Verkkoerottelu

Verkkoerottelu on prosessi, jossa tietokoneverkko tai sen osia erotetaan muusta verkosta siten, että tiedonsiirto on joko estetty tai rajattu. Tavoitteena on hallita riskejä, parantaa turvallisuutta sekä mahdollistaa huolto- ja testitoimenpiteet ilman laajaa vaikutusta muihin järjestelmiin.

Käyttökontekstimessa verkkoerottelua sovelletaan muun muassa kyberturvallisuudessa, kun epäillään haittaohjelman leviävän tai kun järjestelmää on uhkana. Se voi olla väliaikainen toimenpide infektion rajoittamiseksi tai osana laajempaa vähentämistaktiikkaa. Teollisuus- ja kriittisissä infrastruktuureissa erottelu estää virta- tai prosessivirtojen leviämisen koko verkkoon. Huolto- ja testausvaiheissa erottelua käytetään, jotta muut järjestelmät pysyvät toimintakykyisinä, kun osa verkosta on tilapäisesti pois käytöstä.

Toteutustapoja ovat sekä fyysinen että looginen erottelu. Fyysinen erottaminen voi tarkoittaa laitteiden irrottamista kytkimestä tai porttien tilapäistä sulkemista. Looginen erottelu toteutetaan esimerkiksi VLAN-segmentoinnilla, palomuurisäännöillä, käyttöoikeuslistoilla sekä hallittujen verkkoalueiden kuten DMZ:ien tai erillisten eristettyjen verkkojen hyödyntämisellä. Joissakin tapauksissa käytetään ilmarakoa (air gap), jossa verkko-alueet ovat fyysisesti erillisiä eikä niihin ole yhteyttä.

Haasteet ja huomioitavat seikat liittyvät operatiivisiin vaikutuksiin, kuten liiketoiminnan keskeytykseen sekä tiedon synkronointi- ja palautusvaatimuksiin. Ennen erottelua määritellään kriittiset osat, palautusajat ja vastuut sekä laaditaan suunnitelmat, joissa kuvataan, miten yhteyksiä palautetaan turvallisesti ja hallitusti. Verkkoerottelu kuuluu usein laajempiin verkonhallinnan ja tietoturvan prosesseihin, kuten verkkojen segmentointiin ja häiriötilanteiden hallintaan.

Lisätietoja: verkkoerottelu liittyy verkkosegmentointiin, ilmarakoihin (air gap) sekä incident response -prosesseihin.

---