pytają, czy nasza sieć biznesowa jest podzielona na segmenty

Segmentacja sieci jest częścią polityki dostępu, a nie kryptografii

Segmentacja w praktyce zwykle znajduje się w ramach środków bezpieczeństwa dostępu i zarządzania zasobami, a nie pod osobnym nagłówkiem. Pytanie sprawdza, czy podzieliliście sieć na strefy — na przykład automatyzację biurową, środowisko produkcyjne, sieć gościnną i OT oddzielone od siebie — aby infekcja w jednym segmencie nie rozprzestrzeniała się automatycznie na inny. Konkretnym dowodem jest schemat sieci z sieciami VLAN lub podsieciami, reguły zapory sieciowej ograniczające ruch między segmentami oraz krótkie wyjaśnienie zasady projektowania (na przykład "flat network" w stosunku do "zone-based"). Jeśli to istnieje, "tak" z tym schematem jako dowodem jest uzasadnioną odpowiedzią.

Jeśli segmentacja jest nieobecna lub sieć jest w dużym stopniu płaska, a jedynie kilka sieci VLAN dla pozoru, wtedy "nie" z krótkim wyjaśnieniem jest bardziej uczciwe niż "tak", które nie wytrzyma audytu. Jeśli wątpisz, czy wasza własna odpowiedź na temat polityki dostępu i zarządzania zasobami przedsiębiorstwa już obejmuje segmentację — często jest to połączone w jedną odpowiedź, ponieważ inwentaryzacja zasobów stanowi podstawę, na której rysujecie granice segmentacji. Istotne jest również to, czy segmentacja jest wyraźnie wymieniona w waszej polityce analizy ryzyka, ponieważ to zwykle uzasadnia, dlaczego określone systemy są oddzielone.

Gdzie to znajduje się w dziesięciu środkach

Segmentacja sieci nie jest osobnym punktem w artykule 21 ust. 2 dyrektywy NIS2, ale jest tam uwzględniona w sposób domniemany przez środki bezpieczeństwa dostępu (część i) i zarządzanie zasobami w ramach zarządzania ryzykiem (część a). W ISO/IEC 27001 Załączniku A jest wyraźnie wymieniona wśród kontroli bezpieczeństwa sieci, gdzie segmentacja jest wymieniana jako kontrola mająca na celu rozdzielenie sieci na podstawie poziomu zaufania. Jeśli podlegasz Ustawie o bezpieczeństwie cybernetycznym jako jednostce podlegającej dyrektywie NIS2 lub krajowej transpozycji , segmentacja zwykle jest częścią oceny ryzyka, którą i tak musisz udokumentować.