chiedono se la nostra rete aziendale è suddivisa in segmenti

La segmentazione di rete è parte della politica di accesso, non della crittografia

La segmentazione in pratica di solito rientra nelle misure di protezione dell'accesso e della gestione degli asset, non sotto una voce separata. La domanda verifica se avete diviso la rete in zone — ad esempio automazione d'ufficio, ambiente di produzione, rete ospiti e OT separati l'uno dall'altro — in modo che un'infezione in un segmento non si propaghi automaticamente all'altro. La prova concreta è un diagramma di rete con VLAN o subnet, regole firewall che limitano il traffico tra segmenti, e una breve spiegazione del principio di progettazione (ad esempio "flat network" versus "zone-based"). Se presente, un "sì" con quel diagramma come prova è una risposta sostenibile.

Se manca la segmentazione, o la rete è per lo più piatta con solo alcune VLAN per forma, allora un "no" con una breve spiegazione è più onesto di un "sì" che non reggerà a un audit. Se dubiti che la vostra risposta su la politica di accesso e la gestione dei beni aziendali includa già tutta la segmentazione — spesso viene combinata in una sola risposta, perché l'inventario degli asset è la base su cui tracciate i confini della segmentazione. Rilevante è anche se la segmentazione è specificamente menzionata nella vostra politica di analisi dei rischi, perché di solito è dove viene motivato il motivo per cui determinati sistemi sono separati.

Dove questo è tra le dieci misure

La segmentazione di rete non è un punto separato nell'articolo 21, paragrafo 2 della direttiva NIS2, ma vi è coperta implicitamente dalle misure di protezione dell'accesso (parte i) e dalla gestione degli asset nell'ambito della gestione dei rischi (parte a). Nell'ISO/IEC 27001 Allegato A la si ritrova esplicitamente tra le misure di controllo della sicurezza di rete, dove la segmentazione è menzionata come controllo per separare le reti in base al livello di fiducia. Se siete soggetti alla legge sulla sicurezza informatica come entità soggetta alla direttiva NIS2 o al suo recepimento nazionale la segmentazione di solito fa parte della valutazione dei rischi che dovete comunque documentare.