hvad udfylder jeg ved spørgsmålet om netværkssegmentering

Netværkssegmentering: teknisk adskillelse mellem systemer

Ved dette spørgsmål ønsker kunden at vide, om netværket er opdelt i adskilte zoner, så en infektion i den ene del ikke kan sprede sig frit til produktionssystemer, finansielle systemer eller kundedata i en anden del. Tænk på et adskilt gæstenetværk, et separat segment til OT/produktionsudstyr, eller adskillelse mellem test- og produktionsmiljø med firewalls eller VLAN'er imellem. Et "ja" er forsvarligt, hvis denne adskillelse kan påvises og ikke kun findes på papiret — kunden spørger ofte netop til dette efter et malware-incident hos en anden leverandør i kæden, hvor segmentering kunne have begrænset ransomware-spredningen.

Hvis virksomheden ikke har formel segmentering, er "nej" med en kort forklaring bedre end et udfyldt "ja" uden bevis: for eksempel at kritiske systemer fysisk er adskilt, eller at segmentering er på køreplan for det kommende kvartal. Segmentering er ofte forbundet med den bredere adgangskontrol og styring af virksomhedens ressourcer: hvem der må få adgang til hvilket segment, og hvordan det håndhæves. En forbindelse til processen for håndtering af sårbarheder er også logisk, fordi segmentering ofte nævnes som en kompenserende foranstaltning, når en patch endnu ikke er udrullet.

Hvor dette følger fra de ti foranstaltninger

Netværkssegmentering falder under foranstaltningerne for netværks- og informationssystembeskyttelse i artikel 21, stk. 2 i NIS2-direktivet, og er navngivet som en specifik styringskontrol i Bilag A i ISO/IEC 27001. I Holland følger forpligtelsen for enheder under direktivet fra Cybersikkerhedsloven, som træder i kraft den 15. august 2026; indtil den dato kan en kunde allerede spørge til det i et spørgeskema som en del af sin egen evaluering af leverandørkæden, uden at dette medfører en juridisk forpligtelse for leverandøren selv.