questionário pergunta sobre software antivírus ou proteção de endpoints o que devo dizer

A proteção de endpoint faz parte da ciberhigiene, não é uma medida separada

O antivírus ou endpoint protection não aparece como um componente separado no artigo 21.º, n.º 2 da NIS2. Enquadra-se nas práticas básicas de ciberhigiene (alínea g) e na gestão de vulnerabilidades (alínea e). Na ISO 27001, encontra-se no Anexo A nas medidas de controlo de malware e vulnerabilidades técnicas. Concretamente: indique o produto ou tipo (por exemplo, EDR com gestão centralizada, ou uma solução antivírus comum), diga se está em todos os endpoints — servidores, estações de trabalho, portáteis — e se as atualizações e análises são impostas centralmente ou por dispositivo.

Se a proteção de endpoint não estiver presente em parte dos sistemas, responda "não" a isso e não "sim, com exceção de". Os questionários raramente deixam espaço para nuances, e um "sim" parcial é indistinguível de um "sim" completo para um cliente. Se tem uma solução EDR ou antivírus, mas não tem um comprovativo como uma visão geral de configuração ou uma declaração do fornecedor, esse é frequentemente o momento para verificar se existe um processo para identificar e corrigir vulnerabilidades — a proteção de endpoint e a gestão de patches são frequentemente abordadas na mesma pergunta, e a resposta a uma pergunta não pode ser vista separadamente da outra.

Onde isto se enquadra: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 menciona sob g as práticas básicas de ciberhigiene como parte obrigatória da gestão de risco, e sob e a política e os procedimentos de gestão de vulnerabilidades — a proteção de endpoint é mencionada na orientação da NIS2 como exemplo de tal prática. Na Norma ISO/IEC 27001 Anexo A, a proteção contra malware aparece como uma medida de controlo separada, distinta da medida de vulnerabilidades mais ampla. Para empresas neerlandesas que se enquadram na Lei de Cibersegurança, aplica-se a mesma classificação que na Diretiva NIS2, porque essa lei transpõe a diretiva. Se tem dúvidas sobre se a sua empresa se enquadra nela, essa é uma pergunta separada que pode verificar em se a empresa está ou não sujeita à directiva NIS2 — isso determina se isto é uma obrigação legal para si ou apenas uma pergunta do seu cliente.