kyselylomake kysyy, mitä virustentorjuntaa tai päätepisteiden suojausta käytämme

Päätepisteen suojaus kuuluu kybernetiikan hygieniaan, ei haavoittuvuuksien hallintaan

Kysymys käytetystä virustorjunnasta tai päätepisteen suojauksesta on alakysymys laajemman kybernetiikan hygienian ja turvallisuuskoulutuksen toimenpiteen alla, joka on määritelty NIS2-direktiivin 21 artiklan 2 kohdassa. Vastaus riippuu puhtaasti siitä, mitä tosiasiallisesti käytetään: jos työasemissa ja palvelimissa on aktiivisesti käytössä päätepisteen suojausratkaisu, "kyllä" toimittajan nimen kera on vastaus. Ilman tällaista ratkaisua tai vain integroitua Windows Defenderia ilman keskitettyä hallintaa, vastaus on vivahteikkaampi — perussuo­jaus on olemassa, mutta ei keskitettyä yleiskatsausta tai raportointia.

Monet asiakkaat eivät kysy tätä saadakseen selville merkinimeä, vaan testatakseen onko olemassa keskitettyä hallintaa: voidaanko tartunnat havaita ja eristää, ja onko näkyvyys kaikkien päätepisteiden tilasta. Tämä koskee myös haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa, sillä päätepisteen suojaus on usein ensimmäinen kerros, joka havaitsee haavoittuvuuden ennen kuin sitä käytetään hyväksi. Joka täyttää tähän "kyllä" vastaamatta keskitetysti hallinnoituun ratkaisuun, on kyettävä perustelemaan sen sillä, mitä tosiasiallisesti on: erilliset antivirus-ohjelmistot koneittain eivät ole valhe, mutta eivät myöskään täydellinen vastaus siihen, mitä yleensä tarkoitetaan.

Mihin tämä kuuluu kymmeneen toimenpiteeseen ja ISO 27001:ään

NIS2:n 21 artiklassa 2 kohta mainitsee kybernetiikan hygienian ja turvallisuuskoulutuksen yhtenä kymmenestä toimenpiteestä ilman, että se nimenomaisesti mainitsee päätepisteen suojausta — se on kyseisen toimenpiteen täytäntöönpano, aivan kuten laajemmat perusasiat, jotka kuuluvat kyberturvallisuushygienian koulutuksen siihen. ISO/IEC 27001:n liitteessä A mainitaan haittaohjelmien torjunta erillisenä hallintamenettelynä, erillään koulutustoimenpiteestä. Asiakas, joka käyttää ISO 27001:tä vertailukehyksenä, voi siten odottaa tarkempaa vastausta kuin asiakas, joka käyttää vain Kyberturvallisuuslain kymmenen toimenpidettä tarkistuslistana.