Segmentatie

Wat is segmentatie?

Segmentatie is het opdelen van netwerken, systemen, applicaties, data of verantwoordelijkheden in afzonderlijke logische of fysieke delen, waarbij communicatie en toegang tussen die delen alleen via gecontroleerde overgangen mogen verlopen. Zo beperkt u risico’s, isoleert u storingen en houdt u complexe omgevingen beheersbaar. Binnen OT- en industriële automatiseringsomgevingen is segmentatie een fundamenteel principe voor zowel operationele stabiliteit als cybersecurity.

Segmentatie is een breder begrip dan netwerksegmentatie, de technische uitwerking in subnetten, VLAN’s en firewalls die in een apart artikel uitgebreid aan bod komt. Dit artikel beschrijft segmentatie als overkoepelend principe achter architecturen zoals het Purdue Model, het Zone and Conduits-model, Zero Trust en Defense in Depth. Binnen OT-convergentie wordt segmentatie steeds belangrijker, omdat OT-netwerken steeds sterker verbonden raken met IT-, cloud- en IIoT-platformen.

🎯 Waarom segmenteert u netwerken en systemen?

Door systemen op te delen in afzonderlijke segmenten kunt u:

• Het aanvalsvlak verkleinen - een aanvaller of malware bereikt vanuit één segment niet automatisch de rest
• Storingen isoleren - een broadcast storm of defect apparaat blijft beperkt tot één deel van het netwerk
• Netwerkbelasting beperken - kleinere broadcastdomeinen geven minder onnodig verkeer
• Toegangscontrole afdwingen - per segment bepaalt u wie en wat er mag communiceren
• Compliance ondersteunen - normen en wetgeving verwachten aantoonbare scheiding

Binnen industriële omgevingen voorkomt segmentatie dat problemen zich ongecontroleerd door het netwerk verspreiden. Zonder segmentatie kunnen malware-uitbraken zich vrij verspreiden, broadcast storms ontstaan, ongewenste toegang plaatsvinden en realtime prestaties verslechteren.

🧠 Welke vormen van segmentatie bestaan er?

Segmentatie speelt zich op meerdere lagen af. In een volwassen architectuur vullen deze vormen elkaar aan:

ISO 27002:2022 kent voor drie van deze vormen een eigen beheersmaatregel: 8.22 Segregation of networks, 8.31 Separation of development, test and production environments en 5.3 Segregation of duties. Die laatste beperkt het risico op fraude, fouten en het omzeilen van beveiligingsmaatregelen door conflicterende taken te scheiden.

🏭 Hoe wordt segmentatie toegepast in industriële automatisering?

OT-omgevingen bevatten systemen met verschillende kritikaliteit, protocollen en lifecycle-eisen:

Daarom worden binnen OT-netwerken vaak aparte segmenten gemaakt voor productielijnen, safety-systemen, engineering, historian-systemen, remote access en gasttoegang. Voor de netwerkscheiding zelf zijn de gangbare technieken:

Een VLAN alleen is geen beveiligingsgrens. Zolang een router alle VLAN’s ongefilterd met elkaar verbindt, blijft het netwerk in feite plat; pas filtering tussen de segmenten maakt de scheiding effectief.

🧱 Hoe ziet segmentatie eruit volgens het Purdue-model?

Het Purdue Model werd begin jaren negentig aan Purdue University ontwikkeld en is de meestgebruikte referentie voor segmentatie in industriële omgevingen:

IT en OT verschillen in security-eisen, lifecycle, performance-eisen en risicoprofiel. Communicatie tussen de lagen loopt daarom gecontroleerd via een firewall, de IDMZ, jump servers, proxies en protocol filtering. In de IDMZ staan typisch historian-replicatie, patchservers, antivirus-updates, remote access gateways en data brokers. Dat voorkomt ongecontroleerde laterale beweging tussen IT en OT en centraliseert monitoring.

🔐 Hoe regelt IEC 62443 segmentatie met zones en conduits?

Het Zone and Conduits-model uit IEC 62443 is het belangrijkste OT-securityconcept voor segmentatie. Een zone groepeert systemen met vergelijkbare risicoprofielen, functionaliteit en security-eisen, zoals een PLC-zone, SCADA-zone, safety-zone of historian-zone. Conduits zijn de gecontroleerde communicatiepaden tussen zones, gerealiseerd met firewalls, data gateways of secure proxies. Zo blijft communicatie gecontroleerd en auditbaar.

