klient küsib, millist antiviiruse või otspunkti turvalisust me kasutame

Antiviirus kuulub haavatavuse haldamise alla, mitte eraldi küsimuse alla

Kaubamärgi sisestamine pole tavaliselt see, mida küsitakse. "Millist antiviirusprogrammi te kasutate" on peaaegu alati NIS2 direktiivi artikli 21 lõike 2 punkti i meetme tõlge: haavatavuste haldamise ja analüüsimise poliitika. Klient tahab teada, kas lõpp-punktid on struktuuriselt kaitstud pahavara vastu ja kas see kaitse jääb ajakohaseks — mitte milline logo kastil on. ISO/IEC 27001-s esineb see Lisas A pahavara vastase kaitse ja tehnilise haavatavuste haldamise kontrolliabinõude all.

Mida tõendusdokument tavaliselt peab näitama: et lõpp-punkti kaitsmine töötab kõigil asjakohastel seadmetel, et määratlused või avastamine uuendatakse automaatselt ja et on protsess teatiste jälgimiseks — mitte ainult et tarkvara on paigaldatud. Ühe sülearvuti kuvatõmmis ei ole tõend kogu organisatsiooni kohta; lõpp-punkti lahenduse halduspaneeli ülevaade kattavusprotsendiga ja uuenduse staatusega on. Kui see ülevaade puudub, pole vastus mitte "ei" vaid "veel toetamist vajab" — ketidossee ei sisesta siis ilma allikaviidet "jah". See käib käsikäes protsess haavatavuste tuvastamiseks ja parandamisekssest antiviirus on üks abinõu selle laiema protsessi raames, mitte eesmärk omaette. Mõne küsimustiku korral on küsimus laialdasem ja ta kuulub pigem informatsioonisüsteemide riskanalüüsi ja kaitse poliitikasse— seega kontrolli vorming enne kui täidad vale plokki.

Kus see juhendis ja normi sees asub

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 punktis i ei nimetata "krüptograafia kasutamise poliitika ja protseduurid" siin, kuid konkreetselt nimetakse "haavatavuste haldamise ja analüüsimise poliitika" kui üks kümme abinõu; pahavara kaitse on selle operatiivne rakendamine. ISO/IEC 27001 Lisas A esineb see pahavara vastase kaitse ja tehniliste haavatavuste haldamise kontrolliabinõuete all. Küberjulgeoleku seadus võtab üle artikli 21 kümme abinõud niipea kui see seadus jõustub.