spørgeskemaet spørger, om vores netværk er segmenteret, hvad betyder det

Netværkssegmentering falder under adgangskontrol, ikke under en selvstændig foranstaltning

Netværkssegmentering i sig selv optræder ikke som et separat ord i artikel 21, stk. 2 i NIS2. Det falder under den bredere foranstaltning adgangskontrol og sikring af systemer — samme kategori, som også adgangspolitikken og styringen af virksomhedsressourcer falder ind under. I praksis spørger en kunde hermed: kan nogen, der kommer ind på gæstenetværket eller via en hacket printer, blot få adgang til produktionsmiljøet eller HR-systemerne? Segmentering betyder, at netværket er opdelt i adskilte zoner, med egne adgangsregler mellem disse zoner.

Hvis der er segmentering, er bevisstykket normalt et netværksdiagram eller en kort beskrivelse af zonerne (kontor, produktion, gæster, DMZ) og reglerne mellem disse zoner — ofte fastlagt i en firewall-konfiguration eller i selve adgangspolitikken. Hvis der ikke er formelt segmentering, men vel en praktisk adskillelse — for eksempel et separat wifi-netværk til gæster uden adgang til interne systemer — er det ofte tilstrækkeligt til at besvare spørgsmålet med en præcisering i stedet for et blot "nej". Tvivl opstår især ved mindre netværk uden VLAN'er eller zoner: så er svaret normalt "nej" eller "delvis", og det er ikke noget problem at udfylde det sådan.

Kan føres tilbage til bilag A i ISO 27001 og artikel 21, stk. 2 i NIS2

Hvis man er ISO 27001-certificeret, har man normalt allerede håndteret segmentering via kontrolforanstaltningerne i bilag A vedrørende netværkssikkerhed; hvis det ikke er tilfældet, kan spørgsmålet henføres til de ti foranstaltninger i artikel 21, stk. 2 i NIS2, som også kommer til at gælde for det danske marked via cybersikkerhedsloven. For fuldstændighed: om virksomheden selv falder ind under NIS2 eller den nationale gennemførelse er et separat spørgsmål — segmentering kan også være relevant uden denne forpligtelse, simpelthen fordi en kunde vurderer det som leverandørrisiko.