IEC 62443-3-2 (2020) schrijft bij het indelen voor dat bedrijfs- en besturingssystemen gescheiden worden (ZCR 3.2), dat safety-gerelateerde systemen een eigen zone krijgen (ZCR 3.3), en dat tijdelijk aangesloten apparaten zoals laptops (ZCR 3.4) en draadloze apparaten (ZCR 3.5) apart worden gezet. IEC 62443-3-3 bundelt de technische eisen in Foundational Requirement 5, Restricted Data Flow:

Het vereiste security level per zone bepaalt dus hoe sterk de scheiding moet zijn.

🔄 Wat is het verschil tussen segmentatie, microsegmentatie en isolatie?

Microsegmentatie is een fijnmazige vorm van segmentatie waarbij individuele systemen of workloads apart worden beveiligd, policy-driven en met dynamische toegangscontrole. Het past bij het zero-trust-principe uit NIST SP 800-207 (2020), dat geen impliciet vertrouwen op basis van netwerklocatie toekent. Microsegmentatie wordt steeds vaker toegepast in virtualisatie, cloudomgevingen, datacenters en moderne OT-platformen. In industriële netwerken blijft de invoering complex vanwege legacy-systemen en realtime eisen.

Volledige air gap-architecturen komen nog voor, maar zijn niet onfeilbaar: Stuxnet bereikte een geïsoleerd netwerk via USB-sticks. Moderne OT-omgevingen gebruiken daarom vaker gecontroleerde segmentatie met strikte regels voor verwisselbare media.

📡 Hoe beschermt segmentatie onveilige protocollen en draadloze netwerken?

Veel industriële protocollen zijn oorspronkelijk ontworpen zonder beveiliging:

Omdat beveiligde varianten in bestaande installaties zelden beschikbaar zijn, beperkt segmentatie de blootstelling met OT-firewalls, protocol filtering, whitelisting en dedicated VLAN’s.

Draadloze netwerken zoals Wifi, Bluetooth en WirelessHART vragen extra segmentatie: gescheiden SSID’s, VLAN-isolatie, NAC-oplossingen, firewalling en device-authenticatie. Zo voorkomt u ongecontroleerde toegang tot OT-assets.

📈 Welke invloed heeft segmentatie op prestaties?

Goede segmentatie geeft minder broadcastverkeer, een lagere netwerkbelasting, minder congestie en betere realtime prestaties. Dat is belangrijk in OT, waar lage latency, beperkte jitter, deterministisch gedrag en hoge beschikbaarheid vereist zijn. Slechte segmentatie kan leiden tot netwerkcongestie, onstabiele communicatie, vertraagde HMI’s en PLC-timeouts. Omgekeerd kan een firewall met zware inspectie zelf vertraging toevoegen, waardoor in de controlzone vaak lichtere filtering wordt gekozen.

🔍 Hoe bewaakt en test u gesegmenteerde netwerken?

Monitoring helpt bij het detecteren van laterale beweging, het valideren van firewallbeleid en incident response. Segmentatie moet bovendien periodiek worden getest. PCI DSS 4.0.1 (eis 11.4.5 en 11.4.6) vraagt bijvoorbeeld een penetratietest van segmentatiemaatregelen minstens elke 12 maanden en na elke wijziging, voor serviceproviders elke zes maanden.

🧭 Hoe pakt u segmentatie in de praktijk aan?

Een moderne fabriek kan segmentatie als volgt inrichten:

Communicatie wordt beperkt via firewalls, ACL’s, protocol filtering en whitelisting. Een gefaseerde aanpak werkt het best:

1. Inventariseer assets en communicatiestromen, bij voorkeur met passieve monitoring.
2. Beoordeel risico’s en bepaal per zone het benodigde security level.
3. Scheid eerst IT en OT met een IDMZ; dat levert de grootste risicoreductie op.
4. Segmenteer binnen OT per lijn of functie, eerst in monitormodus.
5. Regel organisatorisch wie firewallregels mag wijzigen en hoe toegang op afstand verloopt.

Veelvoorkomende uitdagingen zijn:

Segmentatiewijzigingen in OT moeten zorgvuldig worden getest om productie-impact te voorkomen. Goede segmentatie houdt een ransomware-infectie in IT vaak weg van OT-systemen, maar alleen als OT ook functioneel onafhankelijk is. Bij Colonial Pipeline (mei 2021) raakte de ransomware alleen IT, toch werd de pijpleiding vijf dagen uit voorzorg stilgelegd omdat bedrijfsprocessen van IT afhingen.

