Segmentacja sieci w biurze, produkcji, hotelu i sklepie – przykłady bezpiecznego podziału infrastruktury

Biuro, hala produkcyjna, hotel i sklep korzystają z sieci komputerowej w zupełnie inny sposób. W każdym z tych środowisk działają inne systemy, urządzenia i grupy użytkowników. Wspólny pozostaje jednak jeden problem: jeżeli cała infrastruktura znajduje się w jednej sieci, awaria, błędna konfiguracja lub przejęcie pojedynczego urządzenia może wpłynąć na pozostałe obszary firmy.

Rozwiązaniem jest segmentacja sieci, nazywana również separacją sieci. Polega ona na podzieleniu infrastruktury na mniejsze, kontrolowane części. Pracownicy, serwery, goście, kamery, telefony, urządzenia IoT czy systemy produkcyjne mogą działać w osobnych segmentach i komunikować się tylko wtedy, gdy jest to rzeczywiście potrzebne.

Jak powinien wyglądać taki podział w różnych branżach? Poniżej przedstawiamy praktyczne przykłady segmentacji sieci w biurze, firmie produkcyjnej, hotelu, sklepie oraz placówce medycznej.

Czym jest segmentacja sieci firmowej?

Segmentacja sieci to podział jednej infrastruktury komputerowej na mniejsze sieci logiczne lub fizyczne. Każdy segment może mieć własną adresację IP, zasady dostępu, poziom zabezpieczeń oraz przeznaczenie.

W praktyce segmentację najczęściej realizuje się za pomocą sieci VLAN, zarządzalnych przełączników oraz reguł skonfigurowanych na routerze lub firewallu. Samo utworzenie VLAN-ów nie zapewnia jednak pełnej ochrony. Kluczowe jest określenie, które segmenty mogą się ze sobą komunikować, z jakich usług mogą korzystać i jaki ruch powinien zostać zablokowany.

Przykładowo komputery pracowników mogą mieć dostęp do serwera plików, ale kamery monitoringu nie muszą komunikować się ze stacjami roboczymi. Sieć Wi-Fi dla gości powinna zapewniać dostęp do internetu, ale nie do drukarek, serwerów i urządzeń administracyjnych firmy.

Więcej informacji o samych podstawach tego rozwiązania można znaleźć w artykule dotyczącym segmentacji sieci i ochrony firmowych zasobów.

Po co dzielić sieć na osobne segmenty?

Separacja sieci nie jest rozwiązaniem przeznaczonym wyłącznie dla dużych organizacji. Ma znaczenie wszędzie tam, gdzie do tej samej infrastruktury podłączone są urządzenia o różnym przeznaczeniu, poziomie zaufania i znaczeniu dla ciągłości pracy.

Prawidłowo zaprojektowany podział sieci pomaga:

• ograniczyć dostęp użytkowników wyłącznie do potrzebnych systemów,
• oddzielić urządzenia prywatne i gościnne od infrastruktury firmowej,
• zmniejszyć możliwość przemieszczania się atakującego pomiędzy urządzeniami,
• ograniczyć skutki infekcji złośliwym oprogramowaniem,
• chronić serwery, systemy biznesowe i urządzenia administracyjne,
• uporządkować ruch generowany przez kamery, telefonię, backup i urządzenia IoT,
• łatwiej diagnozować problemy z wydajnością lub dostępem,
• stosować inne zasady bezpieczeństwa dla poszczególnych grup urządzeń,
• przygotować sieć do późniejszej rozbudowy.

Segmentacja powinna być częścią szerszego projektu obejmującego przełączniki, punkty dostępowe, adresację, reguły komunikacji, monitoring i dokumentację. Projektowanie oraz modernizację takiego środowiska opisuje usługa sieci komputerowych dla firm.

Jakie są rodzaje separacji sieci?

Separacja logiczna za pomocą VLAN

VLAN pozwala wydzielić kilka niezależnych sieci logicznych przy wykorzystaniu wspólnych przełączników i okablowania. To najczęściej stosowana metoda segmentacji w biurach, hotelach, magazynach i zakładach produkcyjnych.

Oddzielne VLAN-y mogą zostać przygotowane między innymi dla:

• pracowników,
• serwerów,
• administracji IT,
• gości,
• telefonów VoIP,
• drukarek,
• kamer i rejestratorów,
• urządzeń IoT,
• produkcji lub automatyki,
• systemów kontroli dostępu.

Separacja fizyczna

W niektórych środowiskach urządzenia krytyczne działają na osobnych przełącznikach, okablowaniu lub niezależnych łączach. Fizyczny podział może być stosowany tam, gdzie wymagany jest szczególnie wysoki poziom izolacji albo gdzie starsze systemy nie mogą zostać bezpiecznie włączone do współdzielonej infrastruktury.

Takie rozwiązanie jest droższe i trudniejsze w utrzymaniu, dlatego powinno wynikać z analizy ryzyka, a nie z automatycznego założenia, że każda sieć musi mieć osobny zestaw urządzeń.

Separacja za pomocą reguł firewalla

Firewall kontroluje ruch pomiędzy segmentami. Może na przykład zezwolić komputerom księgowości na połączenie z określonym serwerem, a jednocześnie zablokować dostęp do niego z sieci gościnnej, kamer lub urządzeń IoT.

