cliente questiona se usamos antivírus ou proteção de endpoint

Antivírus está enquadrado na gestão de vulnerabilidades, não na ciberhigiene

Antivírus ou proteção de endpoint é uma medida técnica, e é melhor situá-la sob gestão de vulnerabilidades ou sob política de acesso, não sob sensibilização. A proteção de endpoint detecta e bloqueia malware em laptops, servidores e dispositivos móveis — isso é diferente das dez medidas no seu conjunto, e clientes que fazem essa pergunta em separado geralmente querem apenas confirmação de que existe um sistema ativo e atualizado em todos os endpoints, não uma descrição completa da sua arquitetura.

Se a empresa possui uma solução de proteção de endpoint (Defender for Endpoint, CrowdStrike, Sophos, ou similar) com gestão centralizada e atualizações automáticas, "sim" com uma breve explicação é a resposta comum. Se falta gestão centralizada e está em execução apenas antivírus para consumo isolado, então um "sim" categórico não é sustentável — um cliente que aprofunda nesta questão geralmente quer saber se faz parte de um processo mais amplo para a detecção e correção de vulnerabilidades, e um programa antivírus isolado sem fundamentação adicional não responde completamente essa questão. Se tiver dúvidas, "não" com explicação é mais honesto do que um "sim" que não se sustenta numa auditoria.

Onde isto decorre: artigo 21.º n.º 2 e Anexo A

O artigo 21.º n.º 2 da Diretiva NIS2 menciona explicitamente entre as dez medidas boas práticas em ciberhigiene e segurança de sistemas durante aquisição, desenvolvimento e manutenção — a proteção de endpoint é considerada como seu cumprimento técnico, juntamente com a gestão de patches. Na ISO/IEC 27001 Anexo A, isto consta sob as medidas de controlo para "protection against malware" e sob a categoria mais ampla de segurança técnica. Clientes que colocam esta questão tendo em conta a sua própria política de acesso, incluindo a gestão de ativos, geralmente esperam uma resposta concreta sobre cobertura (que dispositivos) e gestão (centralizada ou não), não um nome de produto.