enkäten frågar efter brandvägg och nätverkssegmentering hur svarar jag

Brandvägg och segmentering faller under åtkomstpolicy

Frågan om brandvägg och nätverkssegmentering är en konkretisering av artikel 21 stycke 2 punkt i NIS2: åtkomstkontroll och hantering av tillgångar. Segmentering är inte en isolerad åtgärd utan beviset på att nätverkszoner är åtskilda — produktionsmiljö separat från kontorsautomation, gästnätverk separat från intern trafik. Den som redan har ett svar på detta från åtkomstpolicynkan återanvända det svaret i stor omfattning: frågeformuläret frågar i andra ordalag efter samma kontroll.

Konkret bevis är vanligtvis ett nätverksdiagram med zonerna markerade, en brandvägg-regeluppsättning (eller en sammanfattning av denna, utan känslig information) och ett datumsätt på den senaste granskningen. Om detta saknas är "nej, ännu inte formaliserat" ett giltigt svar — bättre än ett "ja" utan underlag. Segmentering är ofta kopplat till sårbarhetshantering: ett väl segmenterat nätverk begränsar också hur långt en opatchad sårbarhet kan sprida sig. Den som redan har beskrivit denna process i svaret om sårbarheterkan hänvisa dit som komplement, inte som ersättning.

Var det finns i riktlinjen och normen

Artikel 21 stycke 2 punkt i NIS2 nämner åtkomstkontrollpolicy och hantering av tillgångar som en av tio obligatoriska åtgärder; nätverkssegmentering nämns inte explicit, men är det vanliga tekniska sättet att implementera det. ISO/IEC 27001 bilaga A utvecklar detta vidare under kontrollåtgärder för nätverkssäkerhet, där segmentering nämns som en exempelåtgärd. I Sverige går detta parallellt med implementeringen av NIS2 — tills dess är direktivet själv texten att återfalla på vid tvivel om exakt formulering.