Segmentarea rețelei: cum limitezi daunele dintr-un breach

O întrebare pe care puține companii și-o pun înainte de un incident: dacă un singur laptop din rețea ar fi compromis chiar acum, la ce altceva ar avea acces automat atacatorul? Într-o rețea plată — fără segmentare — răspunsul e, de obicei, "la aproape tot".

Ce este segmentarea de rețea

Împărțirea rețelei companiei în zone logice separate, fiecare cu propriile reguli de acces: rețeaua pentru angajați, separată de cea pentru servere critice, separată de cea pentru dispozitive IoT sau vizitatori. Comunicarea între zone este permisă doar explicit, acolo unde e strict necesară, nu implicit.

De ce contează atât de mult

Dacă un atac de tip phishing compromite laptopul unui angajat din departamentul de marketing, segmentarea corectă înseamnă că acel dispozitiv nu are niciun fel de acces direct la serverele financiare sau la baza de date de clienți. Atacatorul rămâne izolat în zona compromisă, iar echipa IT are timp să detecteze și să reacționeze înainte de mișcarea laterală către sisteme critice.

Cum arată, concret, o segmentare bine făcută

VLAN-uri separate pentru diferite departamente și tipuri de dispozitive.

Reguli de firewall între segmente, nu doar la perimetrul extern al rețelei.

Acces „least privilege" — fiecare segment are acces doar la resursele strict necesare funcției sale, nimic în plus.

Rețea separată pentru dispozitive IoT și vizitatori, izolată complet de infrastructura critică.

Un beneficiu suplimentar: conformitatea

Multe cerințe de conformitate, inclusiv NIS 2, cer explicit izolarea sistemelor critice de restul infrastructurii. Segmentarea nu e doar o măsură de securitate — este adesea o cerință de conformitate documentată.

O arhitectură de rețea la nivel enterprise integrează segmentarea de la proiectare, nu ca o corecție ulterioară complicată de aplicat peste o rețea deja existentă.