lista kontrolna pyta o zaporę sieciową i segmentację sieci, jak powinienem odpowiedzieć

Zapora sieciowa i segmentacja należą do polityki kontroli dostępu

Pytanie dotyczące zapory sieciowej i segmentacji sieci jest rozwinięciem artykułu 21 ust. 2 lit. i dyrektywy NIS2: kontroli dostępu i zarządzania zasobami przedsiębiorstwa. Segmentacja nie jest oddzielnym środkiem, ale dowodem na rozdzielenie stref sieciowych — środowisko produkcyjne oddzielone od automatyzacji biurowej, sieć gościnnej od ruchu wewnętrznego. Kto ma już na to gotową odpowiedź z polityka dostępu, to można w dużej mierze ponownie wykorzystać odpowiedź: lista pytań pyta w innych słowach o tę samą kontrolę.

Konkretnym dowodem jest zwykle diagram sieciowy ze strefami, zestaw reguł zapory (lub streszczenie, bez wrażliwych szczegółów) i data ostatniego przeglądu. Jeśli brakuje tego, „nie, jeszcze nie sformalizowano odpowiedź na pytanie o podatności, może się do tego odnosić jako uzupełnienie, nie jako zastępowanie.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 lit. i dyrektywy NIS2 wymienia politykę kontroli dostępu i zarządzanie aktywami przedsiębiorstwa jako jedną z dziesięciu obowiązkowych środków; segmentacja sieci nie jest w nim wymieniona z nazwy, ale stanowi powszechne jej techniczne wdrożenie. ISO/IEC 27001 Załącznik A rozwija to dalej w ramach środków kontroli bezpieczeństwa sieci, gdzie segmentacja jest wymieniona jako przykładowy środek. W Holandii jest to uwzględniane w ustawie o cyberbezpieczeństwie, implementacji dyrektywy NIS2, która wejdzie w życie 15 sierpnia 2026 r. — do tego czasu sama dyrektywa pozostaje tekstem, do którego należy powrócić w przypadku wątpliwości dotyczących dokładnego brzmienia.