Kaj izpolnim pri vprašanju o segmentaciji omrežja

Segmentacija omrežja: tehnična ločitev med sistemi

Pri tem vprašanju želi odjemalec vedeti, ali je omrežje razdeljeno na ločene cone, da se okužba v enem delu ne može prosto razširiti na proizvajalne sisteme, finančne sisteme ali podatke o strankah v drugem delu. Pomislite na ločeno gostinsko omrežje, oddelno segmento za OT/proizvajalno opremo ali ločitev med testnim in proizvodnim okoljem z ognjemeti ali VLAN-oma med njimi. "Da" je branljivo, če ta ločitev dokazano obstaja in ne samo na papirju — odjemalec to pogosto sprašuje prav po incidentu s programsko malico pri drugem dobavitelju v verigi, kjer bi segmentacija lahko omejevala širjenje vključevalca.

Če podjetje nima formalne segmentacije, je "ne" s kratkim pojasnjivanjem boljše kot izpolnjeno "da" brez dokazov: na primer da so kritični sistemi res fizično ločeni ali da je segmentacija na načrtu za prihodnji četrtletje. Segmentacija je pogosto povezana s širšo politiko dostopa in upravljanjem poslovnih sredstev: kdo sme dostopati do katerega segmenta in kako se to uvaja v prakso. Povezava s postopkom upravljanja ranljivosti je prav tako logična, ker segmentacija pogosto nastopa kot nadomestni ukrep, kadar popravka še ni razširjen.

Kjer to izhaja iz desetih ukrepov

Segmentacija omrežja spada pod ukrepe za zaščito omrežja in informacijskih sistemov iz člena 21 odstavka 2 Direktive NIS2 in je posebej navedena kot upravljalni ukrep v Dodatku A standarda ISO/IEC 27001. Na Nizozemskem izhaja obveznost za subjekte, na katere se nanaša direktiva, iz Zakona o kibernetski varnosti, ki začne veljati 15. avgusta 2026; do takrat lahko odjemalec že v vprašalniku sprašuje po tem kot del svoje lastne ocene dobaviteljev v verigi, brez da bi to pomenilo zakonsko obveznost za samega dobavitelja.