asiakas kysyy, käytämmekö virustorjuntaa tai päätepisteiden suojausta

Antivirus kuuluu haavoittuvuuksien hallintaan, ei kyberneettiseen hygieniaan

Antivirus- tai päätepistesuojaus on tekninen toimenpide, ja se kannattaa sijoittaa haavoittuvuuksien hallintaan tai pääsyä koskevaan käytäntöön, ei tietoisuuden lisäämiseen. Päätepistesuojaus havaitsee ja estää haittaohjelmia kannettavilla tietokoneilla, palvelimilla ja mobiililaitteilla — se on eri asia kuin kymmenen toimenpiteen kokonaisuus, ja asiakkaat, jotka pyytävät tätä erikseen, haluavat yleensä vain vahvistuksen siitä, että kaikilla päätepisteillä on aktiivinen, päivitetty järjestelmä käynnissä, eivätkä koko arkkitehtuurin kuvailua.

Jos yrityksellä on päätepistesuojausratkaisu (Defender for Endpoint, CrowdStrike, Sophos tai vastaava) keskitetyllä hallinnalla ja automaattisilla päivityksillä, "kyllä" lyhyen selityksen kanssa on tavallinen vastaus. Jos keskitetty hallinta puuttuu ja vain irralliset kuluttaja-antivirukset toimivat, niin ehdoton "kyllä" ei ole kestävä — asiakas, joka esittää tästä lisäkysymyksiä, haluaa usein tietää, kuuluuko se laajempaan prosessiin haavoittuvuuksien havaitsemiseksi ja korjaamiseksi, ja irrallinen antivirusprogramma ilman lisäperusteluja ei vastaa tähän kysymykseen täysin. Jos olet epävarma, "ei" selityksen kanssa on rehellisempi kuin "kyllä", joka ei kestä tarkastusta.

Mistä tämä johtuu: artiklat 21 kohta 2 ja liite A

NIS2-direktiivin artiklan 21 kohdan 2 neljässä maininnan kymmenen toimenpiteen joukossa nimenomaisesti kyberneettisen hygienian ja järjestelmien suojaamisen perusperiaatteita hankinnassa, kehityksessä ja ylläpidossa — päätepistesuojaus nähdään sen tekniseksi toteuttamiseksi yhdessä päivitysten hallinnan kanssa. ISO/IEC 27001 liitteessä A tämä näkyy "suojauksena haittaohjelmilta" koskevissa hallintamääräyksissä ja laajemmassa teknisen turvallisuuden kategoriassa. Asiakkaat, jotka esittävät tämän kysymyksen oman pääsykäytännön perusteella, mukaan lukien liiketoimintaomaisuuksien hallinta, odottavat yleensä konkreettista vastausta kattavuudesta (mitkä laitteet) ja hallinnasta (keskitetty vai ei), eivät tuotteen nimeä.