Netwerksegmentatie

Netwerksegmentatie betekent uw netwerk opdelen in delen die niet zomaar bij elkaar kunnen. Het is de maatregel die bepaalt of een incident beperkt blijft tot één werkplek of uitgroeit tot uw hele organisatie.

Waarom dit zoveel oplevert

Bij vrijwel elke grote aanval is het patroon hetzelfde: één werkplek raakt besmet, en van daaruit kan de aanvaller bij alles. Niet omdat hij zo knap is, maar omdat alles met alles kon praten. Segmentatie doorbreekt dat.

Het is bovendien een van de weinige maatregelen die niet afhangt van menselijk gedrag. Training helpt, maar iemand klikt uiteindelijk. Segmentatie beperkt de gevolgen ongeacht wie er klikte.

Welke zones logisch zijn

Die laatste rij wordt vaak vergeten. Slimme apparaten, camera's en printers hangen zelden aan een beheersysteem en worden nooit bijgewerkt.

Hoe u begint zonder alles te verbouwen

1. Breng in kaart wat er staat. U kunt niet scheiden wat u niet kent.
2. Haal er eerst één ding uit. Het gastennetwerk of de camera's, want daar zit vrijwel nooit een noodzakelijke verbinding.
3. Scheid daarna beheer. De beheeromgeving en back-ups los van de werkplekken is de stap met het grootste effect.
4. Beperk verkeer tussen zones tot wat aantoonbaar nodig is, en leg vast waarom elke doorgang bestaat.
5. Controleer periodiek of er geen doorgangen zijn bijgekomen die niemand meer kent.

U hoeft dit niet in één project te doen. Elke stap levert direct risicoreductie op, ook als de rest nog niet af is.

De valkuil van tijdelijke doorgangen

Bij vrijwel elke gesegmenteerde omgeving zitten na een paar jaar doorgangen die ooit tijdelijk waren voor een migratie of een leverancier, en die nooit zijn dichtgezet. Houd daarom een register bij van elke verbinding tussen zones: wie vroeg erom, waarom, en tot wanneer.

Verhouding tot NIS2

Segmentatie wordt niet met zoveel woorden genoemd in de wet, maar volgt vrijwel altijd uit de risicoanalyse. Het is bovendien de maatregel waar toezichthouders naar vragen zodra er oude systemen in het spel zijn die niet te patchen zijn. Zie maatregel 5.

Wat het kost aan tijd

Segmentatie is geen project dat u in één weekend afrondt, maar dat is ook niet nodig. De eerste stap, het gastennetwerk of de camera's afzonderen, is meestal in een dag geregeld als de apparatuur het al ondersteunt. Beheer en back-ups scheiden van de rest kost meer voorbereiding: reken op enkele weken om in kaart te brengen wat er precies met wat moet kunnen praten, en dan een paar dagen om de wijziging door te voeren buiten kantooruren. Doe dit gefaseerd, niet in één keer; elke afgeronde zone is direct winst, ook als de rest nog moet volgen.

Wat er in de praktijk misgaat

• Segmentatie op papier, niet in de configuratie. Er staat een mooi netwerkschema, maar de firewallregels zijn ruimer dan het schema laat zien omdat niemand de oude regels heeft opgeruimd.
• Eén brede regel "alles mag naar beheer". Vaak ontstaan tijdens een storing, als snelle oplossing, en daarna nooit teruggedraaid.
• Productiesystemen die worden vergeten. Machines en meetapparatuur draaien vaak op oude software die niet te patchen is, en juist die horen het strengst afgeschermd te zijn.
• Geen eigenaar per doorgang. Een verbinding tussen twee zones bestaat zonder dat iemand kan zeggen waarom, wat betekent dat niemand hem durft weg te halen.

Verschil per organisatiegrootte

Een klein kantoor met een handvol werkplekken en een server heeft vaak genoeg aan drie zones: werkplekken, server, en beheer, met de gasten en slimme apparaten er los van. Een organisatie met productie of meerdere locaties heeft al snel een extra laag nodig voor techniek en besturing, en die vraagt meer overleg omdat storingen daar directe bedrijfsschade betekenen. Betrek dan degene die de machines beheert vóór u iets aanpast, want een verkeerd afgesloten poort kan een productielijn stilleggen.

Hoe u het aantoonbaar maakt

Houd een actueel netwerkschema bij met de zones en waarom ze gescheiden zijn, plus een overzicht van elke doorgang tussen zones met de reden erbij. Dat is wat een pentest als eerste opvraagt en wat een toezichthouder wil zien als bewijs dat segmentatie niet alleen bedoeld maar ook uitgevoerd is. Koppel dit aan uw risicoanalyse: welke zone beschermt welk risico, dan is de indeling ook inhoudelijk te verantwoorden binnen de zorgplicht.

De relatie met een aanval

Segmentatie is de reden waarom een besmetting bij de een beperkt blijft tot één werkplek en bij de ander de hele organisatie platlegt. Zie ransomware voor hoe dat scenario zich in de praktijk ontvouwt en waarom die eerste scheiding daar het verschil maakt tussen een vervelend voorval en een crisis.

Veelgestelde vragen

Hebben wij hier iets aan met twintig medewerkers?

Ja. Zelfs een scheiding tussen werkplekken, servers en beheer beperkt de gevolgen van een besmetting aanzienlijk.

Is een apart gastennetwerk genoeg?

Dat is een goede eerste stap, maar het beschermt niet tegen een besmette werkplek van een eigen medewerker.

Kost dit nieuwe apparatuur?

Vaak niet. De meeste zakelijke netwerkapparatuur ondersteunt segmentatie al; het zit meestal in de inrichting en niet in de aanschaf.

Wat als een oud systeem echt overal bij moet?

Beperk dan wat er naar dat systeem toe mag in plaats van wat het systeem zelf mag, en log alles wat ernaartoe gaat.

Hoe lang duurt het om volledig te segmenteren?

Voor de kern van een gemiddelde mkb-omgeving meestal enkele maanden gefaseerd, zonder dat u de dagelijkse werkzaamheden hoeft te onderbreken.

Wat wil een toezichthouder hier concreet over zien?

Een actueel netwerkschema, een overzicht van doorgangen tussen zones met reden, en bewijs dat u dat periodiek controleert.

Moeten wij dit in één keer voor de hele organisatie doen?

Nee. Begin bij de zone met het grootste risico of het makkelijkste effect, en breid daarna uit.

Is een firewall alleen niet genoeg?

Een firewall aan de buitenkant houdt aanvallers van buiten tegen. Segmentatie beperkt wat er gebeurt zodra iemand toch binnen is, en dat is een ander risico.