se întreabă dacă rețeaua noastră de afaceri este împărțită în segmente

Segmentarea rețelei face parte din politica de acces, nu din criptografie

Segmentarea se situează în practică de obicei sub măsurile de securitate a accesului și gestionarea activelor, nu sub un capitol separat. Întrebarea testează dacă ați împărțit rețeaua în zone — de exemplu automatizare de birou, mediu de producție, rețea pentru oaspeți și OT separat una de cealaltă — astfel încât o infectare într-un segment să nu se răspândească automat în altul. Dovada concretă este o diagramă de rețea cu VLAN-uri sau subnets, reguli de firewall care limitează traficul între segmente și o explicație scurtă a principiului de proiectare (de exemplu "flat network" versus "zone-based"). Dacă aceasta există, "da" cu acea diagramă ca dovadă este un răspuns ținut.

Dacă segmentarea lipsește, sau rețeaua este în mare măsură plată cu doar câteva VLAN-uri pentru formă, atunci "nu" cu o explicație scurtă este mai onest decât un "da" care nu rezistă la o audit. Dacă vă îndoiți de propriul răspuns asupra politica de acces și gestiunea activelor de afaceri segmentării deja — adesea aceasta se combină într-un singur răspuns, deoarece inventarierea activelor este baza pe care trasați limitele segmentării. De asemenea, este relevant dacă segmentarea este menționată specific în politica dumneavoastră pentru analiza riscului, deoarece acolo este de obicei fundamentată de ce anumite sisteme stau separat.

Unde se află aceasta în cele zece măsuri

Segmentarea rețelei nu este un punct separat în articolul 21 alineatul 2 al Directivei NIS2, dar este acoperit implicit de măsurile de securitate a accesului (partea i) și gestionarea activelor în cadrul gestionării riscului (partea a). În ISO/IEC 27001 Annex A se regăsește explicit sub măsurile de control pentru securitatea rețelei, unde segmentarea este menționată ca o măsură de control pentru a separa rețelele pe baza nivelului de încredere. Dacă te supui Legii de securitate cibernetică ca entitate care cade sub Directiva NIS2 sau transpunerea națională atunci segmentarea este de obicei parte a evaluării riscului pe care trebuie s-o documentezi oricum.