qué relleno en la pregunta sobre segmentación de red

Segmentación de redes: separación técnica entre sistemas

En esta pregunta, el cliente quiere saber si la red está dividida en zonas separadas, de modo que una infección en una parte no pueda propagarse libremente hacia sistemas de producción, sistemas financieros o datos de clientes en otra parte. Piense en una red de invitados separada, un segmento independiente para equipos de TI/producción, o separación entre entorno de prueba y producción con firewalls o VLAN entre ellos. Una respuesta "sí" es defendible si esa separación existe demostrable y no solo sobre el papel — el cliente a menudo pregunta esto precisamente después de un incidente de malware en otro proveedor de la cadena, donde la segmentación podría haber limitado la propagación del ransomware.

Si la empresa no tiene una segmentación formal, entonces "no" con una breve explicación es mejor que un "sí" rellenado sin pruebas: por ejemplo, que los sistemas críticos sí estén separados físicamente, o que la segmentación está en el plan de trabajo para el próximo trimestre. La segmentación a menudo está relacionada con la política de acceso más amplia y gestión de activos: quién puede acceder a qué segmento y cómo se garantiza. También una conexión con el proceso de gestión de vulnerabilidades tiene sentido, porque la segmentación a menudo se menciona como medida compensatoria cuando aún no se ha implementado un parche.

Dónde resulta de las diez medidas

La segmentación de redes entra dentro de las medidas de seguridad de redes y sistemas de información del artículo 21, apartado 2, de la Directiva NIS2, y se menciona como medida de control específica en el Anexo A de ISO/IEC 27001. En los Países Bajos, la obligación para las entidades dentro del alcance de la directiva se deriva de la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026; hasta esa fecha, un cliente puede preguntar sobre ella en un cuestionario como parte de su propia evaluación de la cadena, sin que esto implique una obligación legal para el proveedor mismo.