netwerkisolatie

Netwerkisolatie verwijst naar de maatregelen die worden genomen om delen van een computernetwerk af te scheiden van andere delen of van het openbare internet. Het doel is de verspreiding van beveiligingsincidenten te beperken, de vertrouwelijkheid en integriteit van gegevens te beschermen en de beschikbaarheid van kritieke systemen te vergroten.

Er bestaan verschillende vormen van isolatie. Fysieke isolatie, ook wel air gap genoemd, betekent dat apparatuur geen verbinding heeft met externe netwerken. Logische isolatie maakt gebruik van netwerksegmentatie met VLANs en subnetten, vaak in combinatie met firewallregels en access control lists. Een DMZ (demilitarized zone) vormt een tussenlaag tussen het interne netwerk en het publieke internet. In cloudomgevingen kan isolatie ontstaan via virtuele netwerken, beveiligingsgroepen en toegangsbeperkingen. Een meer verfijnde aanpak is microsegmentatie, waarbij zeer nauwkeurig wordt bepaald welke workloads met elkaar mogen communiceren.

Technieken en hulpmiddelen die bij netwerkisolatie worden toegepast, zijn onder meer VLANs, ACLs, firewalls, routerconfiguraties, VPN-toegang voor gecontroleerde externe connectiviteit en jump hosts. In toenemende mate wordt ook een zero-trustbenadering toegepast, waarbij elke toegang streng wordt gevalideerd. Software-gedefinieerde netwerken (SDN) kunnen fijnmazige segmentatie ondersteunen.

Voordelen zijn onder meer een beperkter blast radius bij incidenten, betere naleving van beveiligingsnormen en gerichte bescherming van kritieke systemen. Nadelen zijn onder meer extra complexiteit, hogere kosten, onderhouds- en beheerlast en mogelijke impact op productiviteit.

Implementatie vereist een stappenplan: doelstellingen en scope vaststellen, risicobeoordeling en ontwerp van zones, geschikte isolatiemethoden kiezen, strikte toegangscontroles en logging implementeren, en regelmatig testen, monitoren en bijwerken. Richtlijnen uit ISO/IEC 27001 of NIST kunnen dienen als referentie. Zie ook netwerksegmentatie en zero trust.