az ügyfél azt kérdezi, használunk-e vírusvédelmet vagy végpontvédelmet

Az antivírus a sebezhetőség-kezelés alá tartozik, nem a kiberbiztonsági higiénia alá

Az antivírus vagy végpont-védelmi megoldás egy technikai intézkedés, és ezt a legjobb a sebezhetőség-kezelés vagy a hozzáférési politika alá helyezni, nem a tudatosság alá. A végpont-védelem detektálja és blokkolja a kártékony szoftvereket a laptopok, kiszolgálók és mobileszközök esetében — ez valami más, mint az összes tíz intézkedés egésze, és azok az ügyfelek, akik ezt külön kérdezik, általában csak azt szeretnék megerősíteni, hogy egy aktív, naprakész rendszer fut az összes végponton, nem a teljes architektúra részletes leírása.

Ha a vállalkozásnak van endpoint protection megoldása (Defender for Endpoint, CrowdStrike, Sophos vagy hasonló) központi felügyelettel és automatikus frissítésekkel, az "igen" rövid magyarázattal a szokásos válasz. Ha hiányzik a központi felügyelet, és csak szétszórt fogyasztói antivírus fut, akkor egy határozottan "igen" nem tartható — egy kliens, aki erre rákérdez, gyakran azt szeretné tudni, hogy része-e egy szélesebb folyamatnak a sebezhetőségek felderítésére és javítására, és egy önálló antivírusprogram további indoklás nélkül nem válaszolja meg teljes mértékben ezt a kérdést. Ha bizonytalan vagy, akkor egy "nem" magyarázattal őszintébb, mint egy olyan "igen", amely egy audit során nem bizonyul helyesnek.

Ennek alapja: 21. cikk 2. bekezdés és A melléklet

A NIS2-irányelv 21. cikk 2. bekezdése a tíz intézkedés között kifejezetten felsorolt alapvető gyakorlatokat a kibernetikai higiénia és a rendszerek beszerzés, fejlesztés és karbantartás során történő védelme terén — az endpoint protection ezek technikai megvalósításának tekintendő, valamint a javítások kezelésével együtt. Az ISO/IEC 27001 A melléklete ezt visszatükrözi a "védekezés a rosszindulatú programok ellen" irányítási intézkedései között, valamint a szélesebb körű technikai biztonsági kategória alatt. Az ezeket a kérdéseket a saját alapján feltevő ügyfelek hozzáférési szabályzat, beleértve az üzleti eszközök kezelését, általában konkrét választ várnak a lefedettségről (mely eszközök) és a kezelésről (központi vagy nem), nem a terméknevet.