kyselylomake kysyy antivirus-ohjelmasta tai päätepisteen suojauksesta, mitä sanon

Päätepisteiden suojaus kuuluu kybernetiikan perusperiaatteisiin, ei erilliseen toimenpiteeseen

Antivirustietokone tai päätepisteen suojaus ei ole erillinen osa artiklaa 21(2) NIS2-direktiivissä. Se kuuluu kybernetiikan perusperiaatteisiin (kohta g) ja haavoittuvuuksien hallintaan (kohta e). ISO 27001:ssä se sisältyy liitteeseen A haittaohjelmia ja teknisiä haavoittuvuuksia koskevien valvontatoimien alle. Käytännössä: nimeä tuote tai tyyppi (esim. EDR keskitetyllä hallinnolla tai tavallinen virustorjuntaratkaisu), kerro, onko se kaikissa päätepisteissä — palvelimissa, työasemissa, kannettavissa — ja ovatko päivitykset ja skannaukset keskitetysti pakotettuja vai laitekohtaisia.

Jos päätepisteen suojaus puuttuu osasta järjestelmiä, vastaat siihen "ei" eikä "kyllä, pois lukien". Kyselylomakkeet antavat harvoin tilaa vivahteille, ja osittainen "kyllä" on asiakkaalle erottamaton täydellisestä "kyllä". Jos sinulla on EDR- tai virustorjuntaratkaisu mutta puuttuu todiste, kuten konfiguraatioyleiskatsaus tai toimittajan vakuutus, se on usein oikea hetki tarkistaa, prosessi haavoittuvuuksien havaitsemiseksi ja korjaamiseksi — päätepisteiden suojaus ja korjaushallinnan usein kysytään samassa kysymyksessä, ja yhden kysymyksen vastaus ei ole erotettavissa toisesta.

Mihin tämä kuuluu: artikla 21 kohta 2 ja Liite A

Direktiivin (EU) 2022/2555 artiklassa 21(2) mainitaan kohdassa g kybernetiikan perusperiaatteet pakollisena osana riskienhallintaa ja kohdassa e haavoittuvuuksien hallinnan käytäntöjen ja menettelyiden osalta — päätepisteen suojaus mainitaan NIS2-selostuksessa esimerkkinä tällaisesta käytännöstä. ISO/IEC 27001:n liitteessä A haittaohjelmasuojaus on erillinen valvontatoimi, erillään laajemmasta haavoittuvuustoimesta. Hollantilaisille yrityksille, jotka kuuluvat kyberturvallisuuslain piiriin, pätee sama jako kuin NIS2-direktiivissä, koska laki pöytää direktiivin. Jos olet epävarma, kuuluuko yrityksesi sen piiriin, se on erillinen kysymys, jonka voit selvittää tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan — se määrittää nimittäin, onko tämä sinulle laillinen velvoite vai vain asiakkaan kysymys.