil

Hello, To train all people, we'd need the security awareness training to also be available in Portuguese. This is usually done via YouTube Studio → video → Subtitles → Languages.Machine-translated captions are completely acceptable on our end. If that doesn't work for SecFix, we could instead provide proper translated caption tracks in Portuguese, which would give a more precise, non-machine alternative.Please let us know how you'd like to proceed, so we can start using the SecFix training in other languages effectively. As a quicker interim solution, we will provide a full bilingual document with all questions and answers both in English and Portuguese, so our users can view the videos first, and then choose the options themselves.Best regards,Petru Faurescu

Hallo, um alle Mitarbeiter zu schulen, müsste die Schulung zum Sicherheitsbewusstsein auch auf Portugiesisch verfügbar sein. Dies erfolgt in der Regel über YouTube Studio → Video → Untertitel → Sprachen.Maschinell übersetzte Untertitel sind für uns völlig in Ordnung. Sollte dies bei SecFix nicht funktionieren, könnten wir stattdessen ordnungsgemäß übersetzte Untertitel in Portugiesisch bereitstellen, was eine präzisere, nicht maschinell erstellte Alternative darstellen würde.Bitte teilen Sie uns mit, wie Sie vorgehen möchten, damit wir die SecFix-Schulung effektiv in anderen Sprachen einsetzen können. Als schnellere Übergangslösung werden wir ein vollständiges zweisprachiges Dokument mit allen Fragen und Antworten sowohl auf Englisch als auch auf Portugiesisch bereitstellen, damit unsere Nutzer sich zunächst die Videos ansehen und dann selbst die Optionen auswählen können.Mit freundlichen Grüßen,Petru Faurescu

Schulungen zur Sensibilisierung für Sicherheitsfragen: Untertitel in weiteren Sprachen

Complete

Security awareness training

Security Awareness Training: Subtitles in more languages

Petru Faurescu

The Employees page comes with filtering, but does not have a sorting option like e.g. Computers. Is this by intention or got it lost accidentally? Especially sorting by Date would be helpful.

Die Seite „Mitarbeiter“ verfügt zwar über Filterfunktionen, bietet jedoch keine Sortieroption wie beispielsweise die Seite „Computer“. Ist das beabsichtigt oder ist diese Funktion versehentlich verloren gegangen? Insbesondere eine Sortierung nach Datum wäre hilfreich.

Sortieren auf der Seite „Mitarbeiter“

Employees

Sorting on the Employees page

Frank Tiex

Der Secfix Agent prüft die PC’s. Devolutions Workspace wurde umbenannt in Devolutions Password Manager. Diesen bitte zusätzlich aufnehmen

Devolutions Passwort Manager in Secfix Computer aufnehmen

Thomas Wischermann

<a target="_blank" rel="noopener noreferrer nofollow" class="link" href="https://devolutions.net/workspace/">https://devolutions.net/workspace/</a>

Devolutions Workspace als Passwort-Manager erkennen

Recognize Devolutions Workspace as password manager

Context / problem: Currently, we cannot export the access review data (list of users &amp; permissions) from the platform. This creates friction especially for larger customers like us. Customer impact: Manually copying the data into the access review template is time-consuming and error-prone. Proposed solution: Introduce an export functionality (e.g. CSV/Excel) for access review data directly from the Access section.

Kontext / Problem: Derzeit können wir die Daten zur Zugriffsprüfung (Liste der Benutzer und Berechtigungen) nicht aus der Plattform exportieren. Dies führt insbesondere bei größeren Kunden wie uns zu Schwierigkeiten. Auswirkungen für den Kunden: Das manuelle Kopieren der Daten in die Vorlage für die Zugriffsprüfung ist zeitaufwändig und fehleranfällig. Vorgeschlagene Lösung: Einführung einer Exportfunktion (z. B. CSV/Excel) für Zugriffsprüfungsdaten direkt aus dem Bereich „Zugriff“.

Exportfunktion für Daten aus Access Review

Export functionality for Access Review data

This could be helpful to find all PII-related software quickly.

Dies könnte hilfreich sein, um alle Programme, die personenbezogene Daten verarbeiten, schnell zu finden.

Option zum Sortieren der Lieferantenliste nach „Gespeicherte Daten“

Option to sort the Vendors list by "Data stored"

it would be helpful, if on the Vendors and Inventory page the owner info is shown already when moving the mouse over the bubble, as it is already implemented for the risk register. Today you need to click on the bubble and then the name is partially covered by the edit dialog.

