kunde spørger, om vi bruger antivirus eller endpoint protection

Antivirus falder under sårbarhedsstyring, ikke under cyberhygiejne

Antivirus eller endpoint protection er en teknisk foranstaltning, og den placeres bedst under sårbarhedsstyring eller under adgangskontrol, ikke under bevidsthed. Endpoint protection registrerer og blokerer malware på bærbare computere, servere og mobile enheder — det er noget helt tredje end de ti foranstaltninger som helhed, og kunder, der spørger om dette separat, ønsker normalt kun bekræftelse på, at der køres et aktivt, opdateret system på alle endpoints, ikke en fuldstændig beskrivelse af din arkitektur.

Hvis virksomheden har en endpoint protection-løsning (Defender for Endpoint, CrowdStrike, Sophos eller lignende) med centraliseret administration og automatiske opdateringer, er "ja" med en kort forklaring det sædvanlige svar. Hvis centraliseret administration mangler, og der kun kører separat forbrugerantivirus, er et bestemt "ja" ikke holdbart — en kunde, der presser videre herpå, ønsker ofte at vide, om det er en del af en bredere proces til opdagelse og afhjælpning af sårbarheder, og et selvstændigt antivirusprogrammu uden yderligere dokumentation besvarer fuldt ud det spørgsmål ikke. Hvis du er i tvivl, er "nej" med forklaring mere ærligt end et "ja", der ved en revision ikke holder stik.

Hvor dette følger fra: artikel 21, stk. 2 og Annex A

Artikel 21, stk. 2 i NIS2-direktivet nævner blandt de ti foranstaltninger eksplicit basispraksis inden for cyberhygiejne og sikring af systemer under indkøb, udvikling og vedligeholdelse — endpoint protection betragtes som teknisk gennemførelse heraf sammen med patchstyring. I ISO/IEC 27001 Annex A ses dette tilbage under kontrolforanstaltninger for "beskyttelse mod malware" og under den bredere kategori teknisk sikkerhed. Kunder, der stiller dette spørgsmål som følge af deres egne adgangskontrol, herunder styring af virksomhedsressourcer, forventer normalt et konkret svar om dækning (hvilke enheder) og administration (centraliseret eller ej), ikke et produktnavn.