que remplir à la question sur la segmentation réseau

Segmentation du réseau : séparation technique entre les systèmes

Pour cette question, le client souhaite savoir si le réseau est divisé en zones séparées, afin qu'une infection dans une partie ne puisse pas se propager librement vers les systèmes de production, les systèmes financiers ou les données clients dans une autre partie. Pensez à un réseau invités séparé, un segment distinct pour l'équipement OT/production, ou une séparation entre l'environnement de test et de production avec des pare-feu ou des VLAN entre eux. Une réponse « oui » est défendable si cette séparation existe de manière démontrable et non seulement sur le papier — le client pose souvent cette question précisément après un incident de malware chez un autre fournisseur de la chaîne, où la segmentation aurait pu limiter la propagation des ransomware.

Si l'entreprise n'a pas de segmentation formelle, alors « non » avec une brève explication est préférable à un « oui » rempli sans preuve : par exemple que les systèmes critiques sont bien séparés physiquement, ou que la segmentation est prévue au programme pour le trimestre à venir. La segmentation est souvent liée à la politique d'accès plus large politique d'accès et gestion des actifs: qui peut accéder à quel segment, et comment cela est appliqué. Un lien avec le processus de gestion des vulnérabilités est également logique, car la segmentation est souvent mentionnée comme mesure compensatoire lorsqu'un correctif n'a pas encore été déployé.

D'où cela provient parmi les dix mesures

La segmentation du réseau relève des mesures de sécurité des réseaux et des systèmes d'information prévues à l'article 21, paragraphe 2, de la directive NIS2, et est énumérée comme mesure de gestion spécifique en annexe A de l'ISO/IEC 27001. Aux Pays-Bas, l'obligation pour les entités couvertes par la directive découle de la Loi sur la cybersécurité, qui entre en vigueur le 15 août 2026 ; jusqu'à cette date, un client peut néanmoins déjà en poser la question dans un questionnaire en tant que partie de sa propre évaluation de la chaîne, sans que cela constitue une obligation légale pour le fournisseur lui-même.