питат дали нашата корпоративна мрежа е разделена на сегменти

Сегментирането на мрежата е част от политиката за контрол на достъпа, а не от криптографията

Сегментирането на практика обикновено попада под мерките за защита на достъпа и управление на активите, а не под отделен раздел. Въпросът тества дали сте разделили мрежата си на зони — например автоматизация на офиса, производствена среда, гостна мрежа и OT отделени един от друг — така че заразяване в един сегмент да не се разпространява автоматично на другия. Конкретно доказателство е мрежова диаграма с VLAN-и или подмрежи, правила на защитната стена, които ограничават трафика между сегментите, и кратко обяснение на принципа на проектирането (например "плоска мрежа" срещу "базирана на зони"). Ако го има, "да" с тази диаграма като доказателство е издържано отговор.

Ако сегментирането липсва или мрежата е главно плоска само с няколко VLAN-и за формата, тогава "не" с кратко обяснение е по-честно отколкото "да", което не издържа при одит. Ако се колебаеш дали вашият собствен отговор политиката за достъп и управлението на активите вече включва сегментирането — често се комбинира в един отговор, защото инвентаризацията на активите е основата, върху която се определят границите на сегментирането. Също е уместно дали сегментирането е специално посочено в политиката си за анализ на риска, защото там обикновено се обяснява защо определени системи стоят отделно.

Където това е в десетте мерки

Сегментирането на мрежата не е отделен пункт в член 21 параграф 2 на директивата NIS2, но се обхваща имплицитно от мерките за контрол на достъпа (част i) и управление на активите в управлението на риска (част a). В ISO/IEC 27001 Приложение A се предвижда експлицитно в мерките за контрол за мрежова безопасност, където сегментирането е посочено като контролна мярка за разделяне на мрежи въз основа на ниво доверие. Ако подлягаш на Закона за кибербезопасност като субект, който подлежи на Директива NIS2 или национално й прилагане попада, то сегментирането обикновено е част от оценката на риска, която всичко трябва да документирате.