preguntan cómo está protegida nuestra red wifi en la oficina

La seguridad del wifi cae bajo la política de acceso, no bajo una pregunta propia

La pregunta sobre la seguridad del wifi es generalmente una concreción de una pregunta más amplia: cómo gestiona la empresa el acceso a sus sistemas y activos empresariales. Una respuesta individual sobre "WPA3" o "una red de invitados separada" está bien, pero en el expediente debería figurar realmente como parte de la política de acceso, incluida la gestión de activos empresariales. El equipo de red — routers, puntos de acceso, switches — es un activo empresarial, y la forma en que se gestiona (política de contraseñas, actualizaciones de firmware, segmentación de invitados y empleados) es exactamente lo que esa pregunta evalúa.

Generalmente respondes con tres elementos: el protocolo de cifrado utilizado (WPA2-Enterprise o WPA3), si los invitados y empleados están en redes separadas, y quién es responsable de la gestión de los puntos de acceso. Si no tienes una política de wifi formalmente establecida pero sí una práctica que funciona — por ejemplo, un proveedor de TI que la gestiona — entonces respondes sobre la base de esa práctica y la referencias en el expediente. Si faltan tanto la política como una práctica identificable, entonces "no" o "parcialmente" es la respuesta honesta; una lista en la que faltan datos específicos no proporciona aprobación, ni siquiera implícita.

Remitirse al Anexo A y artículo 21, apartado 2 de la NIS2

En ISO/IEC 27001, la seguridad de red cae bajo las medidas de control del Anexo A, específicamente bajo la categoría que regula el control de acceso y la segmentación de red; un auditor que solicita pruebas, en la práctica frecuentemente pregunta por la política de wifi como ilustración de esa medida más amplia. En la Directiva NIS2, artículo 21, apartado 2, el control de acceso y la seguridad de red caen bajo las diez medidas mencionadas, sin que el wifi se mencione como punto separado. Si tú mismo caes bajo la directiva o la implementación nacional holandesa — esto se deriva de si la empresa cae bajo la Directiva NIS2 o su transposición nacional — entonces la seguridad de red es uno de los temas sobre los que debes poder informar, aunque la ley no utilice la palabra "wifi".