chestionar întreabă despre software antivirus sau protecție endpoint ce spun

Protecția endpoint-ului face parte din ciber-igienă, nu din o măsură separată

Antivirussoftware-ul sau endpoint protection-ul nu apare ca o componentă separată în articolul 21 alineatul 2 NIS2. Face parte din practicile de bază pentru ciber-igienă (punctul g) și din gestionarea vulnerabilităților (punctul e). În ISO 27001, se află în Anexa A sub măsurile de control pentru malware și vulnerabilități tehnice. Concret: precizați produsul sau tipul (de ex. EDR cu gestionare centralizată, sau o soluție antivirus obișnuită), spuneți dacă se află pe toate endpoint-urile — servere, stații de lucru, laptopuri — și dacă actualizările și scanările sunt aplicate forțat la nivel central sau per dispozitiv.

Dacă endpoint protection lipsește de pe o parte din sisteme, răspundeți cu "nu" și nu cu "da, cu excepția". Chestionarele oferă rar spațiu pentru nuanță, și un "da" parțial nu se poate distinge pentru un client de un "da" complet. Dacă aveți o soluție EDR sau antivirus, dar nu aveți dovezi precum o imagine de configurare sau o declarație a furnizorului, adesea acesta este momentul pentru a verifica dacă există un proces pentru detectarea și remedierea vulnerabilităților — protecția endpoint-ului și gestionarea patch-urilor sunt adesea prevăzute împreună în aceeași întrebare, și atunci răspunsul la o întrebare nu poate fi văzut izolat de cel la cealaltă.

Unde se aplică aceasta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 menționează sub g practicile de bază pentru ciber-igienă ca parte obligatorie a gestionării riscurilor, și sub e politica și procedurile pentru gestionarea vulnerabilităților — protecția endpoint-ului este menționată în orientările privind NIS2 ca exemplu de o astfel de practică. În ISO/IEC 27001 Anexa A, protecția împotriva malware-ului apare ca o măsură de control separată, distinctă de măsura mai largă privind vulnerabilități. Pentru întreprinderi din Olanda care se vor încadra sub Legea de securitate cibernetică, se aplică aceeași împărțire ca în Directiva NIS2, deoarece acea lege transpune directiva. Dacă nu sunteți sigur dacă întreprinderea dumneavoastră se încadrează sub aceasta, aceasta este o întrebare separată pe care o puteți verifica la dacă întreprinderea se încadrează sub Directiva NIS2 — aceasta determină și dacă aceasta este o obligație legală pentru dumneavoastră sau doar o întrebare din partea clientului.