enkäten frågar om vårt nätverk är segmenterat, vad innebär det

Nätverkssegmentering faller under åtkomstpolicy, inte under en separat åtgärd

Nätverkssegmentering står inte som ett separat ord i artikel 21.2 i NIS2. Det faller under den bredare åtgärden åtkomstkontroll och säkring av system — samma kategori som också åtkomstpolicy och hantering av företagstillgångar ingår i. I praktiken frågar en kund med detta: kan någon som kommer in på gästnätverket eller via en hackad skrivare helt enkelt komma åt produktionsmiljön eller HR-systemen? Segmentering innebär att nätverket är uppdelat i separata zoner, med egna åtkomstregler mellan dessa zoner.

Om det finns segmentering är beviset vanligtvis ett nätverksschema eller en kort beskrivning av zonerna (kontor, produktion, gäster, DMZ) och reglerna mellan zonerna — ofta dokumenterat i en brandväggskonfiguration eller i själva åtkomstpolicyn. Om det inte finns formell segmentering men väl en praktisk uppdelning — till exempel ett separat wifi-nätverk för gäster utan åtkomst till interna system — är det ofta tillräckligt för att besvara frågan med en förklaring i stället för ett enkelt "nej". Tveksamhet föreligger främst för mindre nätverk utan VLAN eller zoner: då är svaret vanligtvis "nej" eller "delvis", och det är ingen problem att fylla i så.

Kan spåras tillbaka till Bilaga A i ISO 27001 och artikel 21.2 i NIS2

Om ett företag är ISO 27001-certifierat har det vanligtvis redan implementerat segmentering genom kontrollåtgärderna i Bilaga A om nätverkssäkerhet; om så inte är fallet kan frågan spåras tillbaka till de tio åtgärderna i artikel 21.2 i NIS2, som också kommer att gälla för den nederländska marknaden tillsammans med cybersekerhetslag. För fullständighetens skull: huruvida företaget själv omfattas av NIS2 eller den nationella genomförandet är en separat fråga — segmentering kan också vara relevant utan denna förpliktelse, helt enkelt för att en kund bedömer den som leverantörsrisk.