kyselylomake kysyy, onko verkkomme segmentoitu, mitä se tarkoittaa

Verkon segmentointi kuuluu pääsynhallintakäytäntöihin, ei erillisenä toimenpiteenä

Verkon segmentointia ei mainita erillisenä sanana NIS2-direktiivin 21 artiklan 2 kohdassa. Se kuuluu laajempaan pääsynvalvontaan ja järjestelmien turvaamiseen — samaan kategoriaan kuin myös pääsynhallintaan ja yritysvarojen hallintaan kuuluu. Käytännössä asiakkas kysyy tällä: voiko joku, joka pääsee vierasverkkoon tai hakkeroitua tulostimen kautta, vain niin siirtää tuotantoympäristöön tai HR-järjestelmiin? Segmentointi tarkoittaa sitä, että verkko on jaettu erillisiin vyöhykkeisiin, joissa on omat pääsysäännöt näiden vyöhykkeiden välillä.

Jos segmentointia on olemassa, todistusasiakirja on yleensä verkkokaavio tai lyhyt kuvaus vyöhykkeistä (toimisto, tuotanto, vieraat, DMZ) ja säännöistä näiden vyöhykkeiden välillä — usein määritelty palomuurin konfiguraatiossa tai itse pääsynhallintakäytännössä. Jos virallista segmentointia ei ole, mutta käytännöllinen erottelu on olemassa — esimerkiksi erillinen wifi-verkko vierailijoille ilman pääsyä sisäisiin järjestelmiin — se on usein riittävä vastaamaan kysymykseen selityksen kanssa sen sijaan, että antaisi pelkän "ei". Epävarmuus on erityisesti pienemmissä verkoissa ilman VLAN-verkkoja tai vyöhykkeitä: silloin vastaus on yleensä "ei" tai "osittain", eikä se ole ongelma täyttää sitä näin.

Jäljitettävissä ISO 27001:n liitteeseen A ja NIS2-direktiivin 21 artiklan 2 kohtaan

Jos organisaatio on ISO 27001 -sertifioitu, sillä on segmentointi yleensä jo käytössä liitteen A hallintotoimenpiteiden kautta verkon turvaamisesta; jos näin ei ole, kysymys voidaan jäljittää NIS2-direktiivin 21 artiklan 2 kohdan kymmeneen toimenpiteeseen, jotka tulevat koskemaan myös Cybersecurity Act -lain kautta Hollannin markkinoita. Täydellisyyden vuoksi: tai koskee yritys itse NIS2-direktiiviä tai kansallista täytäntöönpanoa on erillinen kysymys — segmentointi voi olla olennaista myös ilman tätä velvoitetta, yksinkertaisesti siksi, että asiakas arvioi sen toimittajariskinä.