lista pytań pyta, jaki antywirus lub ochronę punktu końcowego stosujemy

Endpoint protection należy do cyberhigeny, a nie do zarządzania lukami w zabezpieczeniach

Pytanie dotyczące stosowanego skanera wirusów lub endpoint protection jest pytaniem szczegółowym w ramach szerszych środków cyberhigeny i szkolenia z zakresu bezpieczeństwa z artykułu 21 ust. 2 dyrektywy NIS2. Odpowiedź zależy wyłącznie od tego, co faktycznie jest uruchomione: jeśli rozwiązanie endpoint protection jest aktywne na stacjach roboczych i serwerach, odpowiedzią jest "tak" wraz z nazwą dostawcy. Bez takiego rozwiązania, lub tylko z wbudowanym Windows Defender bez centralnego zarządzania, odpowiedź jest bardziej zniuansowana — istnieje co prawda ochrona podstawowa, ale brak centralnego przeglądu lub raportowania.

Wielu klientów nie pyta o to, aby poznać markę, ale aby sprawdzić, czy istnieje centralne zarządzanie: czy można wykrywać i izolować infekcje, i czy istnieje widoczność stanu wszystkich punktów końcowych. To również dotyczy procesem identyfikacji i usuwania podatności, ponieważ ochrona punktu końcowego jest często pierwszą warstwą, która sygnalizuje lukę w zabezpieczeniach, zanim zostanie wykorzystana. Kto wpisze tutaj "tak" bez scentralizowanego rozwiązania, musi móc to uzasadnić tym, co faktycznie jest wdrożone: oddzielny antywirus na każdą maszynę nie jest kłamstwem, ale również nie jest pełnowartościową odpowiedzią na to, co zwykle się rozumie.

Gdzie to podlega w dziesięciu środkach i w ISO 27001

Artykuł 21 ust. 2 NIS2 wymienia higienę cybernetyczną i szkolenie w zakresie bezpieczeństwa jako jeden z dziesięciu środków, bez bezpośredniego wymienienia ochrony punktów końcowych — jest to wypełnienie tego środka, tak jak szersze praktyki podstawowe, które podlegają szkoleniem w zakresie higieny cybernetycznej tym środkom. W ISO/IEC 27001 Annex A ochrona przed złośliwym oprogramowaniem jest wymieniona jako oddzielny środek kontroli, niezależnie od środka szkoleniowego. Klient, który ISO 27001 jako strukturę odniesienia, może zatem oczekiwać dokładniejszej odpowiedzi niż klient, który posługuje się tylko dziesięcioma środkami ustawy o cyberbezpieczeństwie jako listą kontrolną.