la lista di domande chiede quale antivirus o protezione degli endpoint utilizziamo

La protezione endpoint rientra nell'igiene informatica, non nella gestione delle vulnerabilità

La domanda sullo scanner di virus o sulla protezione endpoint utilizzati è una sottodomanda della misura più ampia di igiene informatica e formazione sulla sicurezza di cui all'articolo 21, paragrafo 2, della direttiva NIS2. La risposta dipende esclusivamente da ciò che effettivamente è in esecuzione: se una soluzione di protezione endpoint è attiva su workstation e server, la risposta è "sì" con il nome del fornitore. Senza una soluzione di questo tipo, o con solo Windows Defender integrato senza gestione centralizzata, la risposta è più articolata — c'è protezione di base, ma non una visione d'insieme centralizzata o una relazione.

Molti clienti non pongono questa domanda per conoscere il marchio, ma per verificare se c'è una gestione centralizzata: le infezioni possono essere rilevate e isolate e c'è visibilità sullo stato di tutti gli endpoint. Questo riguarda anche il processo di identificazione e correzione delle vulnerabilitàpoiché la protezione endpoint è spesso il primo livello che segnala una vulnerabilità prima che venga sfruttata. Chi inserisce "sì" qui senza una soluzione gestita centralmente deve poterlo supportare con ciò che effettivamente esiste: l'antivirus autonomo per singola macchina non è una bugia, ma nemmeno una risposta pienamente adeguata a quello che di solito si intende.

Dove rientra questo nelle dieci misure e in ISO 27001

L'articolo 21, paragrafo 2, della direttiva NIS2 cita l'igiene informatica e la formazione sulla sicurezza come una delle dieci misure, senza menzionare esplicitamente la protezione endpoint — è un'implementazione di quella misura, così come le pratiche di base più ampie che rientrano in formazione in materia di cybersicurezza, rientra. In ISO/IEC 27001 Allegato A, la protezione dal malware è elencata come misura di gestione separata, indipendente dalla misura di formazione. Un cliente che utilizza ISO 27001 come quadro di riferimento potrebbe quindi aspettarsi una risposta più precisa rispetto a un cliente che utilizza solo le dieci misure della Legge sulla sicurezza informatica come checklist.