perguntam se a nossa rede empresarial está dividida em segmentos

A segmentação de rede é parte da política de acesso, não da criptografia

A segmentação está na prática geralmente sob as medidas de proteção de acesso e gestão de ativos, não sob um capítulo separado. A pergunta testa se vocês dividiram a rede em zonas — por exemplo, automação de escritório, ambiente de produção, rede de hóspedes e OT separados uns dos outros — de modo que uma contaminação em um segmento não se espalhe automaticamente para o outro. Prova concreta é um diagrama de rede com VLAN's ou sub-redes, regras de firewall que limitam o tráfego entre segmentos, e uma breve explicação do princípio de design (por exemplo "rede plana" versus "baseada em zonas"). Se isso existir, "sim" com esse diagrama como comprovante é uma resposta defensável.

Se a segmentação está faltando, ou a rede é amplamente plana com apenas algumas VLAN's para manter a aparência, então "não" com uma breve explicação é mais honesto do que um "sim" que não resistiria a uma auditoria. Se você duvida se sua própria resposta sobre a política de acesso e a gestão de ativos já inclui segmentação — frequentemente isso é combinado em uma resposta, porque a inventariação de ativos é a base sobre a qual você desenha os limites de segmentação. Também relevante é se a segmentação é especificamente mencionada em sua política de análise de riscos, pois é aí que geralmente se fundamenta por que determinados sistemas estão separados.

Onde isto se encontra nas dez medidas

A segmentação de rede não é um ponto separado no artigo 21º, n.º 2 da Diretiva NIS2, mas é implicitamente coberta pelas medidas de proteção de acesso (parte i) e gestão de ativos dentro da gestão de riscos (parte a). Na ISO/IEC 27001 Anexo A, é explicitamente encontrada sob as medidas de controlo para segurança de rede, onde a segmentação é nomeada como medida de controlo para separar redes com base no nível de confiança. Se você está sujeito à Lei de Cibersegurança como entidade que se enquadra na Diretiva NIS2 ou na transposição nacional então a segmentação é normalmente parte da avaliação de riscos que você já deve documentar.