il questionario chiede se la nostra rete è segmentata, cosa significa

La segmentazione della rete rientra nella politica di accesso, non in una misura isolata

La segmentazione della rete non compare come termine separato nell'articolo 21 paragrafo 2 della NIS2. Rientra nella misura più ampia di controllo dell'accesso e protezione dei sistemi — la stessa categoria in cui rientra anche la politica di accesso e la gestione dei beni aziendali . In pratica, un cliente con questa domanda chiede: se qualcuno entra nella rete degli ospiti o attraverso una stampante compromessa, può accedere direttamente all'ambiente di produzione o ai sistemi HR? La segmentazione significa che la rete è divisa in zone separate, con regole di accesso proprie tra quelle zone.

Se esiste segmentazione, il documento di prova è solitamente uno schema di rete o una breve descrizione delle zone (ufficio, produzione, ospiti, DMZ) e le regole tra quelle zone — spesso documentate in una configurazione del firewall o nella politica di accesso stessa. Se non esiste una segmentazione formale ma c'è una separazione pratica — ad esempio una rete wifi separata per gli ospiti senza accesso ai sistemi interni — spesso è sufficiente per rispondere alla domanda con una spiegazione invece di un semplice "no". Il dubbio esiste soprattutto nelle reti più piccole senza VLAN o zone: in questi casi la risposta è solitamente "no" o "parzialmente", e non c'è nulla di male nel inserirlo così.

Riconducibile all'Allegato A della ISO 27001 e all'articolo 21 paragrafo 2 della NIS2

Chi è certificato ISO 27001 ha solitamente già implementato la segmentazione attraverso le misure di controllo nell'Allegato A sulla sicurezza della rete; se non è così, la domanda può essere ricondotta alle dieci misure dell'articolo 21 paragrafo 2 della NIS2, che con la Legge sulla Cibersicurezza avranno effetto anche per il mercato olandese. Per completezza: oppure se l'azienda stessa rientra nell'ambito di applicazione della NIS2 o del suo recepimento nazionale è una domanda separata — la segmentazione può essere rilevante anche senza tale obbligo, semplicemente perché un cliente la valuta come rischio fornitore.