le client demande si nous utilisons un antivirus ou une protection des points d'extrémité

L'antivirus relève de la gestion des vulnérabilités, non de l'hygiène de cybersécurité

L'antivirus ou la protection des terminaux est une mesure technique, et il convient de la classer sous la gestion des vulnérabilités ou sous la politique d'accès, non sous la sensibilisation. La protection des terminaux détecte et bloque les logiciels malveillants sur les ordinateurs portables, les serveurs et les appareils mobiles — c'est quelque chose de différent des dix mesures dans leur ensemble, et les clients qui le demandent séparément souhaitent généralement seulement la confirmation qu'un système actif et à jour s'exécute sur tous les terminaux, non une description complète de votre architecture.

Si l'entreprise dispose d'une solution de protection des terminaux (Defender for Endpoint, CrowdStrike, Sophos ou équivalent) avec gestion centralisée et mises à jour automatiques, « oui » avec une brève explication est la réponse courante. Si la gestion centralisée fait défaut et que seul un antivirus grand public isolé s'exécute, alors un « oui » catégorique n'est pas tenable — un client qui creuse cette question souhaite souvent savoir si cela fait partie d'un processus plus large de détection et de correction des vulnérabilités, et un programme antivirus isolé sans justification supplémentaire ne répond pas complètement à cette question. En cas de doute, un « non » avec explication est plus honnête qu'un « oui » qui ne s'avère pas exact lors d'un audit.

D'où cela découle : article 21 paragraphe 2 et Annexe A

L'article 21 paragraphe 2 de la directive NIS2 énumère parmi les dix mesures des pratiques de base explicites en matière d'hygiène de cybersécurité et de sécurité des systèmes lors de l'acquisition, du développement et de la maintenance — la protection des terminaux est considérée comme une mise en œuvre technique de celles-ci, conjointement avec la gestion des correctifs. Dans la norme ISO/IEC 27001 Annexe A, cela figure sous les mesures de maîtrise pour la « protection contre les logiciels malveillants » et dans la catégorie plus large de la sécurité technique. Les clients qui posent cette question suite à leur propre politique d'accès, y compris la gestion des actifs, s'attendent généralement à une réponse concrète sur la couverture (quels appareils) et la gestion (centralisée ou non), non à un nom de produit.