küsimustik küsib, kas me kasutame tulemüürit ja viirusetõrjeprogrammi, kuidas ma vastun

Tulemüür ja viirustõrje on tehnika, mitte vastus ise

Tulemüür ja viirustõrje on eraldiseisvad tehnilised meetmed, mitte omaette kaitseaine. NIS2 artikli 21 lõike 2 kahes meetmes ja ISO/IEC 27001 lisa A-s ei sisaldu need eraldi punktina: need on osa laiemast võrgu- ja süsteemikaitsepaketist. Kui küsimus on loendis eraldi, on see tavaliselt kliendi lihtsustatud küsimus, kes ise NIS2 terminoloogiat ei kasuta, või esimene sõelumisküsimus enne ülejäänud loendi jätkamist.

Vastake küsimusele faktiliselt: kas ettevõttel on aktiivne tulemüür ja viirustõrjeprogramm, jah või ei. Kui see on nii, saab ketofail seda tavaliselt toetada tehnilise inventuuri või konfiguratsioonülevaatega — mitte sertifikaat, mitte deklaratsioon, ainult faktilise konstateerimisega. Kui selline dokumenteerimine puudub, on "ei" või "teadmata" aus vastus; tulemüür, mis küll olemas on, kuid kuskil dokumenteerimata, ei anna tõenddokumenti, millega saaksid "jah" toetada. Pööra tähelepanu järgmisele ühendale: juurdepääsupoliitikat ja IT-varade haldust: tulemüür ilma aktuaalse ülevaateta ühendatud süsteemidest on praktikas pooltedmetus, ja see ilmneb laiemais loetelude puhul sageli siiski eraldi küsimusena.

Kui see jääb kümne meetme hulka

Tulemüürid ja viiruste tõrjeprogrammid kuuluvad sisuliselt NIS2 artikli 21 lõike 2 kohased võrgu- ja süsteemikaitse meetmete hulka ning ISO 27001-s tehniliste kontrollmeetmete alla Annex A-s. Nad on auditi või hindamise aluseks harva; asjakohasem on, kas ettevõte perioodiliselt kontrollib, kas tema turvameetmed on ikka tõhusad, sest tulemüür ilma hoolduse või logimiseta loeb praktikas vähe. Ettevõtte jaoks, kes ise Küberturvalisuse seaduse alla ei kuulu, on see tavaliselt kliendi küsimus ilma seadusandliku tausta — kuid vastus jääb faktiliselt samaks.