Microsegmentatie

Wat is microsegmentatie?

Microsegmentatie is een netwerkbeveiligingsstrategie waarbij een netwerk binnen bestaande zones verder wordt opgedeeld in zeer kleine, logisch gescheiden segmenten rond afzonderlijke apparaten, workloads of applicaties, zodat per segment alleen de communicatie is toegestaan die strikt nodig is. Waar klassieke netwerksegmentatie of segmentatie grote blokken scheidt, zoals kantoor en productie, regelt microsegmentatie wie binnen zo’n blok met wie mag praten. In OT-netwerken beperkt microsegmentatie daarmee de laterale beweging van aanvallers en geeft het fijnmazige controle over het verkeer tussen PLC’s, SCADA, HMI’s en het engineering station.

🧠 Hoe werkt microsegmentatie?

Microsegmentatie werkt met een allowlist: elke verbinding is verboden, tenzij een regel haar expliciet toestaat. Een regel beschrijft een bron, een bestemming, een protocol of poort en soms een richting of tijdvenster. Het Zero Trust-principe “vertrouw niets op basis van netwerklocatie” wordt zo technisch afgedwongen. Het beleid wordt meestal centraal beheerd in een policy engine of beheerconsole, en in sommige omgevingen via softwaregedefinieerde netwerken (SDN) naar switches en firewalls uitgerold.

De Amerikaanse CISA beschrijft microsegmentatie als een uitbreiding op macrosegmentatie: de grote zones blijven bestaan, maar worden verder opgedeeld. Een microsegment kan statisch zijn, bijvoorbeeld op IP-adres en poort, of dynamisch, op basis van identiteit, rol, applicatieprofiel of apparaatstatus. CISA benadrukt dat microsegmentatie Defense in Depth niet vervangt, maar aanvult.

Het handhaven gebeurt op een policy enforcement point. CISA onderscheidt vijf typen:

🔄 Wat is het verschil tussen microsegmentatie en VLAN-segmentatie?

Een VLAN scheidt verkeer op laag 2, maar is op zichzelf geen beveiligingsgrens: zolang een router alle VLAN’s ongefilterd verbindt, blijft het netwerk in feite plat. Bovendien praten apparaten binnen hetzelfde VLAN vrij met elkaar. Microsegmentatie sluit juist dat gat.

In OT is microsegmentatie dus een verfijning, geen vervanging: eerst grove zones volgens het Purdue Model, daarna fijnere segmenten waar het risico dat rechtvaardigt.

🏭 Hoe ziet microsegmentatie eruit in een industrieel netwerk?

Binnen een productiecel betekent microsegmentatie dat apparaten alleen nog de verbindingen hebben die het proces nodig heeft:

• PLC’s praten alleen met hun eigen HMI en niet met PLC’s of HMI’s van andere lijnen
• Remote Access is alleen toegestaan tot specifieke assets en alleen tijdens onderhoudsvensters, via een jump server
• SCADA-servers communiceren niet rechtstreeks met OT-clients buiten hun zone
• Een engineering station kan alleen wijzigingen aanbrengen op apparatuur binnen zijn projectscope
• Kritieke processen zijn geïsoleerd van minder vertrouwde onderdelen, zoals draadloze toegang en leveranciersnetwerken

Een typische regelset voor één cel ziet er zo uit:

Met protocolfiltering en deep packet inspection gaat dat nog een stap verder. Een industriële firewall kan bijvoorbeeld Modbus-functiecode 3 (holding registers lezen) doorlaten en de schrijvende functiecodes 5, 6, 15 en 16 blokkeren voor alle bronnen behalve de bedienende HMI.

🔐 Welke normen en richtlijnen vragen om microsegmentatie?

De normreeks IEC 62443 is in OT het belangrijkste kader, aangevuld met Amerikaanse richtlijnen die ook in Europa veel worden gebruikt:

• IEC 62443-3-3 - fundamentele eis FR 5 Restricted data flow bevat SR 5.1 (netwerksegmentatie) en SR 5.2 (bescherming van zonegrenzen); de aanvulling SR 5.2 RE 1 vraagt om deny by default, allow by exception, precies het allowlist-principe van microsegmentatie
• IEC 62443-3-2 - de risicobeoordeling waarmee u assets in zones en conduits indeelt; microsegmentatie verfijnt die zones
• NIST SP 800-207 (augustus 2020) - noemt microsegmentatie als een van de drie benaderingen voor een Zero Trust Architecture, met gateways zoals next-gen firewalls of host-agents als handhavingspunt
• CISA Zero Trust Maturity Model 2.0 (april 2023) - in de pijler Networks loopt de functie Network Segmentation van grote perimeters en macrosegmentatie naar volledig gedistribueerde microperimeters rond applicatieprofielen
• CISA Microsegmentation in Zero Trust, Part One (29 juli 2025) - een planningsgids die expliciet ook voor OT, ICS en IoT geldt
• NIS2 en de Cyberbeveiligingswet - de wet, die sinds 15 augustus 2026 van kracht is, schrijft microsegmentatie niet letterlijk voor, maar vraagt passende maatregelen voor netwerkbeveiliging; microsegmentatie helpt aantonen dat een incident beperkt blijft

🧭 Hoe voert u microsegmentatie stap voor stap in?

