Η έρευνα ζητά λογισμικό antivirus ή endpoint protection τι πρέπει να πω

Η endpoint protection εμπίπτει στη cyber υγιεινή, όχι σε ξεχωριστό μέτρο

Το antivirus ή endpoint protection δεν αναφέρεται ως ξεχωριστό στοιχείο στο άρθρο 21 παράγραφος 2 της NIS2. Εμπίπτει στις βασικές πρακτικές cyber υγιεινής (σημείο g) και στη διαχείριση ευπαθειών (σημείο e). Στο ISO 27001 περιλαμβάνεται στο Annex A στα μέτρα ελέγχου για κακόβουλο λογισμικό και τεχνικές ευπάθειες. Συγκεκριμένα: αναφέρετε το προϊόν ή τον τύπο (π.χ. EDR με κεντρική διαχείριση ή ένα κανονικό antivirus), δηλώστε αν είναι εγκατεστημένο σε όλα τα endpoints — διακομιστές, σταθμούς εργασίας, φορητούς υπολογιστές — και αν οι ενημερώσεις και τα σαρώματα επιβάλλονται κεντρικά ή ανά συσκευή.

Εάν λείπει endpoint protection σε μέρος των συστημάτων, απαντάτε «όχι» και όχι «ναι, με εξαίρεση». Οι ερωτηματολόγια σπάνια παρέχουν χώρο για αποχρώσεις, και ένα μερικό «ναι» δεν διακρίνεται από τον πελάτη από ένα πλήρες «ναι». Εάν έχετε μια λύση EDR ή antivirus αλλά δεν έχετε αποδεικτικό στοιχείο όπως ένα επιλογιοσ διαμόρφωσης ή δήλωση προμηθευτή, τότε αυτό είναι συχνά η στιγμή για να ελέγξετε εάν υπάρχει διαδικασία για την ανίχνευση και διόρθωση ευπαθειών — η endpoint protection και η διαχείριση patches συχνά συνδυάζονται στην ίδια ερώτηση, και τότε η απάντηση σε μια ερώτηση δεν μπορεί να χωριστεί από την άλλη.

Όπου εμπίπτει αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα A

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει στο σημείο g τις βασικές πρακτικές cyber υγιεινής ως υποχρεωτικό μέρος της διαχείρισης κινδύνων, και στο σημείο e την πολιτική και τις διαδικασίες για τη διαχείριση ευπαθειών — η endpoint protection αναφέρεται στην εξήγηση της NIS2 ως παράδειγμα τέτοιας πρακτικής. Στο ISO/IEC 27001 Annex A, η προστασία από κακόβουλο λογισμικό αναφέρεται ως ξεχωριστό μέτρο ελέγχου, ανεξάρτητα από το ευρύτερο μέτρο ευπαθειών. Για τις ολλανδικές επιχειρήσεις που θα εμπέσουν στο πεδίο εφαρμογής του Κανονισμού Κυβερνοασφάλειας, ισχύει η ίδια κατηγοριοποίηση όπως στην οδηγία NIS2, επειδή αυτός ο κανονισμός αποδίδει την οδηγία. Εάν αμφιβάλλετε για το αν η επιχείρησή σας εμπίπτει σε αυτό, τότε αυτή είναι ξεχωριστή ερώτηση που μπορείτε να διερευνήσετε στο εάν ο οργανισμός εμπίπτει αυτοτελώς στην Οδηγία NIS2 — αυτό καθορίζει δηλαδή αν αυτό είναι νόμιμη υποχρέωση για εσάς ή μόνο μια ερώτηση από τον πελάτη σας.