Es wäre hilfreich, wenn auf der Seite „Lieferanten und Lagerbestand“ die Eigentümerinformationen bereits angezeigt würden, sobald man mit der Maus über die Blase fährt, so wie es bereits für das Risikoregister umgesetzt ist. Derzeit muss man auf die Blase klicken, und dann wird der Name teilweise vom Bearbeitungsdialog verdeckt.

Besitzerinformationen bei Mauszeiger-Überfahrt anzeigen

Inventory

Vendor management

Show Owner Info on mouseover

I think if we (an admin) mark someone as "not a person", there should be an option to also "unmark" them. It can be done by mistake, or for testing, and it needs to be reversible.

Ich finde, wenn wir (als Administrator) jemanden als „keine Person“ markieren, sollte es eine Option geben, diese Markierung wieder aufzuheben. Das kann versehentlich passieren oder zu Testzwecken geschehen, und es muss rückgängig gemacht werden können.

Möglichkeit, die Aktion „Als keine Person markieren“ auf der Mitarbeiterseite rückgängig zu machen

Ability to undo "mark as not a person" action on employees page

Anita Luca

I recently switched from another tool to Secfix, so I'm looking for a feature they offer, and I wish I had a screenshot to show you. Somehow, they are able to list all of the SaaS accounts that an email in our domain has signed up for. For example, instead of just Google, I know that x person has access to ChatGPT, Cursor, Atlassian, Docker, Microsoft, Notion, Zoom, Figma, etc., etc. I want to access this information for every employee instantly. It is very helpful for access reviews as required for SOC2 compliance.

Ich bin kürzlich von einem anderen Tool zu Secfix gewechselt und suche nun nach einer bestimmten Funktion, die sie anbieten. Ich wünschte, ich hätte einen Screenshot, um Ihnen das zu zeigen. Irgendwie ist es ihnen möglich, alle SaaS-Konten aufzulisten, für die sich eine E-Mail-Adresse in unserer Domain angemeldet hat. Anstatt nur Google zu sehen, weiß ich beispielsweise, dass Person X Zugriff auf ChatGPT, Cursor, Atlassian, Docker, Microsoft, Notion, Zoom, Figma usw. hat. Ich möchte sofort auf diese Informationen für jeden Mitarbeiter zugreifen können. Das ist sehr hilfreich für Zugriffsüberprüfungen, die für die SOC2-Konformität erforderlich sind.

Möglichkeit, alle Konten anzuzeigen, für die sich ein Mitarbeiter angemeldet hat

Ability to see all accounts that an employee has signed up for

Rich Bard

When adding files to a manual evidence, the status is automatically set to “Completed” although in some cases, not all documents or links were added yet. Therefore it would be helpful to be able to change back the status manually and also to have a third status “Work in Progress” to mark this and not to loose overview.

Beim Hinzufügen von Dateien zu einem manuellen Nachweis wird der Status automatisch auf „Abgeschlossen“ gesetzt , obwohl in einigen Fällen noch nicht alle Dokumente oder Links hinzugefügt wurden. Daher wäre es hilfreich, den Status manuell zurücksetzen zu können und einen dritten Status „In Bearbeitung“ zu haben, um dies zu kennzeichnen und den Überblick nicht zu verlieren.

Manuelle Nachweise: Manuelle Statusänderung und „In Bearbeitung“

Manual Evidences: Manual Status Change & "Work in Progress"

No way to open-in-new-tab from evidences lists (or similar). Clicking into an item and going back resets scroll position to the top, losing place in a long list of evidences.

Es gibt keine Möglichkeit, aus der Liste der Beweise (oder ähnlichen Listen) einen Link in einem neuen Tab zu öffnen. Wenn man auf einen Eintrag klickt und dann zurückgeht, wird die Scrollposition wieder an den Anfang zurückgesetzt, wodurch man in einer langen Liste von Beweisen den Überblick verliert.

Option, „Evidences“ in einem neuen Tab aus den Listenansichten zu öffnen

Option to open Evidences in a new tab from list views

Melita Mujičić

Regarding the bigger vendors (Google, AWS, Microsoft, Jira, etc.), automate the Security documents (ISO certificates, DPAs, etc.). Looking for those manually and choosing the right one can be a pain.

Was die größeren Anbieter (Google, AWS, Microsoft, Jira usw.) betrifft, sollten Sie die Sicherheitsdokumente (ISO-Zertifikate, Datenschutzvereinbarungen usw.) automatisieren. Diese manuell zu suchen und das richtige Dokument auszuwählen, kann sehr mühsam sein.

