preguntan si nuestra red empresarial está segmentada

La segmentación de redes es parte de la política de acceso, no de la criptografía

La segmentación en la práctica generalmente se encuentra bajo las medidas de seguridad de acceso y gestión de activos, no bajo un apartado separado. La pregunta evalúa si han dividido la red en zonas — por ejemplo, automatización de oficinas, entorno de producción, red de invitados y OT separados entre sí — de modo que una infección en un segmento no se propague automáticamente a otro. La prueba concreta es un diagrama de red con VLAN o subredes, reglas de firewall que limiten el tráfico entre segmentos, y una breve explicación del principio de diseño (por ejemplo, "red plana" frente a "basada en zonas"). Si existe eso, es un "sí" con ese diagrama como prueba una respuesta sostenible.

Si falta la segmentación, o la red es en gran medida plana con solo algunas VLAN de carácter formal, entonces un "no" con una breve explicación es más honesto que un "sí" que no se mantendría en una auditoría. Si duda sobre su propia respuesta sobre la política de acceso y la gestión de activos si la segmentación ya se incluye — a menudo se combina en una sola respuesta, porque el inventario de activos es la base sobre la que se trazan los límites de segmentación. También es relevante si la segmentación se menciona específicamente en su política de análisis de riesgos, ya que normalmente se justifica ahí por qué ciertos sistemas están separados.

Dónde está esto en las diez medidas

La segmentación de redes no es un punto separado en el artículo 21, apartado 2, de la Directiva NIS2, pero se cubre implícitamente en las medidas de seguridad de acceso (apartado i) y gestión de activos dentro de la gestión de riesgos (apartado a). En ISO/IEC 27001 Anexo A se encuentra explícitamente bajo las medidas de control para la seguridad de redes, donde la segmentación se menciona como una medida de control para separar redes en función del nivel de confianza. Si usted mismo está sujeto a la Ley de Ciberseguridad como entidad que cae bajo la Directiva NIS2 o su transposición nacional entonces la segmentación generalmente es parte de la evaluación de riesgos que de todas formas debe documentar.