CISA adviseert een gefaseerde aanpak in vier stappen die u steeds herhaalt. Vertaald naar een OT-omgeving:

1. Kies kandidaat-assets - begin met de assets met de grootste impact, zoals een veiligheidssysteem, de SCADA-servers of een kritieke productielijn. Gebruik de asset-inventaris als bron.
2. Breng afhankelijkheden in kaart - leg met passieve monitoring gedurende enkele weken vast wie met wie communiceert, inclusief zeldzame stromen zoals back-ups, tijdsynchronisatie en licentieservers. Actief scannen kan oude PLC’s verstoren.
3. Stel het beleid op - vertaal de waargenomen stromen naar een allowlist en laat procesengineers en leveranciers die controleren. Elke regel krijgt een eigenaar en een reden; zie firewallregelbeheer.
4. Rol gefaseerd uit - laat regels eerst in monitor- of alert-only-modus draaien, zet ze pas daarna op blokkeren en plan dat in een stilstand of onderhoudsvenster.

Daarna volgt beheer: elke wijziging in de installatie vraagt een wijziging in het beleid. Stuur toegestane en geblokkeerde verbindingen naar een SIEM, zodat anomaliedetectie afwijkend verkeer opmerkt. Combineer microsegmentatie met IAM, RBAC en EDR op de Windows-systemen, en met 802.1X of NAC op de switchpoorten.

Een denkbeeldig voorbeeld: een drinkwaterbedrijf deelt een zuiveringsinstallatie eerst op in zones per processtap. Daarna krijgt elke pompstation-PLC een microsegment waarin alleen de eigen HMI en de centrale SCADA-server hem bereiken. Een besmette onderhoudslaptop op één locatie kan dan niet meer de PLC’s van andere processtappen aanspreken.

⚠️ Wat zijn de valkuilen van microsegmentatie in OT?

• Geen agents op PLC’s - endpoint-oplossingen werken niet op embedded besturingen; in OT ligt de handhaving dus meestal in het netwerk
• Onbekende stromen - een vergeten verbinding, bijvoorbeeld naar een licentieserver, kan na het activeren van een blokkerende regel een lijn stilleggen
• Latency en determinisme - een firewall in een realtime pad moet de cyclustijden van de besturing aankunnen; realtime-Ethernet zoals PROFINET verdraagt weinig vertraging, en Precision Time Protocol is gevoelig voor variabele vertraging (jitter) in apparaten die het protocol niet ondersteunen
• Regelexplosie - honderden handmatige regels zonder eigenaar worden onbeheersbaar; groepeer op rol of functie in plaats van op losse IP-adressen
• Schijnveiligheid - microsegmentatie stopt living-off-the-land-aanvallen via toegestane verbindingen niet; monitoring blijft nodig

❓ Veelgestelde vragen

Is microsegmentatie hetzelfde als Zero Trust?

Microsegmentatie is niet hetzelfde als Zero Trust, maar wel een van de belangrijkste bouwstenen ervan. Zero Trust is een strategie waarin geen enkele verbinding automatisch wordt vertrouwd. Microsegmentatie dwingt dat principe af in het netwerk door per verbinding te bepalen wat is toegestaan.

Kan microsegmentatie werken met oude PLC’s?

Microsegmentatie kan werken met oude PLC’s, omdat de handhaving dan niet op het apparaat zelf gebeurt. U plaatst een industriële firewall of beheerde switch met toegangslijsten vóór de PLC, die alleen het noodzakelijke verkeer doorlaat. Zo beschermt u ook apparaten die geen updates of agents ondersteunen.

Welke norm vraagt om microsegmentatie?

Geen norm gebruikt het woord als harde eis, maar IEC 62443-3-3 vraagt met SR 5.1 en SR 5.2 om netwerksegmentatie en bescherming van zonegrenzen, inclusief deny by default. NIST SP 800-207 en de richtlijnen van CISA noemen microsegmentatie expliciet als kern van een Zero Trust-architectuur. Microsegmentatie is daarmee een gangbare manier om aan deze eisen te voldoen.

Wat is het verschil tussen macrosegmentatie en microsegmentatie?

Macrosegmentatie verdeelt een netwerk in grote zones, zoals kantoor, DMZ en productie, en controleert verkeer op de grenzen daartussen. Microsegmentatie deelt die zones verder op rond afzonderlijke apparaten of applicaties. Macrosegmentatie beperkt verspreiding tussen zones, microsegmentatie beperkt laterale beweging binnen een zone.

Vertraagt microsegmentatie het industriële netwerk?

Microsegmentatie voegt een kleine vertraging toe wanneer verkeer door een firewall of filterende switch gaat. Voor de meeste SCADA- en HMI-communicatie is dat verwaarloosbaar, maar voor realtime veldbusverkeer en tijdsynchronisatie moet u de handhaving buiten het kritieke pad houden of hardware kiezen die de cyclustijden aankan. Test het daarom vooraf in een testomgeving.

Hoe begint u met microsegmentatie in OT?

Microsegmentatie in OT begint met inzicht: een actuele asset-inventaris en een overzicht van alle communicatiestromen via passieve monitoring. Kies daarna één kritieke cel, stel een allowlist op en laat die eerst in monitormodus draaien. Pas als er geen onverwachte blokkades meer zijn, zet u de regels op blokkeren.

📌 Samengevat

Microsegmentatie deelt bestaande OT-zones verder op rond afzonderlijke apparaten en applicaties, zodat alleen strikt noodzakelijke verbindingen zijn toegestaan en een aanvaller zich niet vrij binnen een zone kan bewegen. In industriële omgevingen gebeurt dat vooral met netwerkgebaseerde handhaving, zoals industriële firewalls met protocolfiltering, op basis van IEC 62443, NIST SP 800-207 en de gefaseerde aanpak van CISA. Begin met inzicht in de communicatiestromen, test in monitormodus en beheer het beleid daarna als onderdeel van de installatie.