co wypełniam w odpowiedzi na pytanie dotyczące segmentacji sieci

Segmentacja sieci: techniczne oddzielenie systemów

W tym pytaniu klient chce wiedzieć, czy sieć jest podzielona na oddzielone strefy, aby zarażenie w jednej części nie mogło swobodnie rozprzestrzeniać się na systemy produkcyjne, systemy finansowe lub dane klientów w innej części. Pomyśl o oddzielonej sieci gościnnej, osobnym segmencie dla urządzeń OT/produkcyjnych lub oddzieleniu między środowiskiem testowym i produkcyjnym za pomocą zapór sieciowych lub sieci VLAN między nimi. Odpowiedź "tak" jest uzasadniona, jeśli takie oddzielenie wykazalnie istnieje i nie tylko na papierze — klient często pyta o to właśnie po incydencie malware'u u innego dostawcy w łańcuchu, gdzie segmentacja mogłaby ograniczyć rozprzestrzenianie się ransomware'u.

Jeśli przedsiębiorstwo nie ma formalnej segmentacji, odpowiedź "nie" z krótkim wyjaśnieniem jest lepsza niż wypełnione "tak" bez dowodów: na przykład że systemy krytyczne rzeczywiście stają fizycznie oddzielnie, lub że segmentacja znajduje się na planie na nadchodzący kwartał. Segmentacja jest często powiązana z szerszą polityką dostępu i zarządzaniem zasobami: kto może mieć dostęp do którego segmentu i jak to jest egzekwowane. Powiązanie z procesem zarządzania lukami w zabezpieczeniach jest również logiczne, ponieważ segmentacja jest często wymieniana jako miara kompensacyjna, gdy patch nie został jeszcze wdrożony.

Gdzie to wynika z dziesięciu środków

Segmentacja sieci podlega środkom bezpieczeństwa sieci i systemów informacyjnych z artykułu 21 ust. 2 dyrektywy NIS2 i jest wymieniona jako specyficzny środek kontrolny w Załączniku A normy ISO/IEC 27001. W Holandii obowiązek dla podmiotów podlegających dyrektywie wynika z Ustawy o bezpieczeństwie cybernetycznym, która wchodzi w życie 15 sierpnia 2026 r.; do tego terminu klient może o to pytać w kwestionariuszu jako część własnej oceny łańcucha dostaw, bez że stanowi to obowiązek prawny dla samego dostawcy.