ils demandent si notre réseau d'entreprise est segmenté

La segmentation du réseau fait partie de la politique d'accès, non de la cryptographie

La segmentation se trouve généralement en pratique parmi les mesures de sécurité d'accès et de gestion des actifs, non sous un chapitre distinct. La question teste si vous avez divisé votre réseau en zones — par exemple automatisation de bureau, environnement de production, réseau invité et OT séparés les uns des autres — de sorte qu'une contamination dans un segment ne se propage pas automatiquement à un autre. La preuve concrète est un diagramme réseau avec des VLAN ou des sous-réseaux, des règles de pare-feu qui limitent le trafic entre les segments, et une brève explication du principe de conception (par exemple « réseau plat » par rapport à « basé sur les zones »). Si cela existe, « oui » avec ce diagramme comme preuve est une réponse valable.

Si la segmentation est absente, ou si le réseau est largement plat avec seulement quelques VLAN pour la forme, alors « non » avec une brève explication est plus honnête qu'un « oui » qui ne tiendrait pas lors d'un audit. Si vous hésitez sur votre propre réponse concernant la politique d'accès et de la gestion des actifs la segmentation — souvent cela est combiné en une seule réponse, car l'inventaire des actifs est la base sur laquelle vous tracez les limites de segmentation. Il est également pertinent que la segmentation soit spécifiquement mentionnée dans votre politique d'analyse des risques, car c'est généralement là qu'est justifié pourquoi certains systèmes sont séparés.

Où cela figure dans les dix mesures

La segmentation du réseau n'est pas un point distinct à l'article 21, paragraphe 2, de la directive NIS2, mais elle est implicitement couverte par les mesures de sécurité d'accès (point i) et la gestion des actifs dans la gestion des risques (point a). Dans la norme ISO/IEC 27001, Annexe A, on la retrouve explicitement parmi les mesures de contrôle pour la sécurité du réseau, où la segmentation est nommée comme mesure de contrôle pour séparer les réseaux en fonction du niveau de confiance. Si vous-même êtes soumis à la Loi sur la cybersécurité en tant que entité relevant de la directive NIS2 ou de sa transposition nationale alors la segmentation fait généralement partie de l'évaluation des risques que vous devez déjà documenter.