megkérdezik, hogy üzleti hálózatunk szegmentekre van-e felosztva

A hálózati szegmentálás az hozzáférési szabályzat része, nem a kriptográfiáé

A szegmentálás a gyakorlatban általában a hozzáférés-biztonsági és eszközkezelési intézkedések között tartozik, nem egy külön fejezet alatt. A kérdés azt teszteli, hogy felosztottátok-e a hálózatot zónákra — például irodai automatizálás, termelési környezet, vendéghálózat és OT elkülönítve egymástól — hogy egy fertőzés az egyik szegmensben ne terjedjen automatikusan a másikba. Konkrét bizonyíték egy VLAN-okat vagy alhálózatokat tartalmazó hálózati diagram, a szegmensek közötti forgalmat korlátozó tűzfalszabályok, valamint a tervezési elv rövid magyarázata (például "flat network" versus "zone-based"). Ha ez megvan, a "igen" válasz az adott diagrammal bizonyítékként megállja a helyét.

Ha a szegmentálás hiányzik, vagy a hálózat nagyrészt lapos, csupán néhány VLAN-nal formailag, akkor a "nem" válasz rövid magyarázattal őszintébb, mint egy "igen" válasz, amely az auditálás során nem áll meg. Ha bizonytalan vagy saját válaszát illetően, hogy hozzáférési szabályzat és az üzleti eszközök kezelése már magában foglalja-e a szegmentálást — gyakran ezt egy válaszban kombinálják, mert az eszközleltár az alapja annak, hogy hol húzza meg a szegmentálási határokat. Szintén releváns, hogy a szegmentálás kifejezetten szerepel-e a kockázatelemzésre vonatkozó szabályzatban, mivel általában ott indokolják meg, hogy miért vannak bizonyos rendszerek elkülönítve.

Ahol ez a tíz intézkedés között szerepel

A hálózati szegmentálás nem külön pont a NIS2-irányelv 21. cikkének (2) bekezdésében, de ott implicit módon fedezi a hozzáférés-biztonsági intézkedéseket (vi. pont) és az eszközkezelést a kockázatkezelésben (a. pont). Az ISO/IEC 27001 Annex A-ban kifejezetten megtalálható a hálózatbiztonság ellenőrzési intézkedékei között, ahol a szegmentálást a hálózatok megbízhatósági szint alapján történő szétválasztásának ellenőrzési eszközeként említik. Ha maga alá tartozol a Kiberbiztonsági törvényt vonatkozóan, mint entitás, amely a NIS2-irányelv vagy a nemzeti átültetés alá tartozik akkor a szegmentálás általában része annak a kockázatértékelésnek, amelyet már úgyis dokumentálnod kell.