Какво попълнявам при въпроса относно сегментирането на мрежата

Сегментиране на мрежата: техническо разделяне между системи

При този въпрос клиентът желае да знае дали мрежата е разделена на отделни зони, така че заразяване в една част да не може да се разпространи свободно към производствени системи, финансови системи или данни на клиенти в друга част. Представете си отделна мрежа за гости, отделен сегмент за OT/производственото оборудване или разделяне между тестовата и производствената среда с защитни стени или VLAN-и между тях. "Да" е защитимо, ако това разделяне съществува доказуемо и не само на хартия — клиентът често задава този въпрос именно след инцидент със вредоносен софтуер при друг доставчик в веригата, където сегментирането би могло да ограничи разпространението на ransomware.

Ако предприятието няма формално сегментиране, тогава "не" с кратко обяснение е по-добро от попълнено "да" без доказателства: например че критичните системи са физически разделени или че сегментирането е включено в плана за развитие за предстоящия квартал. Сегментирането често е свързано с по-широкия политика за контрол на достъпа и управление на активите: който има достъп до кой сегмент и как се налага това. Също така е логично да се свържe с процесът за управление на уязвимостите , тъй като сегментирането често се споменава като компенсираща мярка, когато поправката все още не е внедрена.

Откъде следва това от десетте мерки

Сегментирането на мрежата попада под мерките за защита на мрежата и информационните системи от член 21, параграф 2 на Директива NIS2 и е посочено като специфична мярка за управление в Приложение A на ISO/IEC 27001. В Нидерландия задължението за субекти, попадащи под действието на Директивата, следва от Закона за киберсигурност, който влиза в сила на 15 август 2026 г.; до тази дата клиентът може да попита за нея във въпросник като част от собствената си оценка на веригата, без това да представлява законово задължение за самия доставчик.