kund frågar om vi använder antivirus eller endpoint protection

Antivirus faller under sårbarhetshantering, inte under cyberhygien

Antivirus eller endpoint protection är en teknisk åtgärd, och du placerar den bäst under sårbarhetshantering eller under åtkomstpolicy, inte under medvetenhet. Endpoint protection upptäcker och blockerar skadlig kod på bärbara datorer, servrar och mobila enheter — det är något helt annat än de tio åtgärderna i sin helhet, och kunder som frågar om detta separat vill vanligtvis bara bekräftelse på att det finns ett aktivt, uppdaterat system på alla slutpunkter, inte en fullständig beskrivning av din arkitektur.

Om företaget har en endpoint protection-lösning (Defender for Endpoint, CrowdStrike, Sophos, eller motsvarande) med centraliserad hantering och automatiska uppdateringar, är "ja" med en kort förklaring det vanliga svaret. Saknas centraliserad hantering och endast fristående konsumentantivirus körs, då är ett bestämt "ja" inte hållbart — en kund som följer upp denna fråga vill ofta veta om det ingår i en bredare process för identifiering och åtgärd av sårbarheter, och ett fristående antivirusprogram utan vidare underlag besvarar inte den frågan fullständigt. Är du osäker, är "nej" med förklaring mer ärligt än ett "ja" som inte stämmer vid en revision.

Var detta följer från: artikel 21 punkt 2 och Annex A

Artikel 21 punkt 2 i NIS2-direktivet nämner bland de tio åtgärderna explicit grundläggande metoder för cyberhygien och säkerhet för system under anskaffning, utveckling och underhåll — endpoint protection ses som en teknisk tillämpning av detta tillsammans med patchhantering. I ISO/IEC 27001 Annex A återkommer detta under kontrollåtgärderna för "protection against malware" och under den bredare kategorin teknisk säkerhet. Kunder som ställer denna fråga på grundval av sin egen åtkomstpolicy, inklusive hantering av affärstillgångar, förväntar sig vanligtvis ett konkret svar om täckning (vilka enheter) och hantering (centraliserad eller inte), inte ett produktnamn.