ce completez la întrebarea despre segmentarea rețelei

Segmentarea rețelei: separare tehnică între sisteme

În această întrebare, clientul dorește să cunoască dacă rețeaua este împărțită în zone separate, astfel încât o contaminare într-o parte să nu se poată răspândi liber către sistemele de producție, sistemele financiare sau datele clienților dintr-o altă parte. Gândiți-vă la o rețea de oaspeți separată, un segment distinct pentru echipamentele OT/producție, sau separare între mediul de testare și mediul de producție cu firewall-uri sau VLAN-uri între ele. Un "da" este justificabil dacă acea separare există demonstrabil și nu doar pe hârtie — clientul pun adesea această întrebare tocmai după un incident de malware la un alt furnizor din lanț, unde segmentarea ar fi putut limita răspândirea ransomware.

Dacă întreprinderea nu are segmentare formală, atunci un "nu" cu o scurtă explicație este mai bun decât un "da" completat fără dovezi: de exemplu, că sistemele critice sunt într-adevăr separate din punct de vedere fizic, sau că segmentarea este pe foaia de parcurs pentru trimestrul următor. Segmentarea este adesea legată de politica de acces mai largă și de gestionarea activelor de afaceri politica de acces și gestionarea activelor de afaceri: cine poate accesa ce segment și cum se aplică acest lucru. De asemenea, o legătură cu procesul de gestionare a vulnerabilităților este logică, deoarece segmentarea este adesea menționată ca măsură compensatorie atunci când o reparație nu a fost încă implementată.

Unde rezultă din cele zece măsuri

Segmentarea rețelei se încadrează în măsurile de protecție a rețelei și sistemelor de informații din articolul 21 alineat 2 al Directivei NIS2, și este enumerată ca măsură de control specifică în Anexa A a ISO/IEC 27001. În Olanda, obligația pentru entitățile care cad sub incidența directivei rezultă din Legea privind securitatea cibernetică, care intră în vigoare pe 15 august 2026; până la acea dată, un client poate deja să pună o întrebare în acest sens într-o listă de verificare ca parte a propriei sale evaluări a lanțului, fără ca aceasta să constituie o obligație legală pentru furnizorul însuși.