spørgeskemaet spørger, hvilken antivirus eller endpointbeskyttelse vi bruger

Endpoint protection falder under cyberhygiejne, ikke under sårbarhedsstyring

Spørgsmålet om den anvendte virusscanner eller endpoint protection er et delpunkt under den bredere foranstaltning cyberhygiejne og sikkerhedstræning fra artikel 21, stk. 2 i NIS2. Svaret afhænger udelukkende af, hvad der faktisk kører: hvis der er en endpoint protection-løsning aktivt på arbejdsstationer og servere, er "ja" med leverandørens navn svaret. Uden sådan en løsning, eller med kun den indbyggede Windows Defender uden centraliseret styring, er svaret mere nuanceret — så er der ganske vist grundlæggende beskyttelse, men ingen centraliseret oversigt eller rapportering.

Mange kunder spørger ikke om dette for at kende mærkenavnet, men for at teste om der er centraliseret administration: kan infektioner opdages og isoleres, og er der overblik over tilstanden på alle endpoints. Det berører også processen for identificering og udbedring af sårbarheder, fordi endpoint protection ofte er det første lag, der signalerer en sårbarhed, før den bliver misbrugt. Enhver der angiver "ja" her uden centraliseret administreret løsning, skal kunne underbygge det med det, der faktisk er på plads: løst antivirus pr. maskine er ikke en løgn, men heller ikke et fuldt tilfredsstillende svar på det, der normalt menes.

Hvor dette falder inden for de ti foranstaltninger og i ISO 27001

Artikel 21 stk. 2 NIS2 nævner cyberhygiejne og sikkerhedstræning som en af de ti foranstaltninger, uden at nævne endpoint protection bogstaveligt — det er en udfyldelse af denne foranstaltning, ligesom de bredere basispraksisser, der falder under træning i cyberhygiejne heri. I ISO/IEC 27001 Annex A er malwarebeskyttelse anført som en separat kontrolmål, adskilt fra træningskontrolmålet. En kunde, der bruger ISO 27001 som referencerammer, forventer derfor muligvis et mere præcist svar end en kunde, der kun bruger de ti foranstaltninger i cybersikkerhedsloven som checklist.