Hoe pas je netwerksegmentatie en zero trust toe voor NIS2?

Voor NIS2 combineer je netwerksegmentatie en zero trust: je gaat ervan uit dat je netwerk nooit helemaal veilig is en laat apparaten alleen met bepaalde delen van het netwerk communiceren. Begin met segmenten op basis van IP-bereiken en ga voor kritieke onderdelen door naar micro-segmentatie per applicatie of gebruikersgroep.

Wat heb je nodig voordat je begint met segmenteren?

Je hebt een actueel overzicht nodig van je netwerk, systemen en de functies die ze vervullen, plus een mandaat om het netwerk te mogen aanpassen. Daarnaast heb je een testomgeving of goede monitoring nodig, en het boek The NIS2 Navigator’s Handbook van Michiel Benda als leidraad voor de eisen.

Dit heb je dus klaar liggen:

• een inventaris van apparaten, applicaties en gebruikersgroepen, met per onderdeel de functie;
• een testomgeving, of de mogelijkheid om nieuwe segmenten uitgebreid te monitoren;
• inzicht in de context: NIS2 rekent zero-trust-principes tot de basic cyber hygiene (artikel 21(2g)).

Het resultaat van deze stap is een startpositie waarop je segmenten kunt ontwerpen in plaats van te gokken.

Stap 1: Waarom ga je ervan uit dat je netwerk onveilig is?

Zero trust vertrekt vanuit wantrouwen: ook binnen je eigen netwerk verwacht je onvoldoende beveiligde en mogelijk vijandige elementen. NIS2 vraagt om deze principes als onderdeel van basic cyber hygiene (artikel 21(2g)), en netwerksegmentatie is het passende antwoord op die aanname.

Het boek formuleert het zo: “Assume the network is always insecure: Even when you are working inside your own network, always expect that there are some elements that are insufficiently secure and potentially hostile.” Segmentatie is daarmee één van de vijf kernprincipes van zero trust. De andere vier zijn:

• uitgaan van een mogelijke inbreuk, ondersteund door monitoring en beproefde incidentafhandeling;
• locatie niet als betrouwbare factor zien, omdat IP-adressen te vervalsen zijn;
• sterke identiteitsverificatie, just-in-time en met meerdere factoren;
• monitoren over de hele omgeving en dynamisch reageren.

Het resultaat van deze stap is een vastgelegd uitgangspunt dat de rest van je ontwerp stuurt: geen vertrouwen op basis van “binnen het netwerk”.

Stap 2: Hoe segmenteer je je netwerk op basis van IP-bereiken?

Je verdeelt je netwerk in segmenten per doel, elk met een eigen IP-bereik, en laat apparaten alleen met bepaalde delen van het netwerk communiceren. Veel organisaties hebben hun netwerk al zo ingericht. Je stap is dus vooral: inventariseren wat er is, en vastleggen welk segment met welk segment mag praten.

Het boek beschrijft deze aanpak zo: “Network segmentation: In this approach you separate the created network segments based on IP address ranges.” Als voorbeelden noemt het:

• een printersegment en een werkplekkensegment;
• een segment voor spraakcommunicatie en een voor bewaking;
• een Internet-of-Things-segment;
• een serversegment, en aparte segmenten voor elke kritieke server.

Het doel is volgens het boek de verspreiding van malware of de toegang van een aanvaller te beperken. Het resultaat van deze stap: een segmentenschema met per segment een omschreven functie en toegestane verbindingen.

Stap 3: Hoe werkt micro-segmentatie per applicatie of gebruikersgroep?

Bij micro-segmentatie maak je de segmenten zo klein mogelijk: alleen wat direct nodig is voor een specifieke functie of activiteit. Denk aan een segment per applicatie, per functionele gebruikersgroep of per kritieke bron. Het biedt mogelijk meer bescherming dan segmentatie op IP-bereiken, maar vraagt ook meer inspanning.

