Její bezpečnostní hodnota pochází z vynucených hranic — jako jsou firewally, seznamy řízení přístupu, brány, proxy nebo fyzicky oddělené cesty — nikoli pouze z nakreslení oddělených síťových rozsahů či přiřazení virtuálních lokálních sítí (VLAN).
Dobrá segmentace omezuje zbytečnou dosažitelnost, redukuje cesty útoku, zadržuje selhání a vytváří užitečné monitorovací body. Politika by měla vycházet z obchodních a procesních závislostí: který zdroj smí dosáhnout kterého cíle, pomocí které služby, za jakým účelem a pod čí odpovědností.
Klíčové body
Primární účelSnížit expozici a omezit laterální pohyb či propagaci poruch.
Metoda návrhuSeskupujte aktiva podle funkce, kritičnosti, požadavku na důvěru a procesní závislosti; poté definujte a otestujte povolené kanály.
Provozní potřebaDokumentujte toky, odstraňujte zastaralá pravidla, monitorujte hraniční provoz a po změnách testujte povolené i zamítnuté cesty.
Upozornění na odolnostSegmentace musí zachovat požadované služby bezpečnosti, správy, failoveru, času, resolvingu jmen a obnovy.
Důležité omezeníSamotná VLAN není bezpečnostní hranice a příliš permisivní firewall mezi zónami poskytuje malé zadržení.