Microsegmentatie

Wat is microsegmentatie?

Microsegmentatie is de fijnmazige vorm van netwerksegmentatie. Bij klassieke segmentatie staan bijvoorbeeld alle servers in 1 zone. Een aanvaller die 1 server overneemt, kan dan vaak alle andere servers in die zone bereiken. De Amerikaanse cybersecuritydienst CISA geeft precies dit voorbeeld: met microsegmentatie kunnen servers alleen communiceren met de andere servers die ze nodig hebben voor hun bedrijfsfunctie (bron: CISA, 2025).

CISA omschrijft microsegmentatie als een ontwerpfilosofie die de netwerksegmenten zo klein mogelijk maakt. Dat verkleint het aanvalsoppervlak, beperkt de mogelijkheden om zich door het netwerk te verplaatsen (lateral movement) en geeft meer zicht op wat er in elk segment gebeurt. CISA benadrukt dat microsegmentatie geen vervanging is voor andere beveiligingsmaatregelen, maar een aanvulling.

Microsegmentatie is een bouwsteen van zero trust. Het Amerikaanse standaardisatie-instituut NIST noemt in SP 800-207 uit augustus 2020 microsegmentatie als 1 van de manieren om een zero-trustarchitectuur te bouwen. In een geavanceerde vorm volgen de segmenten niet de fysieke netwerkindeling, maar de manier waarop applicaties samenwerken.

Hoe werkt microsegmentatie?

Microsegmentatie plaatst een controlepunt vlak voor elk systeem of elke kleine groep systemen. Dat controlepunt beslist bij elk verzoek of de verbinding is toegestaan. NIST SP 800-207 beschrijft 2 manieren om dat te doen:

Aanpak	Hoe het werkt
Via het netwerk	Slimme switches, routers of next generation firewalls (NGFW) staan voor elk systeem of elke kleine groep systemen en laten alleen toegestaan verkeer door
Via het systeem zelf	Software op de server of het werkstation, zoals een agent of een lokale firewall, bepaalt welke verbindingen zijn toegestaan

Omdat microsegmentatie ingrijpt in hoe applicaties met elkaar praten, adviseert CISA een gefaseerde invoering. CISA beschrijft in juli 2025 een aanpak in 4 fasen, die een organisatie per applicatie of omgeving herhaalt (bron: CISA, 2025):

1. Kies welke applicaties, gegevens of omgevingen je als eerste segmenteert, bijvoorbeeld op basis van belang of van hoe makkelijk de overgang is.
2. Breng in kaart van welke andere systemen die applicatie afhankelijk is om haar werk te doen.
3. Bepaal het segmentatiebeleid: welke verbindingen zijn nodig en welke niet.
4. Test het beleid eerst in een modus die overtredingen alleen meldt, zodat gemiste afhankelijkheden aan het licht komen, en voer het daarna in.

Voorbeeld uit de praktijk

Eind 2020 werd de gemeente Hof van Twente getroffen door een aanval met ransomware. Forensisch onderzoeker NFIR stelde vast dat vrijwel alle systemen toegang tot elkaar hadden en dat er geen sprake was van netwerksegmentatie (bron: Computable, 2021).

Het onderzoek beschrijft hoe de aanvallers, binnengekomen met het zwakke wachtwoord van een beheeraccount, binnen het netwerk verbinding konden maken met andere servers. Volgens het rapport kwam dat door onvoldoende scheiding van de communicatie tussen de servers. Als communicatie alleen was toegestaan waar dat nodig was, had deze situatie voorkomen kunnen worden (bron: Binnenlands Bestuur, 2021). Dat is precies het uitgangspunt van microsegmentatie: servers praten alleen met de servers die ze nodig hebben.

Microsegmentatie in de praktijk van een security-professional

Een security architect ontwerpt de segmenten en het beleid, samen met de eigenaren van de applicaties. Het lastigste deel is het in kaart brengen van afhankelijkheden: welke server praat met welke database, en waarom. Een security consultant helpt organisaties vaak bij die analyse. Een SOC-analist gebruikt de meldingen van geblokkeerde verbindingen als signaal van een mogelijke aanvaller.

Het NCSC adviseert om bij zero trust klein te beginnen, met het beperken van de toegang tussen bestaande netwerksegmenten waar vaak meer wordt toegestaan dan nodig is. Microsegmentatie kan daarna volgen. Voor toegang van gebruikers tot applicaties vult ZTNA microsegmentatie aan. Meer over de aanpak voor kleinere organisaties staat in de gids zero trust voor kleine organisaties. Opleidingen vind je bij opleidingen cybersecurity.

Veelgestelde vragen

Wat is het verschil tussen microsegmentatie en netwerksegmentatie?

Netwerksegmentatie verdeelt een netwerk in een beperkt aantal grote zones, zoals werkplekken, servers en gasten. Microsegmentatie gaat verder en geeft elke server, applicatie of kleine groep systemen een eigen segment. Een systeem mag dan alleen praten met de systemen die het nodig heeft, ook binnen dezelfde grote zone.

Waarom hoort microsegmentatie bij zero trust?

Zero trust gaat ervan uit dat niets automatisch te vertrouwen is, ook niet binnen het eigen netwerk. Microsegmentatie maakt dat technisch mogelijk: elke verbinding tussen systemen moet toegestaan zijn. NIST noemt microsegmentatie in SP 800-207 als 1 van de manieren om een zero-trustarchitectuur te bouwen.

Hoe begin je met microsegmentatie?

Begin klein, met 1 applicatie of omgeving. Breng in kaart met welke systemen die applicatie communiceert en waarom. Stel op basis daarvan regels op en test die eerst in een modus die overtredingen alleen meldt. Voer ze daarna in en herhaal de aanpak voor de volgende applicatie. CISA beschrijft deze gefaseerde aanpak.

Vervangt microsegmentatie een firewall?

Nee. Microsegmentatie gebruikt vaak juist firewalls, op het netwerk of op de servers zelf, om de regels tussen segmenten af te dwingen. De firewall aan de rand van het netwerk blijft nodig. CISA benadrukt dat microsegmentatie andere beveiligingsmaatregelen aanvult en niet vervangt.