Bij cloud- en hybride architecturen komen daar secure gateways, API-security, VPN-segmentatie, identiteitsgebaseerde toegang en edge-isolatie bij. Kritieke realtime systemen blijven daarbij meestal lokaal gesegmenteerd.

In Nederland is de NIS2-richtlijn omgezet in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. NIS2 noemt netwerksegmentatie in overweging 89 expliciet als basale cyberhygiëne, en Uitvoeringsverordening (EU) 2024/2690 verplicht digitale infrastructuur- en dienstverleners, zoals cloud-, datacenter- en managed service providers, om systemen op basis van risico in zones te segmenteren en van systemen van derden te scheiden.

🏗️ Welke rol speelt segmentatie in IT/OT-convergentie?

Binnen IT/OT-convergentie is segmentatie een van de belangrijkste architectuurprincipes. Het maakt veilige data-uitwisseling, cloudintegratie, IIoT-connectiviteit, predictive maintenance en remote operations mogelijk zonder de besturing bloot te stellen. Moderne concepten als Zero Trust, microsegmentatie, Defense in Depth en IEC 62443 bouwen er allemaal op voort. Segmentatie vormt daarmee de basis voor veilige, schaalbare en beheersbare industriële netwerken en cyber-physical systems.

❓ Veelgestelde vragen

Wat is het verschil tussen segmentatie en netwerksegmentatie?

Segmentatie is het overkoepelende principe van scheiden en omvat netwerken, hardware, applicaties, data en organisatorische rollen. Netwerksegmentatie is de meest gebruikte vorm daarvan en richt zich specifiek op het opdelen van netwerkverkeer in subnetten en zones met gecontroleerde overgangen.

Wat is applicatiesegmentatie?

Applicatiesegmentatie scheidt applicaties en workloads van elkaar, zodat een gecompromitteerde applicatie niet vrij met andere applicaties kan communiceren. In IEC 62443-3-3 heet dit application partitioning (SR 5.4); in de praktijk gebeurt het met microsegmentatie, host-firewalls of network policies in containerplatforms.

Wat is organisatorische segmentatie?

Organisatorische segmentatie is het scheiden van taken, rollen en rechten, zodat niemand in zijn eentje kritieke handelingen kan uitvoeren of controleren. ISO 27002 beschrijft dit als functiescheiding (segregation of duties), bijvoorbeeld tussen degene die firewallregels aanvraagt en degene die ze goedkeurt.

Is segmentatie verplicht onder NIS2?

NIS2 schrijft geen specifieke techniek voor, maar noemt netwerksegmentatie expliciet als onderdeel van basale cyberhygiëne. Voor organisaties onder de Cyberbeveiligingswet is segmentatie daardoor in de praktijk een verwachte maatregel, en voor digitale infrastructuur- en dienstverleners zoals cloud- en managed service providers is netwerksegmentatie expliciet voorgeschreven in Uitvoeringsverordening (EU) 2024/2690.

Is een air gap beter dan segmentatie?

Een air gap biedt de sterkste scheiding, maar maakt data-uitwisseling, updates en monitoring lastig en is niet onfeilbaar, zoals Stuxnet liet zien. Voor de meeste industriële omgevingen biedt gecontroleerde segmentatie met zones, conduits en eventueel een datadiode een betere balans tussen veiligheid en bruikbaarheid.

Hoe vaak moet segmentatie worden getest?

Segmentatie moet worden getest na elke wijziging aan zones of firewallregels en daarnaast periodiek, in de praktijk minstens jaarlijks. PCI DSS 4.0.1 schrijft een segmentatietest elke 12 maanden voor en elke zes maanden voor serviceproviders; NIS2-uitvoeringsregels vragen een periodieke beoordeling van de effectiviteit.

📌 Samengevat

Segmentatie deelt netwerken, systemen, applicaties, data en verantwoordelijkheden op in gescheiden delen met gecontroleerde overgangen, zodat een aanval, fout of storing in één deel niet het geheel raakt. In OT betekent dat: IT en OT scheiden via een IDMZ, zones en conduits inrichten volgens IEC 62443 en het Purdue-model, en de scheiding blijvend bewaken en testen.