A kérdőív antivírussoftverről vagy végpont-védelemről kérdez, mit mondok

A végpontvédelem a kiberhigiénia alá tartozik, nem egy saját intézkedés alá

Az antivírussoftver vagy végpontvédelem nem önálló részként jelenik meg a NIS2 21. cikk (2) bekezdésében. A kiberbiztonsági alapgyakorlatok (g) pont) és a sebezhetőség-kezelés (e) pont) alá tartozik. Az ISO 27001 szerint az Annex A-ban a kártevőkre és technikai sebezhetőségekre vonatkozó kontrollintézkedések között helyezkedik el. Konkrétan: nevezze meg a terméket vagy típust (pl. központi kezeléssel rendelkező EDR vagy hagyományos antivírusoldal), közölje, hogy az összes végponton — szerverek, munkaállomások, laptopok — jelen van-e, valamint hogy a frissítések és vizsgálatok központilag vagy eszközönként vannak-e végrehajtva.

Ha a végpontvédelem hiányzik a rendszer egy részéről, akkor erre "nem"-mel válaszolsz, és nem "igen, kivétellel". A kérdőívek ritkán adnak teret az árnyaltságra, és egy részleges "igen" az ügyfél számára nem különböztethető meg egy teljes "igen"-től. Ha van EDR- vagy antivírusoldalsod, de nincs bizonyítékod, például konfigurációs áttekintés vagy szállítói nyilatkozat, akkor gyakran az a pillanat, amikor meg kell vizsgálnod, hogy van-e folyamat a sebezhetőségek feltárásához és elhárításához — a végpontvédelmet és a javítókezelést gyakran egy kérdésben együtt értelmezik, és ekkor az egyik kérdésre adott válasz nem választható el a másiktól.

Ez alá tartozik: 21. cikk (2) bekezdés és A melléklet

Az (EU) 2022/2555 irányelv 21. cikk (2) bekezdése g) pontban a kiberbiztonsági alapgyakorlatokat kötelező risikókezelési elemként nevezi meg, e) pontban pedig a sebezhetőség-kezelés politikáját és eljárásait — a végpontvédelmet a NIS2 útmutatójában egy ilyen gyakorlat példájaként említik. Az ISO/IEC 27001 Annex A-ban a kártevőkre vonatkozó védelem önálló kontrollintézkedésként szerepel, külön az átfogóbb sebezhetőségi intézkedéstől. Az olyan holland vállalkozások számára, amelyekre a Cyberbeveiligingswet vonatkozik, ugyanez az osztályozás érvényes, mint a NIS2-irányelvban, mivel az a törvény átveszi az irányelvet. Ha nem tudod, hogy a vállalkozásod alá tartozik-e, az egy külön kérdés, amelyet fel tudsz venni vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-e — ez ugyanis azt határozza meg, hogy ez számodra törvényi kötelezettség vagy csak az ügyfeled kérdése.