cosa inserisco alla domanda sulla segmentazione della rete

Segmentazione della rete: separazione tecnica tra sistemi

In questa domanda il cliente desidera sapere se la rete è suddivisa in zone separate, in modo che un'infezione in una parte non possa propagarsi liberamente verso i sistemi di produzione, i sistemi finanziari o i dati dei clienti in un'altra parte. Si pensi a una rete guest separata, a un segmento dedicato per l'OT/apparecchiature di produzione, o alla separazione tra ambienti di test e produzione con firewall o VLAN tra di essi. Una risposta "sì" è difendibile se tale separazione è dimostrabile e non esiste solo sulla carta — il cliente spesso pone questa domanda proprio dopo un incidente di malware presso un altro fornitore della catena, dove la segmentazione avrebbe potuto limitare la diffusione del ransomware.

Se l'azienda non dispone di una segmentazione formale, allora un "no" con una breve spiegazione è preferibile a un "sì" compilato senza prove: ad esempio che i sistemi critici sono comunque separati fisicamente, o che la segmentazione è prevista sulla roadmap per il prossimo trimestre. La segmentazione è spesso collegata alla più ampia politica di accesso e gestione dei beni aziendali: chi può accedere a quale segmento e come ciò viene applicato. Anche un collegamento con il processo di gestione delle vulnerabilità è logico, poiché la segmentazione è spesso citata come misura compensativa quando una patch non è ancora stata distribuita.

Da dove deriva questo tra le dieci misure

La segmentazione della rete rientra nelle misure per la sicurezza delle reti e dei sistemi informativi di cui all'articolo 21, paragrafo 2, della direttiva NIS2, ed è designata come misura di controllo specifica nell'Allegato A della norma ISO/IEC 27001. Nei Paesi Bassi, l'obbligo per le entità rientranti nella direttiva deriva dalla Legge sulla sicurezza informatica, che entra in vigore il 15 agosto 2026; fino a quella data, un cliente può comunque porre questa domanda in un questionario come parte della propria valutazione della catena di fornitura, senza che questo rappresenti un obbligo legale per lo stesso fornitore.