de frågar om vårt företagsnätverk är segmenterat

Nätverkssegmentering är en del av åtkomstpolicy, inte kryptering

Segmentering ligger i praktiken oftast under åtgärder för åtkomstskydd och tillgångshantering, inte under en separat rubrik. Frågan testar om ni har delat nätverket i zoner — till exempel kontorsautomation, produktionsmiljö, gästnätwerk och OT separerat från varandra — så att en infekterad del inte automatiskt sprids till en annan. Konkret bevis är ett nätverksdiagram med VLAN:er eller subnät, brandväggsregler som begränsar trafiken mellan segment, och en kort förklaring av designprincipen (till exempel "flat network" kontra "zone-based"). Om det finns, är "ja" tillsammans med diagrammet som bevis ett hållbart svar.

Om segmentering saknas, eller nätverket är mestadels platt med bara några VLAN:er för syns skull, är "nej" tillsammans med en kort förklaring mer ärligt än ett "ja" som inte håller under en revision. Om du är osäker på om ert eget svar om åtkomstpolicy och hantering av företagstillgångar redan omfattar segmentering — ofta kombineras det i ett svar, eftersom tillgångsinventering är grunden för var du drar segmenteringsgränser. Det är också relevant om segmentering specifikt nämns i er policy för riskanalys, för där motiveras vanligtvis varför vissa system är separerade.

Var detta finns i de tio åtgärderna

Nätverkssegmentering är ingen separat punkt i artikel 21 stycke 2 i NIS2-direktivet, men täcks där implicit av åtgärder för åtkomstskydd (del i) och tillgångshantering inom riskhantering (del a). I ISO/IEC 27001 Annex A återfinns det explicit under kontrollåtgärder för nätverkssäkerhet, där segmentering nämns som en kontrollansträngning för att separera nätverk baserat på förtroendenivå. Om du själv faller under cybersäkerhetslagen som enhet som omfattas av NIS2-direktivet eller den nationella implementeringen är segmentering vanligtvis en del av riskbedömningen som du redan måste dokumentera.