klient pyta, które antywirus lub oprogramowanie ochrony punktów końcowych używamy

Oprogramowanie antywirusowe należy do zarządzania lukami w zabezpieczeniach, a nie do osobnego pytania

Wpisanie nazwy marki zwykle nie jest pytaniem. "Jakie oprogramowanie antywirusowe państwo wykorzystują" jest prawie zawsze tłumaczeniem pytania na miarę (i) artykułu 21 ust. 2 dyrektywy NIS2: polityka zarządzania lukami w zabezpieczeniach i ich analizy. Klient chce wiedzieć, czy punkty końcowe są strukturalnie chronione przed złośliwym oprogramowaniem i czy ochrona ta pozostaje aktualna — a nie jaki znak towarowy jest na pudełku. W normie ISO/IEC 27001 pojawia się to w załączniku A, wśród środków kontroli dotyczących ochrony przed złośliwym oprogramowaniem i technicznego zarządzania lukami w zabezpieczeniach.

Co dokument potwierdzający zwykle musi wykazać: że ochrona punktów końcowych działa na wszystkich istotnych urządzeniach, że definicje lub wykrywanie są automatycznie aktualizowane, i że istnieje proces obsługi powiadomień — nie tylko to, że oprogramowanie jest zainstalowane. Zrzut ekranu z jednego laptopa nie jest dowodem dla całej organizacji; przegląd z panelu zarządzania rozwiązania do ochrony punktów końcowych, wraz z procentem pokrycia i statusem aktualizacji, jest dowodem. Jeśli taki przegląd nie istnieje, odpowiedź nie jest "nie", ale "jeszcze do uzasadnienia" — ketendossier nie wypełnia wtedy "tak" bez źródła. To łączy się z procesem identyfikacji i usuwania podatności, ponieważ oprogramowanie antywirusowe jest jednym środkiem w ramach tego szerszego procesu, a nie celem samym w sobie. W niektórych kwestionariuszach pytanie jest sformułowane szerzej i należy raczej do polityki analizy ryzyka i bezpieczeństwa systemów informatycznych; sprawdź zatem format przed wpisze niem pod niewłaściwy blok.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 lit. i dyrektywy (UE) 2022/2555 nie wymienia tutaj "polityki i procedur dotyczących stosowania kryptografii", ale wyraźnie wskazuje "politykę zarządzania lukami w zabezpieczeniach i ich analizę" jako jeden z dziesięciu środków; ochrona przed złośliwym oprogramowaniem jest jej operacyjnym wdrożeniem. W normie ISO/IEC 27001 Annex A pojawia się to wśród środków kontroli dotyczących ochrony przed złośliwym oprogramowaniem i zarządzania technicznymi lukami w zabezpieczeniach. Ustawa o cyberbezpieczeństwie przejmuje dziesięć środków z artykułu 21, gdy ta ustawa wejdzie w życie.