chestionarul întreabă dacă folosim un firewall și antivirus, cum răspund la aceasta

Firewall-ul și antivirusul sunt tehnică, nu răspunsul în sine

Un firewall și antivirus sunt măsuri tehnice izolate, nu un subiect de securitate de sine stătător. În cele zece măsuri ale articolului 21 alineatul 2 NIS2 și în Anexa A a ISO/IEC 27001 nu apar ca punct separat: fac parte dintr-un pachet mai larg de securitate a rețelei și a sistemelor. Dacă întrebarea apare separat într-o listă, este de obicei o întrebare simplificată de la un client care nu lucrează singur cu terminologia NIS2, sau o întrebare de screening inițial înainte ca restul listei să urmeze.

Răspundeți la întrebare pe bază de fapte: întreprinderea are firewall și software antivirus activ, da sau nu. Dacă este cazul, dosarul de lanț poate de obicei să susțină acest lucru cu o inventarizare tehnică sau o privire de ansamblu a configurației — nici certificat, nici declarație, doar o constatare factuală. Dacă această înregistrare lipsește, atunci "nu" sau "necunoscut" este răspunsul corect; un firewall care există dar nu este documentat nicăieri nu produce un document cu care să puteți susține "da". Atenție la conexiunea cu politica de acces și gestiunea activelor de afaceri: un firewall fără o perspectivă actuală a sistemelor conectate este în practică o măsură pe jumătate, și aceasta apare adesea din nou în listele mai largi ca o întrebare separată.

Acolo unde aceasta se încadrează în cele zece măsuri

Parafocurile și programele antivirus sunt acoperite din punct de vedere substanțial de măsurile pentru securitatea rețelelor și a sistemelor din articolul 21 alineatul 2 NIS2, iar în ISO 27001 sub măsurile de control tehnic din Anexa A. Ele sunt rareori nucleul unui audit sau al unei evaluări; mai relevant este dacă întreprinderea evaluează periodic dacă măsurile sale de securitate sunt încă eficace, deoarece un parafoc fără întreținere sau înregistrare contează în practică foarte puțin. Pentru o întreprindere care nu se încadrează ea însăși în Legea privind securitatea cibernetică, aceasta este de obicei o întrebare a clientului fără fundament legal — dar răspunsul rămâne factual același.