kund frågar vilken antivirus eller endpointskydd vi använder

Antivirus faller under sårbarhetshantering, inte under en egen fråga

Ett varumärke att fylla i är vanligtvis inte frågan. "Vilken antivirus använder ni" är nästan alltid en översättning av en fråga till åtgärd (i) i artikel 21 punkt 2 i NIS2: politik för sårbarhetshantering och -analys. Kunden vill veta om endpoints är strukturellt skyddade mot skadlig programvara och om skyddet förblir aktuellt — inte vilket logotyp som finns på lådan. I ISO/IEC 27001 återkommer detta i Annex A, under kontrollmåtten för skydd mot skadlig programvara och för teknisk sårbarhetshantering.

Vad bevishandlingen vanligtvis måste visa: att slutpunktsskydd körs på alla relevanta enheter, att definitioner eller detektering uppdateras automatiskt, och att det finns en process för att följa upp meddelanden — inte bara att programvaran är installerad. En skärmbild från en bärbar dator är inte bevis för hela organisationen; en översikt från kontrollpanelen för slutpunktslösningen, med täckningsgrad och uppdateringsstatus, är det. Om denna översikt saknas är svaret inte "nej" utan "ännu för att underbyggas" — ketjedokumentet fyller då inte i ja utan källa. Detta hänger ihop med processen för att upptäcka och åtgärda sårbarheter, eftersom antivirus är en åtgärd inom denna bredare process, inte ett mål i sig. I vissa frågelistor ställs frågan bredare och faller den snarare under politiken för riskanalys och säkerhet för informationssystem; kontrollera alltså formatet innan du fyller i under det felaktiga blocket.

Var det finns i riktlinjen och normen

Artikel 21 punkt 2 under i i direktiv (EU) 2022/2555 nämner inte "politik och procedurer för användning av kryptografi" här, men nämner väl uttryckligen "politik för sårbarhetshantering och -analys" som en av de tio åtgärderna; skydd mot skadlig programvara är den operativa tillämpningen av detta. I ISO/IEC 27001 Annex A återkommer detta under kontrollmåtten för skydd mot skadlig programvara och för hantering av tekniska sårbarheter. Cybersäkerhetslag kommer att överföra de tio åtgärderna från artikel 21 när lagen träder i kraft.