kyselylomakkeessa kysytään, käytämmekö palomuurta ja virustorjuntaa, kuinka vastaan

Palomuuri ja virustorjunta ovat tekniikkaa, eivät itsessään vastausta

Palomuuri ja virustorjunta ovat erillisiä teknisiä toimenpiteitä, eivät itsenäisiä tietoturva-aiheita. NIS2-direktiivin 21 artiklan 2 kohdan kymmenen toimenpiteen ja ISO/IEC 27001 -standardin Annex A:n luettelossa ne eivät esiinny erillisenä kohtana: ne ovat osa laajempaa verkko- ja järjestelmäturvatoimenpidesarjaa. Jos kysymys esiintyy listalla erillään, kyse on yleensä asiakkaan yksinkertaistetusta kysymyksestä, joka ei käytä NIS2-kieltä, tai esiseulontakysymyksestä ennen loput kysymyksistä.

Vastaa kysymykseen tosiasiallisesti: onko organisaatiolla aktiivinen palomuuri ja virustorjuntaohjelmisto, kyllä vai ei. Jos näin on, ketjudossier pystyy yleensä perustelemaan tämän teknisellä luetteloinneilla tai konfiguraation yhteenvedolla — ei sertifikaatilla, ei lausunnolla, vaan tosiasiallisella toteamisella. Jos tämä dokumentointi puuttuu, "ei" tai "tuntematon" on rehellinen vastaus; palomuuri, joka on kyllä olemassa mutta ei ole dokumentoitu mistään, ei tuota todisteasiakirjaa, jolla voisit perustella "kyllä"-vastausta. Kiinnitä huomiota yhteyteen pääsynhallintaan ja yritysvarojen hallintaan: palomuuri ilman ajantasaista luetteloa liitetyistä järjestelmistä on käytännössä puolittainen toimenpide, ja se tulee usein laajemmissa listoissa esiin erillisen kysymyksen muodossa.

Mihin se kymmenen toimenpiteen osalta kuuluu

Palomuurit ja virustorjunta kuuluvat sisällöllisesti NIS2:n 21 artiklan 2 kohdan verkon ja järjestelmien turvaamisen toimenpiteisiin, ja ISO 27001:ssä Liitteen A teknisiin hallintamenettelyihin. Ne ovat harvoin auditoinnin tai tarkastuksen ydin; olennaisempaa on, tottuuko yritys säännöllisesti tarkistamaan, ovatko sen turvatoimet edelleen tehokkaat, sillä ilman huoltoa ja lokitusta varustettu palomuuri merkitsee käytännössä vähän. Yritykselle, joka ei itse kuulu Kyberturvallisuuslainsäädäntöön, tämä on yleensä asiakaskysymys ilman lakisääteistä taustaa — mutta vastaus säilyy tosiasiallisesti samana.