clientul întreabă dacă folosim antivirus sau protecție de puncte finale

Antivirusul se încadrează în gestionarea vulnerabilităților, nu în igiena cibernetică

Antivirusul sau protecția de endpoint este o măsură tehnică, și o plasezi cel mai bine în gestionarea vulnerabilităților sau în politica de acces, nu în conștientizare. Protecția de endpoint detectează și blochează malware pe laptopuri, servere și dispozitive mobile — aceasta este diferit de cele zece măsuri în ansamblu, și clienții care pun această întrebare separat doresc de obicei doar confirmare că există un sistem activ, actualizat pe toate endpoint-urile, nu o descriere completă a arhitecturii tale.

Dacă întreprinderea are o soluție de protecție de endpoint (Defender for Endpoint, CrowdStrike, Sophos, sau similar) cu gestionare centralizată și actualizări automate, "da" cu o scurtă explicație este răspunsul obișnuit. Dacă lipsește gestionarea centralizată și rulează doar antivirus de consum individual, atunci un "da" categoric nu este ținut — un client care pune întrebări suplimentare pe această temă dorește adesea să știe dacă face parte dintr-un proces mai larg pentru detectarea și remedierea vulnerabilităților, și un program antivirus izolat fără altă justificare nu răspunde pe deplin la această întrebare. Dacă ai îndoieli, atunci "nu" cu explicație este mai onest decât un "da" care se dovedește a fi incorect la o audit.

De unde rezultă aceasta: articolul 21 alineat 2 și Anexa A

Articolul 21 alineat 2 din Directiva NIS2 menționează explicit între cele zece măsuri bune practici în materie de igiena cibernetică și protecția sistemelor în timpul achiziției, dezvoltării și întreținerii — protecția de endpoint este considerată o punere în aplicare tehnică a acesteia, împreună cu gestionarea patch-urilor. În ISO/IEC 27001 Anexa A, aceasta se regăsește sub măsurile de control pentru "protection against malware" și sub categoria mai largă a securității tehnice. Clienții care pun această întrebare ca urmare a propriei politicii de acces, inclusiv gestionarea activelor de afaceri, se așteaptă de obicei la un răspuns concret despre acoperire (ce dispozitive) și gestionare (centralizată sau nu), nu la un nume de produs.