zákazník sa pýta, ktorý antivírus alebo endpoint bezpečnosť používame

Antivirus spada pod správu zraniteľností, nie pod samostatnú otázku

Uviesť značku obvykle nie je otázkou. "Akú antivírusovú ochranu používate" je takmer vždy prekladom otázky na opatrenie (i) z článku 21 ods. 2 NIS2: politika správy a analýzy zraniteľností. Klient chce vedieť, či sú koncové body štruktúrne chránené pred malvérom a či je táto ochrana aktuálna — nie ktoré logo je na krabici. V ISO/IEC 27001 sa to nachádza v Prílohe A, medzi kontrolnými opatreniami na ochranu pred malvérom a pri technickom riadení zraniteľností.

Čo musí dokazovací dokument väčšinou ukázať: že na všetkých relevantných zariadeniach beží ochrana koncových bodov, že sa definície alebo detekcia aktualizujú automaticky a že existuje proces na sledovanie hlásení — nie len že je softvér nainštalovaný. Snímka obrazovky z jedného notebooku nie je dôkazom pre celú organizáciu; prehľad z ovládacieho panela riešenia ochrany koncových bodov s percentom pokrytia a stavom aktualizácie áno. Ak taký prehľad chýba, odpoveď nie je "nie", ale "ešte sa má podložiť" — reťazové portfólio potom bez zdroja nezadá áno. Toto patrí spolu s procesom na detekciu a opravu zraniteľností, pretože antivirus je jedným opatrením v rámci tohto širšieho procesu, nie samotným cieľom. U niektorých zoznamov otázok je otázka položená šírej a spadá skôr pod politiku analýzy rizík a bezpečnosti informačných systémov; preto skôr, ako vyplníte v nesprávnom bloku, skontrolujte formát.

Kde je to uvedené v smernici a norme

Článok 21 ods. 2 pod i Smernice (EÚ) 2022/2555 nespomína "politiku a postupy týkajúce sa používania kryptografie" tu, ale výslovne "politiku správy a analýzy zraniteľností" ako jedno z desiatich opatrení; ochrana pred malvérom je jej operačným vyplnením. V ISO/IEC 27001 Príloha A sa to nachádza pri kontrolných opatreniach na ochranu pred malvérom a pri riadení technických zraniteľností. Zákon o kybernetickej bezpečnosti prevezme desať opatrení z článku 21, akonáhle vstúpi v platnosť.