asiakas kysyy, mitä virustentorjunta- tai päätepisteen suojausta käytämme

Virustorjunta kuuluu haavoittuvuuksien hallintaan, ei omaan kysymykseen

Tuotemerkin ilmoittaminen ei yleensä ole se, mitä kysytään. "Mitä virustorjuntaa käytätte" on lähes aina käännös kysymyksestä NIS2-direktiivin 21 artiklan 2 kohdan i alakohdan toimenpiteeksi: politiikka haavoittuvuuksien hallinnan ja analyysin osalta. Asiakas haluaa tietää, ovatko päätepisteet rakenteellisesti suojattuja haittaohjelmilta ja pysyykö suojaus ajan tasalla — ei sitä, mikä logo on laatikossa. ISO/IEC 27001:ssä tämä näkyy liitteessä A haittaohjelmilta suojautumisen ja teknisen haavoittuvuuksien hallinnan valvontatoimenpiteissä.

Mitä todistusaineisto yleensä on näytettävä: että päätepisteiden suojaus toimii kaikilla asiaankuuluvilla laitteilla, että määritykset tai havaitseminen päivittyy automaattisesti, ja että prosessi on varoitusten käsittelyä varten — ei vain sitä, että ohjelmisto on asennettu. Yhden kannettavan tietokoneen kuvakaappaus ei ole todiste koko organisaatiolle; päätepistesuojaimen hallintapaneelin yleiskatsaus, jossa näkyvät kattavuusprosentti ja päivityksen tila, kylläkin. Jos tämä yleiskatsaus puuttuu, vastaus ei ole "ei" vaan "vielä perusteltava" — ketjutiedostoon ei tule kyllä-merkintää ilman lähdettä. Tämä liittyy yhteen haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa, koska virustorjunta on yksi toimenpide laajemmassa prosessissa, ei itseisarvo. Joissakin kyselylomakkeissa kysymys on laajempi ja se kuuluu enemmän tietojärjestelmien riskien analyysiksi ja suojaukseksi; tarkista siis muoto ennen kuin täytät sen väärän lohkon alle.

Missä se on ohjausasiakirjassa ja standardissa

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan i alakohta ei mainitse "kryptografia-politiikkaa ja -menettelyjä" tässä, vaan nimeää nimenomaisesti "politiikan haavoittuvuuksien hallinnasta ja analyysista" yhtenä kymmenestä toimenpiteestä; haittaohjelmien suojaus on sen operationaalinen toteutus. ISO/IEC 27001:n liitteessä A tämä näkyy haittaohjelmilta suojautumisen ja teknisen haavoittuvuuksien hallinnan valvontatoimenpiteissä. Kyberturvallisuuslaki omaksuu artiklan 21 kymmenen toimenpidettä heti, kun laki tulee voimaan.