lista kontrolna pyta o oprogramowanie antywirusowe lub ochronę punktów końcowych, co powinienem powiedzieć

Ochrona endpoint'ów należy do cyberhigeny, a nie pod odrębny środek

Oprogramowanie antywirusowe lub ochrona endpoint'ów nie figuruje jako oddzielna część w art. 21 ust. 2 NIS2. Podlega ono praktykom podstawowym dotyczącym cyberhigeny (część g) i zarządzaniu lukami w zabezpieczeniach (część e). W ISO 27001 znajduje się w Aneksie A wśród środków kontroli dotyczących malware'u i technicznych luk w zabezpieczeniach. Konkretnie: wymień produkt lub typ (np. EDR z zarządzaniem centralnym, lub zwykłe rozwiązanie antywirusowe), podaj czy znajduje się na wszystkich endpoint'ach — serwerach, stacjach roboczych, laptopach — oraz czy aktualizacje i skanowania są wymuszane centralnie czy dla każdego urządzenia.

Jeśli brakuje ochrony endpoint'ów na części systemów, odpowiadasz na to "nie", a nie "tak, z wyjątkiem". Listy kontrolne rzadko pozostawiają miejsce na niuanse, a częściowe "tak" jest dla klienta nie do odróżnienia od całkowitego "tak". Jeśli masz rozwiązanie EDR lub antywirusowe, ale brakuje Ci dokumentu potwierdzającego, takiego jak przegląd konfiguracji lub oświadczenie dostawcy, to często jest to moment, aby sprawdzić czy istnieje proces wykrywania i usuwania luk w zabezpieczeniach — ochrona punktów końcowych i zarządzanie poprawkami są w tym samym pytaniu często rozumiane łącznie, a odpowiedź na jedno pytanie nie może być postrzegana niezależnie od drugiego.

Gdzie to podpada: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia w punkcie g praktyki podstawowe dotyczące cyberhigieny jako obowiązkową część zarządzania ryzykiem, a w punkcie e politykę i procedury zarządzania lukami w zabezpieczeniach — ochrona punktów końcowych jest wymieniana w objaśnieniu do NIS2 jako przykład takiej praktyki. W normie ISO/IEC 27001 Załącznik A ochrona przed złośliwym oprogramowaniem jest wymieniona jako oddzielna miara kontrolna, odrębnie od szerszej miary dotyczącej luk w zabezpieczeniach. Dla przedsiębiorstw holenderskich podlegających Ustawie o cyberbezpieczeństwie obowiązuje taki sam podział jak w dyrektywie NIS2, ponieważ ustawa ta implementuje dyrektywę. Jeśli masz wątpliwości, czy Twoje przedsiębiorstwo podlega tej ustawie, jest to odrębna kwestia, którą możesz sprawdzić w czy przedsiębiorstwo samo podlega dyrektywie NIS2 — to bowiem określa, czy jest to dla Ciebie obowiązek ustawowy, czy tylko pytanie Twojego klienta.