Seznam vprašanj vprašuje o protivirusni programski opremi ali zaključni zaščiti, kaj rečem

Zaščita končnih točk spada pod kibernetsko higieno, ne pod samostojno ukrep

Protivirusna programska oprema ali zaščita končnih točk ni navedena kot ločen del v členu 21(2) NIS2. Spada pod osnovne prakse kibernetske higiene (točka g) in pod upravljanje ranljivosti (točka e). V ISO 27001 je v Prilohi A navedena med kontrolnimi ukrepi za zlonamerno programsko opremo in tehnične ranljivosti. Konkretno: navedite proizvod ali vrsto (npr. EDR s centraliziranim upravljanjem ali redna antivirusna rešitev), navedite, ali je nameščena na vseh končnih točkah — strežnikih, delovnih postajah, prenosnih računalnikih — in ali se posodobitve in skeniranja uveljavljajo centraliziran ali na posamezni napravi.

Če zaščita končnih točk manjka na delu sistemov, na to vprašanje odgovorite »ne« in ne »ja, z izjemami«. Vprašalniki redko puščajo prostor za nianse, in delno »ja« se za odjemalca ne razlikuje od popolnega »ja«. Imate sicer rešitev EDR ali antivirusov, vendar nimate dokaznega dokumenta, kot je pregled konfiguracije ali izjava dobavitelja, potem je to pogosto trenutek, da preverite, ali obstaja proces za odkrivanje in odpravljanje ranljivosti — zaščita končnih točk in upravljanje popravkov se v istem vprašanju pogosto skupaj razumevata, zato odgovora na eno vprašanje ni mogoče ločeno obravnavati od drugega.

Kje se to uvrsti: Člen 21(2) in Prilog A

Člen 21(2) Direktive (EU) 2022/2555 navaja pod točko g osnovne prakse kibernetske higiene kot obvezni del upravljanja tveganja in pod točko e politiko in postopke za upravljanje ranljivosti — zaščita končnih točk je v pojasnilih k NIS2 navedena kot primer takšne prakse. V ISO/IEC 27001 Priloha A je zaščita pred zlonamerno programsko opremo navedena kot samostojna kontrolna ukrep, ločena od širšega ukrepa za upravljanje ranljivosti. Za nizozemska podjetja, ki spadajo pod Zakon o kibernetski varnosti, velja enaka delitev kot v Direktivi NIS2, ker ta zakon direktivo prenaša. Če dvomite, ali vaše podjetje spada znotraj tega, je to posebno vprašanje, ki ga lahko preverite pri ali podjetje samo spada pod Direktivo NIS2 — to namreč določa, ali je to za vas zakonska obveza ali samo vprašanje vašega odjemalca.