sprašujejo, ali je naša poslovnodatovna mreža razdeljena na segmente

Segmentacija omrežja je del politike dostopa, ne kriptografije

Segmentacija je v praksi navadno del ukrepov za zavarovanje dostopa in upravljanje sredstev, ne ločene rubrике. Vprašanje preverja, ali ste razdelili svoje omrežje na cone — na primer pisarniško avtomatizacijo, proizvodno okolje, gostvujočo omrežje in OT, ločeno med seboj — tako da se okužba v enem segmentu ne razširi samodejno na drugega. Konkreten dokaz je omrežni diagram z VLAN-i ali podmrežami, pravila požarnega zidu, ki omejujejo promet med segmenti, ter kratek opis oblikovalskega načela (na primer "ravno omrežje" ali "na območjih temelječe"). Če je to prisotno, je "da" s tem diagramom kot dokazom sprejemljiv odgovor.

Če segmentacija manjka ali je omrežje večinoma ravno samo s nekaj VLAN-i v obliko, je "ne" s krajšo razlago честneejša kot "da", ki pri reviziji ne bo zdržal. Če se dvomiš, ali tvoj lasten odgovor o politiko dostopa in upravljanje sredstev podjetja že vključuje segmentacijo — pogosto se to kombinira v en odgovor, ker je inventar sredstev temelj, na katerega narišeš meje segmentacije. Prav tako je pomembno, ali je segmentacija posebej omenjena v tvoji politiki za analizo tveganja, ker se tam navadno obrazloži, zakaj določeni sistemi stojijo ločeno.

Kje je to v desetih ukrepih

Segmentacija omrežja ni ločena točka v členu 21 odstavek 2 Direktive NIS2, ampak je tam implicitno zajeta v ukrepih za zavarovanje dostopa (točka i) in upravljanjem sredstev v okviru upravljanja tveganja (točka a). V ISO/IEC 27001 Annex A jo izrecno najdeš med kontrolami za zavarovanje omrežja, kjer je segmentacija navedena kot nadzorna ukrepa za ločevanje omrežij na osnovi ravni zaupanja. Če sam spadaš pod Zakon o kibernetski varnosti kot subjekt, ki spada pod Direktivo NIS2 ali nacionalno njeno izvršitev, je segmentacija navadno del ocene tveganja, ki jo moraš že tako dokumentirati.