comment dois-je montrer que tous nos ordinateurs portables sont sécurisés

Les antivirus font partie de l'hygiène de la cybersécurité, non une question isolée

« Tous les ordinateurs portables disposent d'un antivirus » est généralement une sous-question d'une question plus large sur les bonnes pratiques d'hygiène de la cybersécurité. La sécurité des endpoints (le terme technique pour antivirus, détection des malwares et parfois EDR sur les ordinateurs portables) est l'une des mesures que les clients évaluent dans le cadre de formation aux pratiques de base en matière d'hygiène de la cybersécurité, et se chevauche avec la plus large politique d'accès et gestion des actifs — car sans une vue d'ensemble des ordinateurs portables en votre possession, vous ne pouvez pas démontrer qu'ils sont tous protégés.

La preuve que les clients souhaitent généralement voir ici est une export de votre système de gestion des endpoints (Intune, Jamf, CrowdStrike, ou équivalent) indiquant pour chaque ordinateur portable l'état de l'antivirus : actif, dernière mise à jour, dernier scan. Une capture d'écran d'un seul ordinateur portable n'est pas une preuve pour la flotte ; un aperçu du tableau de bord avec tous les appareils l'est. Si vous n'avez pas de gestion centralisée, la réponse la plus honnête est que vous ne pouvez pas encore le démontrer au niveau de la flotte — c'est différent de « non, nous ne faisons rien », et vous êtes en droit de faire cette distinction dans le portail de votre client.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2, de la directive NIS2 mentionne explicitement l'hygiène de la cybersécurité et la formation à la sécurité comme l'une des dix mesures obligatoires pour les entités relevant de la directive ; la sécurité des endpoints fait en pratique partie de cette catégorie. ISO/IEC 27001 l'approfondit dans l'annexe A, avec des mesures de contrôle spécifiques pour la protection contre les malwares et la gestion des appareils — c'est pourquoi les clients ayant une expérience ISO demandent souvent des preuves légèrement différentes de ceux qui font directement référence au texte de la NIS2. Si vous ne relevez pas vous-même de la directive, il peut être utile de vérifier d'abord via ou si l'entreprise elle-même relève de la directive NIS2, car cela détermine le poids de cette preuve.