ügyfelem azt kérdezi, melyik antivírus vagy végpontvédelmi megoldást használunk

Az antivírus a sebezhetőségi kezelés alá tartozik, nem pedig egy önálló kérdés

Egy márkanév beírása általában nem a kérdés tárgya. A "Melyik antivírust használ" szinte mindig az NIS2 21. cikk 2. bekezdés i) pontjának egy intézkedésére fordított kérdés: sebezhetőségi kezelésre és elemzésre vonatkozó politika. Az ügyfél azt szeretné tudni, hogy az végpontok szerkezetesen védve vannak-e a kártékony szoftverrel szemben, és hogy ez a védelem aktuális marad-e — nem azt, hogy melyik logó van a dobozra. Az ISO/IEC 27001 szerint ez az A mellékletben jelenik meg a kártékony szoftverrel szembeni védelemre és a technikai sebezhetőségi kezelésre vonatkozó irányítási intézkedések alatt.

Amit a bizonyíték általában mutatnia kell: hogy az endpoint-védelem az összes releváns eszközön fut, hogy a definíciókat vagy észlelést automatikusan frissítik, és hogy van folyamat a riasztások nyomon követésére — nem csak azt, hogy a szoftver telepítve van. Egy laptop képernyőképe nem bizonyíték az egész szervezetre; az endpoint-megoldás kezelőpaneljéről származó áttekintés, amelyen szerepel a lefedettség százaléka és a frissítési állapot, az viszont igen. Ha ez az áttekintés hiányzik, akkor a válasz nem az, hogy "nem", hanem az, hogy "még alátámasztásra szorul" — az ellátási lánc dossziéja nem tölt be igennel forrás nélkül. Ez összetartozik a sebezhetőségek felderítésére és elhárítására irányuló folyamattalmivel az antivírus ennek a tágabb folyamatnak egy intézkedése, nem pedig önálló cél. Egyes kérdőíveknél a kérdést tágabban teszik fel, és inkább ide tartozik: az információs rendszerek kockázatelemzésének és védelmének politikája; ezért a beírás előtt ellenőrizze a formátumot, hogy ne a rossz blokk alá írjon.

Ahol ez az irányelvben és a normában szerepel

Az (EU) 2022/2555 Richtlíny 21. cikk 2. bekezdésének i) pontja a "kriptográfia használatára vonatkozó politikákat és eljárásokat" nem itt említi, hanem kifejezetten a "sebezhetőségi kezelésre és elemzésre vonatkozó politikát" az egyik tíz intézkedés közé sorolja; a kártékony szoftverrel szembeni védelem ennek az operatív megvalósítása. Az ISO/IEC 27001 A melléklete ezt a kártékony szoftverrel szembeni védelmet és a technikai sebezhetőségek kezelését szabályozó irányítási intézkedések között visszatükrözi. A Kiberbiztonsági törvény az említett törvény hatálybalépésekor átveszi a 21. cikk tíz intézkedését.