viņi jautā, vai mūsu uzņēmuma tīkls ir sadalīts segmentos

Tīkla segmentācija ir piekļuves politikas daļa, nevis kriptogrāfijas daļa

Segmentācija praksē parasti atrodas piekļuves drošības un aktīvu pārvaldības pasākumu sadaļā, nevis atsevišķa virsraksta sadaļā. Jautājums pārbauda, vai jūs esat sadalījuši tīklu zonās — piemēram, biroja automatizācija, ražošanas vide, viesa tīkls un OT atdalīti viens no otra —, lai inficēšanās vienā segmentā neatplaisītu automātiski uz citu. Konkrēts pierādījums ir tīkla diagramma ar VLAN vai apakštīkliem, ugunsmūra noteikumi, kas ierobežo satiksmi starp segmentiem, un īss skaidrojums par dizaina principu (piemēram, "plakans tīkls" pret "uz zonām balstītu" pieņemšanu). Ja tas ir, "jā" ar šo diagrammu kā pierādījumu ir pieņemams atbilstošs atbildējums.

Ja segmentācija trūkst vai tīkls galvenokārt ir plakans ar tikai dažiem VLAN par formas labad, tad "nē" ar īsu paskaidrojumu ir godīgāks par "jā", kas audita laikā nespēj izturēt pārbaudi. Ja šaubies par savu paša atbildi par piekļuves politiku un uzņēmuma līdzekļu pārvaldi jau segmentāciju — bieži vien tas tiek apvienots vienā atbildē, jo aktīvu inventarizācija ir pamats, uz kura jūs izsekojat segmentācijas robežas. Nozīmīgi ir arī tas, vai segmentācija ir īpaši minēta jūsu riska analīzes politikā, jo tur parasti tiek pamatots, kāpēc noteiktas sistēmas atrodas atsevišķi.

Kur tas ir desmit pasākumos

Tīkla segmentācija nav atsevišķs punkts NIS2 direktīvas 21. panta 2. punktā, bet to netieši aptver piekļuves drošības pasākumi (i daļa) un aktīvu pārvaldība riska pārvaldībā (a daļa). ISO/IEC 27001 Annex A tas ir skaidri atrodams tīkla drošības kontroles pasākumos, kur segmentācija ir minēta kā kontroles pasākums tīkliem atdalīt, pamatojoties uz uzticamības līmeni. Ja jūs paši esiet subjekts, kas atbilst NIS2 direktīvai vai tās nacionālai ieviešanai tad segmentācija parasti ir daļa no riska novērtējuma, ko jūs jebkurā gadījumā jau dokumentējiet.