lista kontrolna pyta, czy nasza sieć jest segmentowana, co to oznacza

Segmentacja sieci wchodzi w zakres polityki dostępu, a nie w odrębny środek

Segmentacja sieci nie pojawia się jako oddzielne słowo w artykule 21 ust. 2 dyrektywy NIS2. Wchodzi w zakres szerszego środka kontroli dostępu i bezpieczeństwa systemów — tej samej kategorii, do której również polityki dostępu i zarządzania zasobami przedsiębiorstwa wchodzi. W praktyce klient pyta to w następujący sposób: czy osoba, która wejdzie do sieci gościnnej lub poprzez zhakowany drukarkę, może bez przeszkód uzyskać dostęp do środowiska produkcyjnego lub systemów HR? Segmentacja oznacza, że sieć jest podzielona na oddzielne strefy z własnymi regułami dostępu między tymi strefami.

Jeśli segmentacja istnieje, dokumentem potwierdzającym jest zwykle schemat sieci lub krótki opis stref (biuro, produkcja, goście, DMZ) i reguł między tymi strefami — często udokumentowanych w konfiguracji zapory lub w samej polityce dostępu. Jeśli nie ma formalnej segmentacji, ale istnieje praktyczne rozdzielenie — na przykład osobna sieć Wi-Fi dla gości bez dostępu do systemów wewnętrznych — to często wystarczy, aby odpowiedzieć na pytanie z wyjaśnieniem zamiast zwykłego "nie". Wątpliwości pojawiają się głównie w przypadku mniejszych sieci bez VLAN-ów lub stref: odpowiedź to wówczas zwykle "nie" lub "częściowo", a to nie stanowi problemu, aby wypełnić formularz w taki sposób.

Można odnieść do Załącznika A normy ISO 27001 i artykułu 21 ust. 2 dyrektywy NIS2

Podmioty posiadające certyfikat ISO 27001 mają zwykle segmentację już wdrożoną za pośrednictwem środków kontrolnych w Załączniku A dotyczących bezpieczeństwa sieci; jeśli tak się nie dzieje, pytanie można sprowadzić do dziesięciu środków artykułu 21 ust. 2 dyrektywy NIS2, które wraz z ustawą o cyberbezpieczeństwie będą obowiązywać również na rynku holenderskim. Dla porządku: czy przedsiębiorstwo samo podlega dyrektywie NIS2 lub jej krajowej transpozycji to osobne pytanie — segmentacja może być istotna również bez takiego obowiązku, po prostu dlatego, że klient ocenia ją jako ryzyko związane z dostawcą.