Een bedrijf kan een goed perimeter-firewall hebben en toch ver verwijderd zijn van de naleving van de cyberbeveiligingsvereisten van NIS2. De Europese richtlijn verplicht betrokken entiteiten om risico’s te beheren met technische, operationele en organisatorische maatregelen, waaronder bedrijfscontinuïteit, toegangscontrole, kwetsbaarheidsbeheer en beveiliging van communicatie. Netwerkscheiding (segmentatie) past in dit model als een bijzonder nuttige maatregel om te voorkomen dat een initiële inbraak zich uitbreidt binnen de hele organisatie.
De kernpunten van NIS2 en netwerksegmentatie in 30 seconden
- NIS2 verplicht de betrokken entiteiten om passende risicobeheersingsmaatregelen te treffen afgestemd op hun omstandigheden en blootstelling.
- De richtlijn schrijft niet letterlijk voor dat elke organisatie een specifieke segmentatie-architectuur moet implementeren.
- Wel vereist het de bescherming van netwerken en systemen, incidentbeheer, kwetsbaarheden, toegangsbeheer en bedrijfscontinuïteit.
- Het scheiden van gebruikers, servers, gasten, beheer- en kritieke systemen beperkt de zijwaartse beweging van een aanvaller.
- Firewall, VPN en segmentatie moeten deel uitmaken van een bredere beveiligingsarchitectuur.
Het verschil is significant. Het presenteren van segmentatie als een universele en letterlijke vereiste van NIS2 zou de norm te simpel maken. Richtlijn (EU) 2022/2555 stelt doelstellingen en categorieën van beveiligingsmaatregelen vast, terwijl de concrete toepassing afhangt van het risico, de omvang, de kosten, de blootstelling en het belang van de systemen van elke organisatie.
Het is ook lastig te rechtvaardigen dat een volledig vlak netwerk wordt aangehouden wanneer een organisatie kritieke systemen beheert, externe leveranciers, apparaten van werknemers, cloudservices en remote toegang gebruikt.
NIS2 zegt niet welke firewall te kopen, maar wel welke risico’s gecontroleerd moeten worden
Artikel 21 van NIS2 vormt een van de hoofdpunten om te begrijpen wat er verandert.
Essentiële en belangrijke entiteiten moeten passende en proportionele technische, operationele en organisatorische maatregelen nemen om de risico’s te beheersen die de veiligheid van hun netwerken en informatiesystemen bedreigen.
De norm somt verschillende gebieden op die gedekt moeten worden.
Onder meer risicobeoordeling en veiligheidsbeleid, incidentbeheer, bedrijfscontinuïteit, back-up en disaster recovery, supply chain security, veilige aankoop en onderhoud van systemen, kwetsbaarheidsbeheer, evaluatie van de effectiviteit van maatregelen, basishygiëne op het gebied van cyberveiligheid en training.
Ook zijn er beleidslijnen over cryptografie, toegangscontrole, activabeheer en, waar nodig, multi-factor authenticatie of continue authenticatietools.
Kortom, NIS2 kan niet worden gereduceerd tot het installeren van een firewall of het kopen van een specifiek beveiligingsproduct.
Organisaties moeten kunnen aantonen dat ze hun risico’s kennen en doeltreffende controles hebben geïmplementeerd om zowel de waarschijnlijkheid als de impact van incidenten te verminderen.
Hier komt segmentatie in beeld.
Brengt bijvoorbeeld een besmetting van een werknemer’s computer via phishing veel minder schade als dat apparaat vrij kan communiceren met servers, back-ups, beheersinterfaces en databases, vergeleken met situaties waarin daar barrières tussen zitten.
De eerste situatie biedt een aanvaller veel meer kansen voor zijwaartse beweging.
Een vlak netwerk kan een geïnfecteerde machine voor een groter probleem maken
Jarenlang volgden veel bedrijfsnetwerken een relatief eenvoudige structuur: internet was buiten en de bedrijfsystemen binnen.
De firewall beschermde de grens.
Dit model wordt steeds minder representatief voor hoe organisaties werken. Werknemers gebruiken laptops buiten kantoor, SaaS-applicaties, cloudopslag, VPN-verbindingen en mobiele apparaten. Tegelijkertijd kunnen leveranciers en externe technici toegang nodig hebben tot bepaalde systemen.
De grens tussen “binnen” en “buiten” is veel minder duidelijk.
Segmentatie probeert de infrastructuur op te splitsen in zones en vast te stellen welke communicatie tussen deze zones toegestaan is.
Een bedrijf zou bijvoorbeeld de werkplekcomputers van werknemers kunnen scheiden van productie-servers. Gasten WiFi moet geïsoleerd blijven van bedrijfsbronnen. Beheer- en back-upsystemen kunnen in aparte zones geplaatst worden, met specifieke restricties.
Industriële omgevingen, IoT-apparaten of zeer gevoelige systemen kunnen nog strengere scheidingen vereisen.
