kyselylomake kysyy verkon segmentoinnista, mitä se tarkoittaa ja mitä minun pitää täyttää

Segmentointi kuuluu pääsynhallintakäytäntöihin, ei salaukseen

Verkkosegmentointi tarkoittaa sitä, että yritysverkko on jaettu erillisiin osiin, jotta hyökkääjä, joka pääsee yhteen osaan, ei pääse automaattisesti muihin. Ajattele esimerkiksi erillisiä segmenttejä toimistoautomaatiolle, tuotantojärjestelmille (OT) ja vieraiden wifi-verkolle. Kysymys ilmenee yleensä pääsynvalvontaa käsittelevässä osiossa, ei salausta tai jatkuvuutta käsittelevässä — loogisesti, koska segmentointi on pohjimmiltaan pääsynvalvontaa verkkotasolla.

Jos et ole tätä ottanut käyttöön, "ei" on rehellinen vastaus — ei ole välimuotoa, joka tuntuisi sopivalta mutta olisi tosiasiallisesti väärä. Jos olet ottanut käyttöön, mutta vain "implisiittisesti" VLAN-verkkosegmentoinnin kautta ilman dokumentoitua käytäntöä, täytä se, mitä tosiasiallisesti on: tekninen toimenpide ilman asiakirjaa on erilainen kuin toimenpide, jonka takana on käytäntödokumentti. Asiakkaat, jotka kysyvät tätä, kysyvät usein samalla hengityksellä pääsynhallintaan ja yritysvarojen hallintaan — segmentointi on sen verkkotekninen sisarkäsite. Jos epäröit, pitäisikö sinun jakaa verkkokaavio tai palomuurisäännöt todisteeksi, käytä luottamuksellisuuspainiketta sen sijaan, että painisit itse asiaa.

Missä se on kymmenessä toimenpiteessä

Verkkosegmentointi kuuluu NIS2-direktiivin (direktiivi (EU) 2022/2555) 21 artiklan 2 kappaleen pääsynvalvonta- ja verkko- ja tietojärjestelmien turvallisuuskäytäntöihin — tuo artikla luettelee kymmenen toimenpidekategoriaa, joihin sisältyvät pääsynvalvontakäytännöt ja järjestelmien turvallisuus hankinnan, kehityksen ja ylläpidon yhteydessä. ISO/IEC 27001:ssä segmentointi esiintyy liitteessä A, verkkotietoturvan hallinnointitoimenpiteissä. Yrityksille, jotka tulevat NIS2-direktiivin piiriin — Alankomaiden NIS2-direktiivin siirtämis- ja täytäntöönpanoksi tunnetun Cybervarmistuslain perusteella, joka tulee voimaan 15. elokuuta 2026 — tämä tulee yhdeksi kymmenestä pakollisesta toimenpiteestä; jos yritys epäröi, kuuluuko se itse direktiivin piiriin, voi tarkistaa sen kohdassa onko yritys entiteettinä NIS2-direktiivin piirissä.