Sicherheitsdokumente von Lieferanten automatisieren

Automate Security documents of vendors

<h2>Proposed Solution</h2>Add vendor address information (or at minimum vendor location/country) to the Vendor Export. Problem We frequently use the Vendor Export as part of security questionnaires, customer onboarding processes, and audit preparations. While the current export provides a list of vendors, it does not include vendor address/location information.Many customer due diligence and security review questionnaires require not only the vendor name but also information about where the vendor is located. As a result, we currently have to manually open each vendor record and copy the address information into the exported vendor list. <h2></h2>

<h2>Lösungsvorschlag</h2>Fügen Sie dem Lieferanten-Export die Adressdaten des Lieferanten (oder zumindest den Standort bzw. das Land des Lieferanten) hinzu. Problem Wir nutzen den Lieferantenexport häufig im Rahmen von Sicherheitsfragebögen, Kunden-Onboarding-Prozessen und bei der Vorbereitung auf Audits. Der aktuelle Export liefert zwar eine Liste der Lieferanten, enthält jedoch keine Angaben zur Adresse oder zum Standort der Lieferanten.Viele Fragebögen zur Kunden-Due-Diligence und zu Sicherheitsüberprüfungen erfordern nicht nur den Namen des Lieferanten, sondern auch Angaben zum Standort des Lieferanten. Daher müssen wir derzeit jeden Lieferanteneintrag manuell öffnen und die Adressdaten in die exportierte Lieferantenliste kopieren. <h2></h2>

Funktionswunsch: Aufnahme der Lieferantenadressdaten in den Lieferantenexport

Feature Request: Include Vendor Address Information in Vendor Export

Oliver Broszat

ProblemThe current Vendors section is limited in scope and suggests that only software vendors should be listed.In practice, organizations work with different types of third parties, such as:<ul><li>infrastructure providers,</li><li>partners involved in collaborative development,</li><li>customers participating in joint projects.</li></ul>These entities are currently not clearly represented in the Vendors section, although they are relevant from a risk and compliance perspective.Proposed solutionRename Vendors to Vendors &amp; Partners, or extend the section to explicitly support different third-party types (e.g. vendor, partner, customer, infrastructure provider).Benefits<ul><li>More accurate representation of third-party relationships</li><li>Better coverage of non-software and collaborative partners</li><li>Improved clarity and usability for customers</li></ul>

ProblemDer aktuelle Abschnitt „Anbieter“ ist in seinem Umfang begrenzt und legt nahe, dass nur Softwareanbieter aufgeführt werden sollten.In der Praxis arbeiten Unternehmen jedoch mit verschiedenen Arten von Drittanbietern zusammen, darunter:<ul><li>Infrastrukturanbieter,</li><li>Partner, die an der gemeinsamen Entwicklung beteiligt sind,</li><li>Kunden, die an gemeinsamen Projekten beteiligt sind.</li></ul>Diese Unternehmen sind derzeit im Abschnitt „Anbieter“ nicht eindeutig vertreten, obwohl sie aus Risiko- und Compliance-Sicht relevant sind.Vorgeschlagene LösungUmbenennung des Abschnitts „Anbieter“ in „Anbieter und Partner“ oder Erweiterung des Abschnitts, um verschiedene Arten von Drittanbietern (z. B. Anbieter, Partner, Kunden, Infrastrukturanbieter) ausdrücklich zu unterstützen.Vorteile<ul><li>Genauere Darstellung der Beziehungen zu Dritten</li><li>Bessere Abdeckung von Nicht-Software- und Kooperationspartnern</li><li>Verbesserte Übersichtlichkeit und Benutzerfreundlichkeit für Kunden</li></ul>

Erweitern Sie „Anbieter“ um Partner und andere Dritte.

Expand Vendors to include Partners and other third parties

Even though I connected Linear as part of the ticketing integrations, Jira seems to be the only available options to automatically create and links tasks from SecFix.

Obwohl ich Linear als Teil der Ticket-Integrationen verbunden habe, scheint Jira die einzige verfügbare Option zu sein, um Aufgaben aus SecFix automatisch zu erstellen und zu verknüpfen.

Aufgaben in Linear erstellen

Connections

Create Tasks in Linear

Matteo Galli

The best case would be to update the ticket in Jira, and this should sync the due date in the risk register if the ticket is linked.

Im besten Fall würde das Ticket in Jira aktualisiert werden, wodurch das Fälligkeitsdatum im Risikoregister synchronisiert werden sollte, wenn das Ticket verknüpft ist.

Synchronisieren Sie die Fälligkeitstermine von Behandlungsaufgaben mit den Fälligkeitsterminen im verknüpften Ticket.

