klant vraagt of we antivirus of endpoint protection gebruiken

Antivirus valt onder kwetsbaarhedenbeheer, niet onder cyberhygiëne

Antivirus of endpoint protection is een technische maatregel, en die plaats je het best onder kwetsbaarhedenbeheer of onder toegangsbeleid, niet onder bewustwording. Endpoint protection detecteert en blokkeert malware op laptops, servers en mobiele apparaten — dat is iets anders dan de tien maatregelen in hun geheel, en klanten die dit apart vragen, willen meestal alleen bevestiging dat er een actief, up-to-date systeem draait op alle endpoints, niet een volledige beschrijving van je architectuur.

Als de onderneming een endpoint protection-oplossing heeft (Defender for Endpoint, CrowdStrike, Sophos, of vergelijkbaar) met centraal beheer en automatische updates, is "ja" met een korte toelichting het gangbare antwoord. Ontbreekt centraal beheer en draait er alleen losse consumentenantivirus, dan is een stellig "ja" niet houdbaar — een klant die hierop doorvraagt, wil vaak weten of onderdeel is van een breder proces voor het opsporen en verhelpen van kwetsbaarheden, en een losstaand antivirusprogramma zonder verdere onderbouwing beantwoordt die vraag niet volledig. Twijfel je, dan is "nee" met toelichting eerlijker dan een "ja" dat bij een audit niet blijkt te kloppen.

Waar dit uit volgt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt onder de tien maatregelen expliciet basispraktijken op het gebied van cyberhygiëne en beveiliging van systemen tijdens acquisitie, ontwikkeling en onderhoud — endpoint protection wordt als technische invulling daarvan gezien, samen met patchbeheer. In ISO/IEC 27001 Annex A staat dit terug onder de beheersmaatregelen voor "protection against malware" en onder de bredere categorie technische beveiliging. Klanten die deze vraag stellen naar aanleiding van hun eigen toegangsbeleid, inclusief het beheer van bedrijfsmiddelen, verwachten meestal een concreet antwoord over dekking (welke apparaten) en beheer (centraal of niet), niet een productnaam.