vprašalnik sprašuje, ali je naše omrežje segmentirano, kaj to pomeni

Segmentacija omrežja spada pod politiko dostopa, ne pod samostojni ukrep

Segmentacija omrežja kot takšna ni posebna beseda v členu 21(2) direktive NIS2. Spada pod širši ukrep kontrole dostopa in varnosti sistemov — isto kategorijo, kamor spada tudi politiko dostopa in upravljanje sredstev podjetja . V praksi se s tem vprašanjem oseba ptiče: ali lahko nekdo, ki vstopi v omrežje za goste ali prek hekanega tiskalnika, preprosto dostopa do produkcijskega okolja ali sistemov za upravljanje kadrov? Segmentacija pomeni, da je omrežje razdeljeno na ločene cone, z lastnimi pravili dostopa med temi conami.

Če obstaja segmentacija, je dokazilo ponavadi shema omrežja ali kratek opis con (pisarne, proizvodnja, gosti, demilitarizirano območje) in pravil med njimi — pogosto zapisano v konfiguraciji požarnega zidu ali v sami politiki dostopa. Če ni formalne segmentacije, obstaja pa praktična ločitev — na primer ločeno brezžično omrežje za goste brez dostopa do notranjih sistemov — je to pogosto že dovolj, da vprašanje odgovorite s pojasnilom namesto s suhim »ne«. Dvom obstaja predvsem pri manjših omrežjih brez VLAN-ov ali con: takrat je odgovor ponavadi »ne« ali »delno«, in to ni težava, da tako izpolnite.

Sledljivo na Prilogo A standarda ISO 27001 in člen 21(2) direktive NIS2

Če je organizacija certificirana po ISO 27001, ima segmentacijo ponavadi že izvajanja prek nadzornih ukrepov v Prilogi A o varnosti omrežja; če to ne drži, je mogoče vprašanje slediti deseti ukrepe člena 21(2) direktive NIS2, ki bodo s Cybersecurity Act veljali tudi na področju Nizozemske. Za popolnost: ali podjetje samo spada pod NIS2 ali njeno nacionalno implementacijo je drugo vprašanje — segmentacija je lahko relevantna tudi brez te obveznosti, zato ker jo naročnik ocenjuje kot tveganje dobavitelja.