O întrebare pe care puține companii și-o pun înainte de un incident: dacă un singur laptop din rețea ar fi compromis chiar acum, la ce altceva ar avea acces automat atacatorul? Într-o rețea plată — fără segmentare — răspunsul e, de obicei, "la aproape tot".
Ce este segmentarea de rețea
Împărțirea rețelei companiei în zone logice separate, fiecare cu propriile reguli de acces: rețeaua pentru angajați, separată de cea pentru servere critice, separată de cea pentru dispozitive IoT sau vizitatori. Comunicarea între zone este permisă doar explicit, acolo unde e strict necesară, nu implicit.
De ce contează atât de mult
Dacă un atac de phishing compromite un laptop din marketing, regulile dintre segmente pot bloca accesul direct la serverele financiare. Nu este o garanție de izolare: conturile compromise, aplicațiile accesibile legitim și regulile prea permisive pot păstra căi de atac. Testează accesul dintre zone și revizuiește excepțiile, nu doar existența VLAN-urilor.
Cum arată, concret, o segmentare bine făcută
VLAN-uri separate pentru diferite departamente și tipuri de dispozitive.
Reguli de firewall între segmente, nu doar la perimetrul extern al rețelei.
Acces „least privilege" — fiecare segment are acces doar la resursele strict necesare funcției sale, nimic în plus.
Rețea separată pentru dispozitive IoT și vizitatori, izolată complet de infrastructura critică.
Un beneficiu suplimentar: conformitatea
Art. 21 din Directiva NIS 2 cere măsuri tehnice, operaționale și organizatorice proporționale cu riscul. Segmentarea poate contribui la aceste măsuri, dar nu există o singură configurație obligatorie pentru orice companie. Cerințele concrete trebuie verificate în cadrul național și în normele aplicabile sectorului; vezi încadrarea NIS 2 în România.
O arhitectură de rețea la nivel enterprise integrează segmentarea de la proiectare, nu ca o corecție ulterioară complicată de aplicat peste o rețea deja existentă.