o que preencho na pergunta sobre segmentação de rede

Segmentação de rede: separação técnica entre sistemas

Nesta pergunta, o cliente quer saber se a rede está dividida em zonas separadas, de modo que uma infecção numa parte não possa propagar-se livremente para sistemas de produção, sistemas financeiros ou dados de clientes noutra parte. Pense numa rede de convidados separada, num segmento específico para equipamento OT/produção, ou separação entre ambiente de teste e produção com firewalls ou VLAN's entre elas. Um "sim" é defensável se essa separação existir de forma comprovável e não apenas no papel — o cliente frequentemente faz esta pergunta precisamente após um incidente de malware noutro fornecedor na cadeia, onde a segmentação poderia ter limitado a propagação de ransomware.

Se a empresa não tem segmentação formal, então um "não" com uma breve explicação é melhor do que um "sim" preenchido sem prova: por exemplo, que sistemas críticos estão de facto separados fisicamente, ou que a segmentação está prevista no plano para o próximo trimestre. A segmentação está frequentemente relacionada com o contexto mais amplo política de acesso e gestão de ativos: quem pode aceder a qual segmento e como isso é executado. Também uma ligação com o processo de gestão de vulnerabilidades é lógico, porque a segmentação é frequentemente mencionada como medida compensatória quando um patch ainda não foi implementado.

Onde isso decorre das dez medidas

A segmentação de rede enquadra-se nas medidas de segurança de rede e de sistemas de informação do artigo 21.º, n.º 2 da Diretiva NIS2, e é mencionada como medida de controlo específica no Anexo A da ISO/IEC 27001. Nos Países Baixos, a obrigação para as entidades abrangidas pela diretiva decorre da Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026; até essa data, um cliente pode já questionar sobre isso num questionário como parte da sua própria avaliação da cadeia de fornecimento, sem que isso implique uma obrigação legal para o próprio fornecedor.