il cliente chiede se utilizziamo antivirus o protezione degli endpoint

L'antivirus rientra nella gestione delle vulnerabilità, non nell'igiene informatica

L'antivirus o la protezione endpoint è una misura tecnica, e la collocare meglio sotto la gestione delle vulnerabilità o sotto la politica di accesso, non sotto la consapevolezza. La protezione endpoint rileva e blocca il malware su laptop, server e dispositivi mobili — è qualcosa di diverso dalle dieci misure nel loro insieme, e i clienti che lo chiedono separatamente di solito vogliono solo la conferma che esiste un sistema attivo e aggiornato su tutti gli endpoint, non una descrizione completa della tua architettura.

Se l'organizzazione dispone di una soluzione di protezione endpoint (Defender for Endpoint, CrowdStrike, Sophos, o equivalente) con gestione centralizzata e aggiornamenti automatici, "sì" con una breve spiegazione è la risposta comune. Se manca la gestione centralizzata e viene eseguito solo antivirus consumer isolato, allora un "sì" categorico non è sostenibile — un cliente che approfondisce ulteriormente vuole spesso sapere se fa parte di un processo più ampio per l'identificazione e la correzione delle vulnerabilità, e un programma antivirus isolato senza ulteriore supporto non risponde completamente a quella domanda. Se dubiti, un "no" con spiegazione è più onesto di un "sì" che non risulta corretto in un audit.

Da dove deriva: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della direttiva NIS2 elenca tra le dieci misure esplicitamente le pratiche fondamentali nel campo dell'igiene informatica e della protezione dei sistemi durante l'acquisizione, lo sviluppo e la manutenzione — la protezione endpoint è considerata come l'attuazione tecnica di ciò, insieme alla gestione delle patch. In ISO/IEC 27001 Allegato A questo si riflette nelle misure di controllo per la "protection against malware" e nella categoria più ampia della sicurezza tecnica. I clienti che pongono questa domanda sulla base della loro stessa politica di accesso, inclusa la gestione dei beni aziendali, di solito si aspettano una risposta concreta sulla copertura (quali dispositivi) e sulla gestione (centralizzata o no), non un nome di prodotto.