Čo vyplním pri otázke o segmentácii siete

Segmentácia siete: technické oddelenie medzi systémami

Touto otázkou chce klient vedieť, či je sieť rozdelená do oddelených zón tak, aby sa infekcia v jednej časti nemohla voľne šíriť do produkčných systémov, finančných systémov alebo údajov zákazníkov v inej časti. Myslite na oddelená hosťovskú sieť, samostatný segment pre OT/produkčné zariadenia alebo oddelenie medzi testovacím a produkčným prostredím pomocou firewalls alebo VLAN medzi nimi. Odpoveď "áno" je obranyhodná, ak je toto oddelenie preukázateľne prítomné a nie len na papieri — klient sa na to často pýta práve po malwareovom incidente iného dodávateľa v reťazci, kde by segmentácia mohla obmedziť šírenie ransomvéru.

Ak podnik nemá formálnu segmentáciu, je lepšia odpoveď "nie" s krátkou poznámkou ako vyplnené "áno" bez dôkazov: napríklad že kritické systémy stoja fyzicky oddelené, alebo že segmentácia je zaradená v pláne na budúci kvartál. Segmentácia často súvisí so širšou politikou prístupu a správou podnikových prostriedkov: kto má prístup do ktorého segmentu a ako sa to presadzuje. Prepojenie s procesom na správu zraniteľností je tiež logické, pretože segmentácia sa často spomína ako kompenzačné opatrenie, ak oprava ešte nebola nasadená.

Pokiaľ to vyplýva z desiatich opatrení

Segmentácia siete patrí medzi opatrenia na bezpečnosť siete a informačných systémov podľa článku 21 odsek 2 smernice NIS2 a je uvedená ako špecifické bezpečnostné opatrenie v Prílohe A normy ISO/IEC 27001. V Holandsku vyplýva povinnosť pre subjekty spadajúce pod smernicu zo Zákona o kybernetickej bezpečnosti, ktorý vstúpi do platnosti 15. augusta 2026; do tej doby sa klient na to môže pýtať v zozname otázok ako súčasť vlastného posúdenia reťazca, bez toho, aby to predstavovalo právnu povinnosť pre samotného dodávateľa.