ils demandent comment notre réseau Wi-Fi au bureau est sécurisé

La sécurité du Wi-Fi relève de la politique d'accès, non d'une question distincte

La question relative à la sécurité du Wi-Fi est généralement une concrétisation d'une question plus large : comment l'entreprise régit-elle l'accès à ses systèmes et ressources commerciales. Une réponse isolée sur « WPA3 » ou « un réseau invité séparé » convient parfaitement, mais elle doit figurer dans le dossier en tant que partie intégrante de la politique d'accès, y compris la gestion des actifs informatiques. Les équipements réseau — routeurs, points d'accès, commutateurs — sont des ressources commerciales, et la manière dont ils sont gérés (politique de mots de passe, mises à jour du micrologiciel, segmentation des invités et des employés) est précisément ce que cette question teste.

Concrètement, vous répondez généralement avec trois éléments : le protocole de chiffrement utilisé (WPA2-Enterprise ou WPA3), le fait que les invités et les employés se trouvent sur des réseaux séparés, et qui est responsable de la gestion des points d'accès. Si vous n'avez pas de politique Wi-Fi formellement documentée mais une pratique fonctionnelle — par exemple, un prestataire informatique qui la gère — vous répondez sur la base de cette pratique et y faites référence dans le dossier. Si la politique et une pratique vérifiable font toutes deux défaut, alors « non » ou « partiellement » est la réponse honnête ; une liste dans laquelle des données chiffrées manquent ne produit aucune approbation, pas même implicite.

Renvoi à l'Annexe A et à l'article 21, paragraphe 2, NIS2

Selon la norme ISO/IEC 27001, la sécurité des réseaux relève des mesures de gestion de l'Annexe A, spécifiquement de la catégorie qui régit le contrôle d'accès et la segmentation du réseau ; un auditeur qui demande des preuves demande en pratique souvent la politique Wi-Fi comme illustration de cette mesure plus large. Selon la directive NIS2, article 21, paragraphe 2, le contrôle d'accès et la sécurité des réseaux font partie des dix mesures mentionnées à cet endroit, sans que le Wi-Fi soit explicitement nommé. Si vous êtes vous-même soumis à la directive ou à la loi néerlandaise sur la cybersécurité — ce qui ressort de ou si l'entreprise elle-même est soumise à la directive NIS2 ou à sa transposition nationale — alors la sécurité des réseaux est l'un des sujets sur lesquels vous devez pouvoir faire rapport, même si la loi n'utilise pas le mot « Wi-Fi ».