jie klausia, ar mūsų verslo tinklas yra padalintas į segmentus

Tinklo segmentacija yra prieigos politikos dalis, o ne šifravimo

Segmentacija praktikoje paprastai patenka į prieigos saugos ir turto vadybos priemones, o ne į atskirą skyrių. Klausimas tikrina, ar jūs padalijote tinklą į zonas — pavyzdžiui, biuro automatizavimą, gamybos aplinką, svečių tinklą ir OT atskirai vienas nuo kito — kad infekcija viename segmente automatiškai neplinta į kitą. Konkretus įrodymas yra tinklo diagrama su VLAN arba poklasiais, tiesioginės saugos taisyklės, kurios riboja srautą tarp segmentų, ir trumpas projektavimo principo paaiškinimas (pavyzdžiui, "plokščias tinklas" prieš "zonom pagrįstą"). Jei tai yra, "taip" su ta diagrama kaip įrodymu yra pagrįstas atsakymas.

Jei segmentacija trūksta arba tinklas yra daugiausia plokščias su tik keliomis VLAN saugumo sumetimais, tada "ne" su trumpu paaiškinimu yra sąžiningiau nei "taip", kuris audito metu neišlaikytų. Jei abejoji dėl savo paties atsakymo dėl Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen jau segmentacijos — dažnai tai sujungiama į vieną atsakymą, nes turto inventorizacija yra pagrindas, kuriame nubrėžiate segmentacijos ribas. Taip pat svarbu, ar segmentacija konkrečiai minimą jūsų rizikos analizės politikoje, nes ten paprastai pagrindžiama, kodėl tam tikros sistemos yra atskirai.

Kur tai yra dešimt priemonių

Tinklo segmentacija nėra atskiras punktas Direktyvos NIS2 21 straipsnio 2 dalyje, bet joje numanoma Direktyvos nuostatų dėl prieigos kontrolės (dalis i) ir turto vadybos rizikos valdymo metu (dalis a). ISO/IEC 27001 Annex A jis yra aiškiai nurodytas tarp tinklo saugumo kontrolės priemonių, kur segmentacija minima kaip kontrolinė priemonė tinklams atskirti pagal pasitikėjimo lygį. Jei patys paklūstate Kibernetinės saugos įstatymui kaip subjektas, kuris patenka į Direktyvą NIS2 arba jos nacionalinę transpoziciją tada segmentacija paprastai yra rizikos vertinimo, kurį jūs dar turite dokumentuoti, dalis.