pytają, jak jest zabezpieczona nasza sieć Wi-Fi w biurze

Bezpieczeństwo sieci Wi-Fi przypada na politykę dostępu, a nie na osobne pytanie

Pytanie o bezpieczeństwo sieci Wi-Fi jest zwykle konkretyzacją szerszego pytania: jak przedsiębiorstwo reguluje dostęp do swoich systemów i zasobów biznesowych. Samodzielna odpowiedź na temat "WPA3" lub "oddzielonej sieci gościnnej" jest w porządku, ale w dossier powinna właściwie figurować jako część polityce dostępu, w tym zarządzaniu zasobami przedsiębiorstwa. Urządzenia sieciowe — routery, punkty dostępu, przełączniki — są zasobem biznesowym, a sposób, w jaki są zarządzane (polityka haseł, aktualizacje oprogramowania układowego, segmentacja gości i pracowników), jest dokładnie tym, co to pytanie testuje.

Zazwyczaj odpowiadasz konkretnymi trzema elementami: używanym protokołem szyfrowania (WPA2-Enterprise lub WPA3), czy goście i pracownicy znajdują się w oddzielonych sieciach, oraz kto jest odpowiedzialny za zarządzanie punktami dostępu. Jeśli nie masz formalnie ustalonej polityki Wi-Fi, ale masz sprawdzającą się praktykę — np. dostawca IT, który to zarządza — odpowiadasz na podstawie tej praktyki i odsyłasz do niej w dossier. Jeśli brakuje zarówno polityki, jak i wskazywalnej praktyki, to "nie" lub "częściowo" jest uczciwa odpowiedzią; lista, w której brakuje danych dotyczących bezpieczeństwa, nie zapewnia zatwierdzenia, nawet w milczeniu.

Odnosiło się do Załącznika A i artykułu 21 ust. 2 dyrektywy NIS2

W ISO/IEC 27001 bezpieczeństwo sieci przypada na działania kontrolne z Załącznika A, szczególnie na kategorię regulującą kontrolę dostępu i segmentację sieci; audytor, który prosi o dowód, w praktyce często pyta o politykę Wi-Fi jako ilustrację tego szerszego działania. W dyrektywie NIS2, artykuł 21 ust. 2, kontrola dostępu i bezpieczeństwo sieci przypadają na dziesięć działań wymienionych tam, bez tego, że Wi-Fi wymieniane jest jako osobny punkt. Jeśli podlegasz samej dyrektywie lub polskiej jej transpozycji — to wynika z czy przedsiębiorstwo podlega dyrektywie NIS2 lub krajowej implementacji tej dyrektywy — to bezpieczeństwo sieci jest jednym z zagadnień, o których musisz być w stanie raportować, nawet jeśli prawo nie używa słowa "Wi-Fi".