ankieta pyta, czy używamy zapory sieciowej i oprogramowania antywirusowego, jak na to odpowiedzieć

Zapora sieciowa i oprogramowanie antywirusowe to technika, a nie sama odpowiedź

Zapora sieciowa i oprogramowanie antywirusowe to oddzielne środki techniczne, a nie samodzielny temat bezpieczeństwa. W dziesięciu środkach zawartych w artykule 21 ust. 2 dyrektywy NIS2 i w Załączniku A normy ISO/IEC 27001 nie pojawiają się jako osobny punkt: są częścią szerszego pakietu bezpieczeństwa sieci i systemu. Jeśli pytanie pojawia się osobno na liście, zwykle jest to uproszczone pytanie klienta, który sam nie posługuje się terminologią NIS2, lub pytanie wstępne służące do selekcji, zanim pojawi się reszta listy.

Odpowiedź na pytanie faktycznie: czy przedsiębiorstwo ma aktywną zaporę sieciową i oprogramowanie antywirusowe, tak czy nie. Jeśli tak jest, dossier łańcucha dostaw zwykle może to potwierdzić za pomocą inwentaryzacji technicznej lub przeglądu konfiguracji — brak certyfikatu, brak oświadczenia, tylko faktyczne stwierdzenie. Jeśli dokumentacja ta jest niekompletna, wtedy „nie polityki dostępu i zarządzania zasobami przedsiębiorstwa: zapora sieciowa bez aktualnego przeglądu podłączonych systemów jest w praktyce środkiem połowicznym, a w szerszych listach pojawia się to często ponownie jako osobne pytanie.

Gdzie to wchodzi w zakres dziesięciu środków

Zapory ogniowe i oprogramowanie antywirusowe wchodzą merytorycznie w zakres środków bezpieczeństwa sieci i systemów z artykułu 21 ust. 2 NIS2, a w ISO 27001 w techniczne środki kontrolne z Załącznika A. Rzadko stanowią one główny przedmiot audytu lub oceny; bardziej istotne jest, czy przedsiębiorstwo okresowo testuje, czy jej środki bezpieczeństwa są nadal skuteczne, ponieważ zapora ogniowa bez konserwacji lub rejestrowania zdarzeń w praktyce ma mało znaczenia. Dla przedsiębiorstwa, które samo nie podlega ustawie o bezpieczeństwie cyber, jest to zwykle pytanie klienta bez podstawy prawnej — ale odpowiedź pozostaje faktycznie taka sama.