zákazník se ptá, zda používáme antivirus nebo ochranu koncových bodů

Antivirový software spadá pod správu zranitelností, ne pod kybernetickou hygienu

Antivirový software nebo ochrana koncových bodů je technické opatření a je nejlepší jej umístit pod správu zranitelností nebo pod zásady přístupu, ne pod zvědomování. Ochrana koncových bodů detekuje a blokuje malware na laptopech, serverech a mobilních zařízeních — to se liší od deseti opatření jako celku, a zákazníci, kteří si na to zvlášť stěžují, obvykle chtějí pouze potvrzení, že na všech koncových bodech běží aktivní a aktualizovaný systém, ne úplný popis vaší architektury.

Pokud má podnik řešení na ochranu koncových bodů (Defender for Endpoint, CrowdStrike, Sophos nebo podobné) s centrálním řízením a automatickými aktualizacemi, je "ano" s krátkou poznámkou běžnou odpovědí. Pokud chybí centrální řízení a běží pouze samostatný spotřebitelský antivirový software, pak kategorické "ano" není udržitelné — zákazník, který se ptá dále, často chce vědět, zda je součástí širšího procesu zjišťování a nápravy zranitelností, a samostatný antivirový program bez dalšího zdůvodnění na tuto otázku úplně neodpovídá. Máte-li pochybnosti, je "ne" s vysvětlením poctivější než "ano", které se při auditu neukáže jako správné.

Odkud to vyplývá: článek 21 odstavec 2 a Příloha A

Článek 21 odstavec 2 směrnice NIS2 výslovně uvádí mezi deseti opatřeními základní postupy v oblasti kybernetické hygieny a bezpečnosti systémů při nákupu, vývoji a údržbě — ochrana koncových bodů je považována za technické vyplnění tohoto spolu se správou oprav. V ISO/IEC 27001 Příloha A se to vrací pod kontrolní opatření pro "ochranu před malwarem" a pod širší kategorii technické bezpečnosti. Zákazníci, kteří si tuto otázku kladou na základě svých vlastních zásad přístupu, včetně správy prostředků podniku, obvykle očekávají konkrétní odpověď o pokrytí (která zařízení) a správě (centrální nebo ne), ne jméno produktu.