In de woorden van het boek: “Micro-segmentation: The focus lies on exposure limitations and the segments are therefore as small as possible, limiting the contents of each segment to what is immediately needed for a specific function or activity.” Je kunt het ook in cloudomgevingen inzetten om functionele segmenten van elkaar te isoleren.

Het boek geeft geen tijdlijn voor een migratie naar micro-segmentatie. Kies daarom zelf een volgorde, bijvoorbeeld beginnend bij je kritieke bronnen. Het resultaat van deze stap is een lijst met onderdelen die een fijnmazig segment krijgen, en de reden waarom.

Stap 4: Hoe segmenteer je een OT-omgeving?

Voor OT adviseert het boek een of meer OT-segmenten die volledig gescheiden zijn van de IT-omgeving, inclusief een Industrial Demilitarized Zone (IDMZ). Micro-segmentatie werkt ook in OT, maar de configuraties zijn complexer en gevoeliger, omdat de meeste OT-omgevingen niet ontworpen zijn voor veilige segmentatie.

Deze stap geldt alleen als jouw organisatie een OT-omgeving draait. Ga hier voorzichtiger te werk dan in de IT-omgeving en betrek de mensen die de installaties beheren. Het resultaat is een ontwerp waarin OT en IT zichtbaar gescheiden zijn, met een gecontroleerde overgangszone ertussen.

Stap 5: Welke obstakels komen er bij micro-segmentatie kijken?

Het boek noemt drie uitdagingen: aanpassing van de infrastructuur, optimalisatie van processen en integratie met bestaande tools. Je moet rekenen op updates van je netwerk, mogelijk investeringen in nieuwe technologie, meer beheerinspanning en compatibiliteitsproblemen. Plan die zaken in voordat je een segment live zet.

• Infrastructuur: je netwerk moet de gesegmenteerde architectuur kunnen dragen.
• Processen: micro-segmentatie is vooral in het begin veel arbeidsintensiever dan traditionele segmentatie, dus je netwerk- en beveiligingsprocessen moeten opnieuw tegen het licht.
• Tools: bestaande hulpmiddelen kunnen onverenigbaar zijn en vragen aanpassing van configuraties.

Het boek geeft geen kostenindicaties. Het resultaat van deze stap is een lijst met aandachtspunten per uitdaging, met een eigenaar erbij.

Stap 6: Hoe test je nieuwe segmenten zonder je bedrijfsprocessen te verstoren?

Test de segmentatie grondig in een aparte testomgeving. Lukt dat niet, monitor de nieuwe segmenten dan uitgebreid, zodat je verstoringen van bedrijfsprocessen voorkomt en snel kunt reageren op problemen. Let bij het ontwerp op de interacties tussen componenten binnen en buiten het segment.

Zero trust gaat ervan uit dat een inbreuk altijd mogelijk is. Daarom hoort monitoring niet alleen bij het testen, maar ook bij de beheerfase. Het boek noemt als ondersteunende technologie onder meer detectie- en responsesystemen (EDR, NDR, XDR), SIEM en SOAR. Het resultaat van deze stap is een segment dat aantoonbaar werkt en blijvend wordt bewaakt.

Stap 7: Hoe toets je of je segmentatie op orde is?

Het boek bevat een GAP-assessment met een onderdeel over netwerksegmentatie (F.12). Gebruik dat om je huidige situatie af te zetten tegen wat NIS2 van je verwacht en vast te leggen welke stappen nog openstaan. Zo wordt zichtbaar of je segmentatie voldoende is en waar je het plan moet bijsturen.

Herhaal deze toets na elke uitbreiding van je segmentatie. Het resultaat van deze laatste stap is een onderbouwd beeld van je stand van zaken, waarmee je verder plant.

Segmentatie is één pijler van zero trust

Begin met segmenten op basis van IP-bereiken, ga voor kritieke onderdelen naar micro-segmentatie en test elk segment voordat het live gaat. Combineer dit met de andere zero-trust-principes.