Op veel bedrijfslocaties delen camera's, sensoren en werkplekken nog hetzelfde netwerk. Krijgt een aanvaller één zwak apparaat in handen, dan kan die van daaruit verder naar je werkplekken en servers. Bij netwerksegmentatie zet je apparaten met een verschillende functie en een verschillend risico in aparte netwerkdelen, en sta je alleen het verkeer toe dat echt nodig is. Het NCSC en de RDI adviseren allebei om camera's, IoT en bedrijfsapparatuur niet in hetzelfde netwerk als je werkplekken te zetten.
Hieronder lees je wat segmentatie wel en niet oplost en hoe je van een apparatenlijst naar zones en verkeersregels komt. Je leest ook waarom een VLAN alleen nog geen segmentatie is. Daarna zie je hoe je de indeling na de implementatie blijft testen en bijhouden, zodat een tijdelijke uitzondering niet blijft staan.
Wat segmentatie wel en niet oplost
Segmentatie beperkt de schade als er iets misgaat. Krijgt een aanvaller een camera of sensor in handen, dan kan die zich niet zomaar door het hele bedrijfsnetwerk verplaatsen. In een waarschuwing over IP-camera's adviseert het NCSC om camera's en de recorder in een apart, geïsoleerd IoT-netwerk te plaatsen. Volgens het NCSC valt afwijkend verkeer in een gesegmenteerd netwerk ook makkelijker op, bijvoorbeeld een IoT-segment dat ineens veel uitgaand verkeer verstuurt.
Een zwak apparaat maak je met segmentatie niet sterker. Een camera met een standaardwachtwoord of verouderde firmware blijft kwetsbaar, ook in een eigen segment.
De basismaatregelen blijven dus nodig: updates installeren, sterke wachtwoorden gebruiken en overbodige diensten uitschakelen. Segmentatie komt daar bovenop. Waarom een camera ook een IT-systeem is dat je zo moet beheren, lees je in het blog over camera's, netwerk en cybersecurity.
Begin met een inventaris van alle apparaten
Indelen lukt alleen met apparaten die je kent. In de basismaatregelen voor slimme apparaten raadt het NCSC aan om in kaart te brengen welke apparaten met je netwerk verbonden zijn, ook de draadloze, en te controleren of er apparaten tussen zitten waarvan je het bestaan niet kende.
Leg per apparaat minimaal vast:
- wat het doet en voor welk proces het nodig is;
- welke leverancier het beheert;
- met welke systemen het moet communiceren, intern en extern;
- of het nog updates krijgt.
Die laatste vraag weegt zwaar. Een apparaat zonder ondersteuning zet je in een strenger segment, of je vervangt het.
Van inventaris naar zones en verkeersstromen
Met de inventaris groepeer je apparaten op functie en risico. Op een gemiddelde bedrijfslocatie kom je dan al snel uit op zones als werkplekken, servers, camera's en recorders, toegangscontrole, gebouwtechniek, gasten en tijdelijke apparatuur. In Aan de slag met het beveiligen van OT/IACS beveelt het NCSC aan om tijdelijke of externe componenten als apart segment te behandelen en componenten met een hoger risico achter een extra barrière te plaatsen.
Daarna volgt de belangrijkste stap: per zone bepalen welk verkeer nodig is. Het principe is eenvoudig. Alles staat dicht, behalve wat je bewust openzet. Een camerazone hoeft bijvoorbeeld alleen met de recorder en het beheerplatform te praten, niet met de printers of de boekhouding.
Een VLAN maakt een aparte ruimte. Pas de regels over wat er tussen die ruimtes mag, maken er een veilige indeling van.
Een VLAN alleen is dus nog geen segmentatie. Gaat het verkeer tussen VLAN's ongefilterd heen en weer, dan heb je vooral een overzichtelijker netwerk. De bescherming zit in de firewallregels op de grenzen tussen zones. Ook de RDI raadt organisaties aan om voor IoT altijd meerdere netwerken te gebruiken, zoals VLAN's, en om bij aanschaf te controleren of een apparaat achter een firewall past en welke poorten open moeten.
