Seznam vprašanj vprašuje, katero protivirusno ali zaključno zaščito uporabljamo

Zaščita končne točke sodi pod kibernetsko higieno, ne pod upravljanje ranljivosti

Vprašanje o uporabljeni protivirusni zaščiti ali zaščiti končne točke je podvprašanje v okviru širšega ukrepa kibernetske higiene in usposabljanja za varnost iz člena 21 odstavka 2 direktive NIS2. Odgovor je odvisen izključno od tega, kaj dejansko deluje: če je rešitev za zaščito končne točke aktivna na delovnih postajah in strežnikih, je odgovor »da« z imenom dobavitelja. Brez take rešitve ali samo z vgrajenim programom Windows Defender brez osrednjega upravljanja je odgovor bolj niuansiran — obstaja sicer osnovna zaščita, vendar ni osrednjega pregleda ali poročanja.

Številni stranki tega ne sprašujejo zato, da bi vedeli znamko, temveč da bi preverili, ali obstaja osredno upravljanje: ali je mogoče odkritih okužb zaznati in izolirati ter ali je vidna stanja vseh končnih točk. To se nanaša tudi postopkom za odkrivanje in odpravljanje ranljivostina, saj je zaščita končne točke pogosto prva plast, ki signalizira ranljivost, preden se je ta izkoriščena. Kdor tukaj vpiše »da« brez osrednjo upravljane rešitve, mora to utemelja s tem, kaj dejansko obstaja: ločen protivirusni program za vsak računalnik ni laž, vendar tudi ne polnopravni odgovor na to, kar se ponavadi meni.

Kam sodi to v desetih ukrepih in v standardi ISO 27001

Člen 21 odstavek 2 direktive NIS2 omenja kibernetsko higieno in usposabljanje za varnost kot enega od desetih ukrepov, ne da bi eksplicitno omenil zaščito končne točke — gre za izvedbo tega ukrepa, tako kot širše osnovne prakse, ki usposabljanjem v kibernetski higieni spadajo pod. V standard ISO/IEC 27001 Priloga A je malvarna zaščita navedena kot ločen nadzorni ukrep, ločen od usposabljanja. Stranko, ki kot referenčni okvir uporablja ISO 27001, torej morda pričakuje natančnejši odgovor kot stranko, ki kot kontrolni seznam uporablja samo deset ukrepov Zakona o kibernetski varnosti.