il cliente chiede quale antivirus o protezione degli endpoint utilizziamo

L'antivirus rientra nella gestione delle vulnerabilità, non in una domanda autonoma

Inserire un nome di marca di solito non è quello che viene chiesto. "Quale antivirus utilizzate" è quasi sempre una traduzione di una domanda in una misura (i) dell'articolo 21 comma 2 della NIS2: politica e procedure relative alla gestione e all'analisi delle vulnerabilità. Il cliente vuole sapere se gli endpoint sono strutturalmente protetti contro il malware e se tale protezione rimane aggiornata — non quale logo c'è sulla scatola. In ISO/IEC 27001 questo è ripreso nell'Annex A, tra le misure di controllo per la protezione contro il malware e per la gestione tecnica delle vulnerabilità.

Ciò che la prova deve per lo più mostrare: che la protezione degli endpoint è in esecuzione su tutti i dispositivi rilevanti, che le definizioni o il rilevamento vengono aggiornati automaticamente, e che esiste un processo per il follow-up delle segnalazioni — non solo che il software è installato. Una schermata di un solo laptop non è una prova per l'intera organizzazione; una panoramica dal pannello di gestione della soluzione endpoint, con percentuale di copertura e stato dell'aggiornamento, lo è. Se manca tale panoramica, la risposta non è "no" ma "ancora da documentare" — il fascicolo della catena non compila quindi nessun sì senza fonte. Questo è correlato a il processo di identificazione e correzione delle vulnerabilità, perché l'antivirus è una misura all'interno di quel processo più ampio, non un fine in sé. In alcune liste di controllo la domanda è più ampia e rientra più precisamente in la politica per l'analisi dei rischi e la sicurezza dei sistemi informativi; controllate quindi il formato prima di compilare nel blocco sbagliato.

Dove si trova nella direttiva e nella norma

L'articolo 21 comma 2 lettera i della Direttiva (UE) 2022/2555 non menziona qui "politica e procedure relative all'uso della crittografia", ma nomina esplicitamente "politica e procedure relative alla gestione e all'analisi delle vulnerabilità" come una delle dieci misure; la protezione dal malware è l'attuazione operativa di questa. In ISO/IEC 27001 Annex A questo è ripreso tra le misure di controllo per la protezione dal malware e per la gestione delle vulnerabilità tecniche. La Legge sulla cibersicurezza incorpora le dieci misure dell'articolo 21 non appena questa legge entra in vigore.