英National Cyber Security Centre（NCSC）は12月1日、クラウド型製品の利用に関するリスク管理のガイドラインや、クラウド型製品のサプライチェーンリスクにおけるCiaran Martin長官名の書簡を公開した。
ガイドラインでは、英政府機関におけるクラウド型の製品やサービスの利用に関する基本的なリスク管理方針を概説し、一例としてウイルス対策ソフトを取り上げる。クラウドサービスがユーザーからどのようなデータを収集し、利用するかについて、（1）クラウド事業者が公表する規約やポリシーの確認、（2）第三者機関による評価、（3）ユーザー自身による検証――を実施するよう求めた。
例示したウイルス対策ソフトは、主にマルウェア防御の観点からリアルタイムな情報共有やクラウドベースの分析を行う製品があるとし、高度な権限による動作や広範なデータ収集を伴う場合があると解説する。ガイドラインでは、こうした製品の特性を理解した上で、ユーザーがとるべき行動としてネットワークやデータの監視と制御、定期的な見直しを挙げている。
一方、Martin氏は書簡でロシアが英国にとってセキュリティ上の脅威にあたるとし、英国の中央政府におけるロシアのセキュリティ製品、特にウイルス対策ソフトの使用を控えるよう勧告。ただ、この勧告はあくまで中央政府を対象とし、民間組織などは対象外としている。
この勧告から一部報道で、英国政府機関がロシア最大のウイルス対策ソフト企業Kasperskyの使用を中止することが伝えられた。ただしMartin氏の書簡では、Kasperskyと英国政府の懸念に関する協議を行っているとし、透明性の確保といった懸念解消に向けた動きがあれば、勧告の内容を見直すとされている。
Kasperskyをめぐっては、9月に米国連邦政府での同社製品の使用を中止する方針が示され、Kaspersky側が反論している。今回の英国政府における動きは米国に続く可能性があるものの、現時点で英国の方針は米国ほど強固なものにはなっていない。
