clientul întreabă ce antivirus sau protecție de endpoint folosim

Antivirusul se încadrează în gestiunea vulnerabilităților, nu într-o întrebare separată

Completarea unui nume de marcă nu este de obicei ceea ce se cere. "Ce antivirus utilizați" este aproape întotdeauna o traducere a unei întrebări referitoare la măsura (i) din articolul 21 alineatul 2 NIS2: politica și procedurile privind analiza și gestionarea vulnerabilităților. Clientul dorește să știe dacă punctele finale sunt protejate structural împotriva programelor malveware și dacă protecția rămâne actualizată — nu ce logo este pe cutie. În ISO/IEC 27001 aceasta apare din nou în Anexa A, sub măsurile de control pentru protecția împotriva programelor malveware și pentru gestionarea tehnică a vulnerabilităților.

Ceea ce dovada trebuie de obicei să arate: că securitatea punctelor finale rulează pe toate dispozitivele relevante, că definițiile sau detectarea sunt actualizate automat, și că există un proces pentru a urmări notificările — nu doar că software-ul este instalat. O captură de ecran de pe un laptop nu este dovadă pentru întreaga organizație; o privire de ansamblu din panoul de control al soluției de securitate a punctelor finale, cu procentul de acoperire și starea actualizării, este. Dacă această privire de ansamblu lipsește, răspunsul nu este "nu" ci "încă de susținut" — dosarul din lanț nu completează atunci un da fără sursă. Aceasta se conectează cu procesul de detectare și remediere a vulnerabilităților, deoarece antivirusul este o singură măsură în cadrul acelui proces mai larg, nu un scop în sine. La unele liste de verificare, întrebarea este pusă mai larg și se încadrează mai degrabă sub politica privind analiza riscurilor și securitatea sistemelor informatice; verificați deci formatul înainte de a completa sub blocul greșit.

Unde apare în directivă și în normă

Articolul 21 alineatul 2 litera i din Directiva (UE) 2022/2555 nu menționează "politica și procedurile privind utilizarea criptografiei" aici, dar menționează explicit "politica și procedurile privind analiza și gestionarea vulnerabilităților" ca una dintre cele zece măsuri; protecția împotriva programelor malveware este implementarea operațională a acesteia. În ISO/IEC 27001 Anexa A aceasta apare din nou la măsurile de control pentru protecția împotriva programelor malveware și pentru gestionarea vulnerabilităților tehnice. Legea privind securitatea cibernetică preia cele zece măsuri din articolul 21 imediat ce legea respectivă intră în vigoare.