zákazník se ptá, který antivirus nebo software pro ochranu koncových bodů používáme

Antivirus spadá pod správu zranitelností, ne pod samostatnou otázku

Vyplnit název značky obvykle není otázka. "Jaký antivirus používáte" je téměř vždy překladem otázky na opatření i) článku 21 odst. 2 NIS2: politika a postupy týkající se správy a analýzy zranitelností. Zákazník chce vědět, zda jsou koncové body strukturálně chráněny před malwarem a zda zůstává tato ochrana aktuální — ne které logo je na krabici. V normě ISO/IEC 27001 se to objevuje v Příloze A mezi kontrolními opatřeními pro ochranu před malwarem a pro řízení technických zranitelností.

Co musí důkazní dokument obvykle ukazovat: že na všech relevantních zařízeních běží ochrana koncového bodu, že se definice nebo detekce automaticky aktualizují, a že existuje proces pro řešení hlášení — ne jen že je software nainstalován. Snímek obrazovky z jednoho notebooku není důkazem pro celou organizaci; přehled z řídicího panelu řešení pro koncové body s procentem pokrytí a stavem aktualizace je. Pokud tento přehled chybí, odpověď není "ne", ale "ještě je třeba ji podpořit" — ketendossier pak bez zdroje nevyplňuje ano. To souvisí s procesem pro odhalování a odstraňování slabých míst, protože antivirus je jedno opatření v rámci tohoto širšího procesu, ne cíl sám o sobě. V některých dotaznících je otázka pokládána širším způsobem a spadá spíše pod politiku pro analýzu rizik a zabezpečení informačních systémů; před vyplněním do nesprávného bloku si tedy ověřte formát.

Kde se to v směrnici a normě nachází

Článek 21 odst. 2 písm. i Směrnice (EU) 2022/2555 zde neuvádí "politiku a postupy týkající se používání kryptografie", ale výslovně uvádí "politiku a postupy týkající se správy a analýzy zranitelností" jako jedno z deseti opatření; ochrana před malwarem je jejich operační naplnění. V normě ISO/IEC 27001 Příloha A se to objevuje mezi kontrolními opatřeními pro ochranu před malwarem a řízení technických zranitelností. Zákon o kybernetické bezpečnosti přejímá deset opatření z článku 21, jakmile vstoupí v platnost.