nad küsivad, kas meie ettevõtte võrk on segmenteeritud

Võrgusegmenteerimine on juurdepääsupoliitika osa, mitte krüptograafia osa

Segmenteerimine asub praktikas tavaliselt juurdepääsu turvameetmete ja varade haldustingimuste all, mitte eraldi peatüki all. Küsimus testib, kas olete oma võrgu tsoonideks jaganud — näiteks kontoriautomatiseeringut, tootmiskeskkonda, külalisvõrku ja OT-d üksteisest eraldades —, et nakkus ühes segmendis ei leviks automaatselt teise segmendi juurde. Konkreetne tõend on võrguskeemid koos VLAN-idega või alamvõrkudega, firewall-reeglid, mis piiravad liiklust segmentide vahel, ja lühike selgitus projekteerimisprintsiibile (näiteks "tasapinnaline võrk" versus "tsoonipõhine"). Kui see olemas on, on "jah" koos selle skeemiga tõendina vastus, mis on kaitstav.

Kui segmenteerimine puudub või on võrk suures osas tasapinnaline, kusjuures vaid mõned VLAN-id on vormide pärast olemas, siis on "ei" lühikese selgitusega ausam kui "jah", mis auditimisel ei peab vastu. Kui kahtled, kas teie oma vastus segmenteerimise kohta juurdepääsupoliitikat ja IT-varade haldust juba sisaldab — sageli kombineeritakse see ühes vastuses, sest varade loetelu on aluseks, millele te segmenteerimise piire loote. Asjakohane on ka see, kas segmenteerimist mainitakse konkreetselt teie riski­analüüsi poliitikas, sest seal põhjendatakse tavaliselt, miks teatud süsteemid eraldi asuvad.

Kus see kümne meetme seas asub

Võrgusegmenteerimine ei ole NIS2-direktiivi artikli 21 lõike 2 eraldi punkt, kuid seda käsitletakse seal kaudselt juurdepääsu turvameetmete (osa i) ja varade haldustingimuste kaudu riskijuhtimise raames (osa a). ISO/IEC 27001 lisa A-s on see selgelt leidav võrguturvameetmete kontroll­abinõude all, kus segmenteerimist mainitakse võrgute eraldamise kontrolli­abinõuna usaldustaset arvestades. Kui kuulute ise küberturvalisuse seaduse alla kui NIS2-direktiivi või rahvuslikule rakendamisele kuuluvale üksusele, siis on segmenteerimine tavaliselt riski­hindamise osa, mida peate juba dokumenteerima.