VLAN’s kunnen onderdeel zijn van deze architectuur, maar meerdere VLAN’s aanmaken betekent niet automatisch dat een effectieve beveiligingssegmentatie aanwezig is. Het verkeer tussen segmenten moet gecontroleerd worden, beleidslijnen vastgesteld, uitzonderingen geëvalueerd en periodiek herzien om ervoor te zorgen dat de regels nog relevant zijn.
Dit laatste punt vormt vaak een van de grootste problemen.
Een netwerk kan goed gesegmenteerd lijken tijdens de ontwerp- en implementatiefase, maar na jaren kan het vrijwel vlak worden door nieuw toegevoegde applicaties, servers of leveranciers met afwijkende regels. Zonder regelmatige revisie verliezen de grenspunten hun effectiviteit.
Firewall, VPN en WiFi maken het probleem groter
Firewall blijven essentieel. Wat verandert, is de verwachting over wat ze alleen kunnen oplossen.
Een firewall tussen internet en organisatie beheert een duidelijke grens, maar voorkomt niet noodzakelijk dat een geïnfecteerde computer in dezelfde vertrouwenszone de rest van systemen kan aanvallen.
Daarom kunnen firewalls ook intern gebruikt worden om communicatie tussen verschillende segmenten te reguleren.
De benodigde functionaliteiten hangen af van de organisatie. Soms is het voldoende om correcte regels te handhaven. In andere gevallen kunnen next-gen firewalls met applicatie- en gebruikerinformatie meerwaarde bieden.
Ook remote toegang moet op een vergelijkbare manier geëvalueerd worden.
Een Virtual Private Network (VPN) beschermt de communicatie tussen een externe device en de bedrijfsinfrastructuur, maar een VPN maakt dat apparaat niet automatisch betrouwbaar. Als de laptop geïnfecteerd is, kan onbeperkte toegang kunnen bieden tot interne systemen via een versleutelde tunnel.
Organisaties kunnen restricties toepassen zodat niet alle resources toegankelijk zijn voor elke gebruiker, apparaat of rol.
WiFi vormt een ander gebruikelijk scenario. Bedrijfsnetwerken voor werknemers en gasten moeten geïsoleerd blijven wanneer gasten geen toegang nodig hebben tot interne bronnen.
Authectificatietools en encryptie moeten up-to-date blijven. WPA3 biedt verbeteringen ten opzichte van eerdere standaarden, maar een moderne standaard vereist ook goede architectuur van scheidingen en controlemechanismen.
NIS2 verplicht verder om na een incident na te denken over de gevolgen.
Bedrijfscontinuïteit, disaster recovery, crisisbeheer en back-ups worden expliciet genoemd in de richtlijn.
Hierbij verschuift de vraag van “Hoe voorkom ik dat ze binnenkomen?” naar een andere even belangrijke vraag: “Wat kan er gebeuren als ze toch binnenkomen?”
Segmentatie helpt juist bij dat tweede scenario. Het kan het aantal systemen dat vanaf een geïnfecteerde machine bereikbaar is beperken en het makkelijker maken om toegang tot beheersystemen of back-ups te voorkomen.
Het elimineert niet het risico en vervangt niet aanvullende controles zoals identiteitsbeheer, monitoring, kwetsbaarheidsbeheer of geïsoleerde back-ups.
De effectiviteit hangt ook af van het testen van deze maatregelen.
Een noodherstelplan dat nooit is geoefend, kan falen wanneer het echt nodig is. Een back-up die nooit is hersteld, garandeert niet dat gegevens hersteld kunnen worden. Een schema met slechts een diagram zonder echte implementatie bewijst niet dat het verkeer beperkt blijft.
Voor bedrijven onder NIS2 is dat een belangrijke verandering: cybersecurity gaat niet langer alleen over perimeterbeveiliging, maar wordt onderdeel van de continue bedrijfsrisicobeheersing.
Veelgestelde vragen
Verplicht NIS2 expliciet netwerksegmentatie?
NIS2 verplicht passende en proportionele technische, operationele en organisatorische maatregelen voor risicobeheer. Het vereist niet dat iedereen dezelfde specifieke segmentatie-architectuur implementeert; de concrete maatregelen moeten worden verantwoord op basis van de risico’s van elke organisatie.
Is een firewall voldoende om NIS2 na te leven?
Nee. De richtlijn omvat risicobeheer en incidentenmanagement, bedrijfscontinuïteit, supply chain security, kwetsbaarheden, toegangscontrole, training, cryptografie en meer, naast netwerkbescherming.
Wat is het nut van netwerksegmentatie binnen een organisatie?
Het maakt het mogelijk verschillen in vertrouwen tussen systemen te scheiden en communicatie beperkt te houden. Bij een besmetting van een apparaat kan goede segmentatie het lateraal bewegen naar kritieke systemen, beheerders- of back-upsystemen bemoeilijken.
Biedt een VPN een veilige externe toegang?
Een VPN versleutelt de communicatie, maar garandeert niet dat het verbonden apparaat veilig is of altijd toegang moet krijgen tot alle systemen. Het is verstandig om het gebruik te combineren met goede authenticatie, toegangscontroles, apparaat-updates en restricties op wat toegankelijk is.