Praktijkinzicht: de tijdelijke regel die bleef
Een illustratief scenario: een bedrijfslocatie heeft camera's, toegangscontrole en kantoorwerkplekken in gescheiden VLAN's ondergebracht. Bij de vervanging van het camerabeheerplatform vraagt de installateur om tijdelijk alle verkeer tussen het camerasegment en het kantoornetwerk toe te staan, zodat de migratie soepel verloopt.
De migratie slaagt, maar de regel blijft staan. Niemand heeft hem op een lijst gezet en de installateur gaat ervan uit dat IT hem weer sluit. Op papier is het netwerk gesegmenteerd, terwijl er in werkelijkheid een open verbinding ligt tussen de camera's en de werkplekken.
Had elke uitzondering een eigenaar en een einddatum gehad, dan was deze regel na de migratie vanzelf weer op de agenda gekomen.
Testen en bijhouden na de implementatie
Een segmentatie die op de dag van oplevering klopt, zit een jaar later soms vol uitzonderingen. Een leverancier vraagt een poort open voor onderhoud, iemand hangt er snel een nieuw systeem bij, een tijdelijke regel blijft staan.
Spreek daarom af:
- Elke uitzondering krijgt een eigenaar, een reden en een einddatum.
- Na elke wijziging test je het nieuwe systeem en controleer je of de andere zones nog afgeschermd zijn.
- Je documenteert de indeling en de regels, zodat een nieuwe beheerder of leverancier ze begrijpt. Het NCSC noemt documentatie van de architectuur een voorwaarde om haar onderhoudbaar te houden.
- Periodiek loop je de uitzonderingen na en ruim je op wat niet meer nodig is.
Bij ontwerp en beheer helpt het als netwerk en IT-beveiliging samen optrekken. Binnen All Data Secure doen Wifi4All en GKS dat elk vanuit hun eigen specialisme, en kijkt Adhetec mee vanuit de camera- en beveiligingssystemen. Meer over het verbinden van apparaten lees je bij connectiviteit en IoT.
Veelgestelde vragen
Is een VLAN hetzelfde als netwerksegmentatie?
Nee. Een VLAN zet apparaten in aparte netwerkdelen. Een effectieve segmentatie ontstaat pas als je ook regelt welk verkeer tussen die delen mag, bijvoorbeeld in een firewall.
Hoeveel segmenten heeft een bedrijfslocatie nodig?
Daar is geen vast getal voor. Groepeer apparaten op functie en risico en maak een apart segment waar apparaten een duidelijk ander doel, een andere beheerder of een hoger risico hebben.
Mag een camerasegment met het internet communiceren?
Alleen als dat echt nodig is. Het NCSC adviseert camera's tot lokaal gebruik te beperken en voor toegang van buitenaf een VPN te gebruiken.
Wat doe je met apparaten die geen updates meer krijgen?
Zet ze in een zo strikt mogelijk afgeschermd segment en plan vervanging. Het NCSC en de RDI adviseren allebei om apparaten te vervangen als de fabrikant geen beveiligingsupdates meer levert.
Kun je segmenteren zonder de bekabeling te vervangen?
Meestal wel. VLAN's lopen over de bestaande kabels, zolang je switches beheerbaar zijn en VLAN's ondersteunen. Eenvoudige onbeheerde switches moet je wel vervangen, omdat je daarop geen netwerkdelen kunt instellen.
Hoe voorkom je dat segmentatie camera's of toegang laat uitvallen?
Breng eerst de verkeersstromen in kaart en laat nieuwe firewallregels een tijd alleen registreren wat ze zouden blokkeren. Zet daarna zone voor zone de regels aan en test samen met de leverancier of alles nog werkt. Zo ontdek je een vergeten verbinding voordat die een storing veroorzaakt.
Welk apparaat filtert het verkeer tussen de segmenten?
Dat doet meestal een firewall of een switch die verkeer tussen VLAN's routeert en filtert. Voor zones met een hoger risico, zoals camera's of tijdelijke apparatuur, heeft een firewall de voorkeur, omdat die het verkeer ook vastlegt. Zo kun je achteraf nagaan wat er tussen de zones is gebeurd.
Bronnen
Deel dit artikel