Risk register

Sync due dates of treatment tasks with the due dates in the linked ticket

Jan Wagner

Currently, there’s no way for admins to see when an onboarding task is about to expire. It would be helpful to display expiry dates, so admins can proactively remind employees to complete their tasks before the deadline.

Derzeit haben Administratoren keine Möglichkeit zu erkennen, wann eine Onboarding-Aufgabe bald abläuft. Es wäre hilfreich, Ablaufdaten anzuzeigen, damit Administratoren die Mitarbeiter proaktiv daran erinnern können, ihre Aufgaben vor Ablauf der Frist zu erledigen.

Ablaufdatum der Onboarding-Aufgaben

My Onboarding (/me)

Onboarding tasks expiry date

Commenting on behalf of Jan W. - at the moment our Customers do not have a good overview over the vendors. The vendors are currently sorted by owners, risk level or status. As soon as the vendor number grows, there is no way to sort them by their category. Customer is suggesting to structure the risk scenarios by: <ul><li>creating departments;</li><li>assigning labels;</li><li>grouping.</li></ul>Use case:A SMB with multiple departments and multiple vendors needs a good overview over the vendors. Adding for instance grouping or labeling by departments will help our customers to assign vendor to the right category - for instance banking, internal communication etc. This helps customers structure the work on the platform and manage the vendor ownership more efficiently.

Im Namen von Jan W. möchte ich anmerken: Derzeit haben unsere Kunden keinen guten Überblick über die Lieferanten. Die Lieferanten sind derzeit nach Eigentümern, Risikostufe oder Status sortiert. Sobald die Anzahl der Lieferanten steigt, gibt es keine Möglichkeit mehr, sie nach Kategorien zu sortieren. Der Kunde schlägt vor, die Risikoszenarien wie folgt zu strukturieren: <ul><li>Abteilungen anzulegen;</li><li>Zuweisung von Labels;</li><li>Gruppierung.</li></ul>Anwendungsfall:Ein KMU mit mehreren Abteilungen und mehreren Lieferanten benötigt einen guten Überblick über die Lieferanten. Das Hinzufügen von Gruppierungen oder Kennzeichnungen nach Abteilungen hilft unseren Kunden dabei, Lieferanten der richtigen Kategorie zuzuordnen – beispielsweise Bankwesen, interne Kommunikation usw. Dies hilft den Kunden, die Arbeit auf der Plattform zu strukturieren und die Zuständigkeiten für die Lieferanten effizienter zu verwalten.

Struktur und Gruppierung der Lieferanten

Structure and grouping of vendors

The addition of Automated Vendor Risk Assessments to the Vendor Management module would be great to have. This feature should allow for systematic evaluation of vendor security and compliance risks without manual intervention.Key functionalities:<ul><li>Ability to send automated risk assessment forms to vendors.</li><li>Standardized risk scoring based on responses.</li><li>Integration with vendor profiles for tracking and reporting.</li></ul>This enhancement would improve efficiency, reduce manual workload, and ensure a more consistent vendor risk evaluation process.

Es wäre großartig, wenn das Modul „Lieferantenmanagement“ um automatisierte Lieferantenrisikobewertungen erweitert würde. Diese Funktion sollte eine systematische Bewertung der Sicherheits- und Compliance-Risiken von Lieferanten ohne manuellen Eingriff ermöglichen.Wichtigste Funktionen:<ul><li>Möglichkeit, automatisierte Formulare zur Risikobewertung an Lieferanten zu versenden.</li><li>Standardisierte Risikobewertung auf Basis der Antworten.</li><li>Integration in Lieferantenprofile zur Nachverfolgung und Berichterstellung.</li></ul>Diese Erweiterung würde die Effizienz steigern, den manuellen Arbeitsaufwand reduzieren und einen einheitlicheren Prozess zur Bewertung von Lieferantenrisiken gewährleisten.

Automatisierte Risikobewertungen von Lieferanten

Automated Vendor Risk Assessments

Angus Bankes

It would be great to have the ability to add custom fields to vendors. This would allow us to track important details such as:<ul><li>Has the contract been signed?</li><li>Do they delete data within six months?</li><li>Where is their data located?</li><li>Where do they process their data?</li></ul>

Es wäre toll, wenn man den Lieferanten benutzerdefinierte Felder hinzufügen könnte. So könnten wir wichtige Details nachverfolgen, wie zum Beispiel:<ul><li>Wurde der Vertrag unterzeichnet?</li><li>Löschen sie Daten innerhalb von sechs Monaten?</li><li>Wo befinden sich ihre Daten?</li><li>Wo werden die Daten verarbeitet?</li></ul>