le client demande quel antivirus ou logiciel de protection des points d'accès nous utilisons

L'antivirus relève de la gestion des vulnérabilités, non d'une question distincte

Indiquer une marque n'est généralement pas ce qui est demandé. « Quel antivirus utilisez-vous » est presque toujours une traduction d'une question relative à la mesure (i) de l'article 21, paragraphe 2, NIS2 : politique et procédures en matière de gestion et d'analyse des vulnérabilités. Le client souhaite savoir si les points finaux sont structurellement protégés contre les logiciels malveillants et si cette protection reste à jour — non pas quel logo figure sur la boîte. Dans ISO/IEC 27001, cela se retrouve à l'Annexe A, sous les mesures de contrôle pour la protection contre les malwares et la gestion technique des vulnérabilités.

Ce que la preuve doit généralement montrer : qu'une protection des points finaux s'exécute sur tous les appareils pertinents, que les définitions ou la détection sont mises à jour automatiquement, et qu'il existe un processus de suivi des alertes — non pas simplement que le logiciel est installé. Une capture d'écran d'un ordinateur portable n'est pas une preuve pour toute l'organisation ; un rapport du tableau de bord de la solution de gestion des points finaux, indiquant le pourcentage de couverture et l'état des mises à jour, l'est. Si ce rapport fait défaut, la réponse n'est pas « non » mais « à étayer davantage » — le dossier de chaîne n'enregistre pas de oui sans source. Ceci est lié à le processus d'identification et de correction des vulnérabilitéscar l'antivirus est une mesure au sein de ce processus plus large, non une fin en soi. Dans certains questionnaires, la question est formulée de manière plus large et s'inscrit plutôt sous la politique relative à l'analyse des risques et à la sécurité des systèmes d'information; vérifiez donc le format avant de remplir sous le mauvais bloc.

Où cela figure dans la directive et la norme

L'article 21, paragraphe 2, point i de la Directive (UE) 2022/2555 ne mentionne pas « politique et procédures concernant l'utilisation de la cryptographie » ici, mais énonce explicitement « politique et procédures en matière de gestion et d'analyse des vulnérabilités » comme l'une des dix mesures ; la protection contre les malwares est leur mise en œuvre opérationnelle. Dans ISO/IEC 27001 Annexe A, cela figure sous les mesures de contrôle pour la protection contre les malwares et la gestion des vulnérabilités techniques. La Loi cybersécurité reprend les dix mesures de l'article 21 dès son entrée en vigueur.