he kysyy, onko yrityksemme liikeverkkosi jaettu segmentteihin

Verkon segmentointi on osa pääsynhallintaa, ei salausta

Segmentointi on käytännössä yleensä pääsynsuojaustoimenpiteiden ja omaisuudenhallinnon osana, ei erillisen otsikon alla. Kysymys testaa, ovatko jakaneet verkkonne alueiksi — esimerkiksi toimistoautomaatio, tuotantoympäristö, vierasverkko ja OT eristettyinä toisistaan — niin ettei tartunta yhdessä segmentissa leviä automaattisesti toiseen. Konkreettinen todiste on verkkokaavio VLAN-verkoilla tai aliverkoilla, palomuurisäännöt, jotka rajoittavat liikennettä segmenttien välillä, ja lyhyt selitys suunnitteluperiaatteesta (esimerkiksi "flat network" versus "zone-based"). Jos se on olemassa, on "kyllä" kyseisen kaavion todistusaineistona kestävä vastaus.

Jos segmentointi puuttuu tai verkko on enimmäkseen tasainen ja vain joitain VLAN-verkkoja muodon vuoksi, on "ei" lyhyellä selityksellä rehellisempi kuin "kyllä", joka ei kestä auditointia. Jos olet epävarma omasta vastauksestasi segmentoinnista pääsynhallintaan ja yritysvarojen hallintaan se otetaan usein yhteen vastaukseen, koska omaisuusvaraston inventointi on perusta, jolle segmentointirajoitukset vedetään. Myös se on merkittävää, mainitaanko segmentointi nimenomaisesti riskianalyysin käytännössä, koska siellä perusteltu yleensä, miksi tietyt järjestelmät ovat erillään.

Missä tämä on kymmenen toimenpiteen joukossa

Verkon segmentointi ei ole erillinen kohta NIS2-direktiivin 21 artiklan 2 kohdassa, vaan se katetaan siinä implisiittisesti pääsynhallinnan toimenpiteillä (alakohta i) ja omaisuudenhallinnolla riskienhallinnassa (alakohta a). ISO/IEC 27001 Annex A:ssa se löytyy nimenomaisesti verkkoturvallisuuden hallintotoimenpiteiden osalta, joissa segmentointi mainitaan hallintotoimenpiteenä verkkojen erottamiseksi luottamustason perusteella. Jos kuulut itse Kyberturvallisuuslakiin joiksi NIS2-direktiivin tai kansallisen täytäntöönpanon alaiset yksiköt segmentointi on yleensä osa jo dokumentoitavaa riskinarviointia.