Dobrze przygotowane reguły powinny opierać się na zasadzie minimalnego dostępu: dozwolona jest tylko komunikacja potrzebna do pracy, a pozostały ruch jest blokowany. Więcej o tym obszarze można przeczytać na stronie dotyczącej wdrażania firewalli dla firm.

Separacja użytkowników sieci bezprzewodowej

Firmowa sieć Wi-Fi może udostępniać kilka oddzielnych sieci bezprzewodowych. Pracownicy mogą łączyć się z siecią zapewniającą dostęp do zasobów firmowych, a goście z osobną siecią prowadzącą wyłącznie do internetu.

W hotelach, restauracjach i salach konferencyjnych warto również stosować izolację klientów, dzięki której urządzenia gości nie komunikują się bezpośrednio między sobą.

Segmentacja sieci w biurze

W typowym biurze do infrastruktury podłączone są komputery, laptopy, drukarki, telefony VoIP, serwery, urządzenia NAS, kamery oraz prywatne telefony pracowników. Często dostęp do Wi-Fi otrzymują również goście, klienci lub podwykonawcy.

Przykładowy podział sieci biurowej może wyglądać następująco:

• sieć pracowników – komputery i laptopy firmowe,
• sieć serwerowa – serwery, macierze, NAS i usługi lokalne,
• sieć administracyjna – zarządzanie przełącznikami, punktami dostępowymi, serwerami i firewallem,
• sieć drukarek – drukarki i urządzenia wielofunkcyjne,
• sieć VoIP – telefony IP i centrala telefoniczna,
• sieć monitoringu – kamery oraz rejestrator NVR,
• sieć gościnna – dostęp wyłącznie do internetu,
• sieć IoT – telewizory, systemy prezentacyjne, sterowniki i pozostałe urządzenia inteligentne.

Nie każdy segment musi mieć dostęp do wszystkich pozostałych. Drukarki mogą przyjmować zadania z sieci pracowników, ale zazwyczaj nie potrzebują inicjować połączeń do komputerów. Kamery powinny komunikować się głównie z rejestratorem, a sieć gościnna nie powinna widzieć żadnych wewnętrznych zasobów firmy.

Segmentacja sieci w firmie produkcyjnej

W przedsiębiorstwie produkcyjnym szczególnego znaczenia nabiera rozdzielenie środowiska biurowego IT od środowiska produkcyjnego i automatyki. W jednej lokalizacji mogą działać komputery administracji, serwery ERP, systemy MES, terminale magazynowe, maszyny, sterowniki, panele operatorskie, kamery i urządzenia serwisowe.

Umieszczenie wszystkich tych elementów w jednej płaskiej sieci utrudnia kontrolę dostępu i zwiększa obszar potencjalnego incydentu. Problem na komputerze biurowym nie powinien mieć bezpośredniego wpływu na urządzenia sterujące procesem produkcji.

Przykładowa architektura może obejmować:

• sieć biurową dla administracji, księgowości, handlu i zarządu,
• strefę serwerową dla systemów ERP, plików, baz danych i usług katalogowych,
• sieć produkcyjną dla maszyn i urządzeń uczestniczących w procesie technologicznym,
• sieć sterowników i automatyki,
• sieć magazynową dla terminali, skanerów i drukarek etykiet,
• sieć serwisową dla kontrolowanego dostępu producentów i integratorów,
• sieć monitoringu,
• sieć administracyjną do zarządzania infrastrukturą,
• sieć gościnną dla osób spoza organizacji.

Komunikacja między strefami powinna być ograniczona do konkretnych systemów, portów i kierunków. Jeżeli maszyna musi wysyłać informacje do systemu MES, nie oznacza to, że powinna mieć dostęp do wszystkich serwerów i komputerów w firmie.

W środowisku produkcyjnym ważne jest również kontrolowanie zdalnego dostępu dostawców. Połączenie serwisowe powinno być uruchamiane w uzgodniony sposób, prowadzić tylko do wskazanych urządzeń i pozostawiać informacje pozwalające ustalić, kto oraz kiedy z niego korzystał.

Więcej informacji o infrastrukturze, sieciach, backupie i ciągłości działania można znaleźć na stronie dotyczącej obsługi IT firm produkcyjnych.

Segmentacja sieci w hotelu

Hotel korzysta jednocześnie z wielu systemów przeznaczonych dla gości, recepcji, gastronomii, administracji i obsługi technicznej. W tym samym budynku mogą działać: Wi-Fi dla gości, komputery recepcji, system PMS, terminale płatnicze, telewizja hotelowa, zamki elektroniczne, kamery, automatyka budynkowa oraz urządzenia pracowników.

Internet dla gości nie powinien być częścią tej samej sieci co recepcja i systemy administracyjne. Również urządzenia IoT znajdujące się w pokojach nie powinny mieć nieograniczonego dostępu do komputerów personelu.

Przykładowy podział może obejmować:

• Wi-Fi dla gości – dostęp do internetu z izolacją klientów,
• sieć personelu – urządzenia służbowe pracowników,
• sieć recepcji i administracji – system PMS, poczta, dokumenty i drukarki,
• sieć gastronomii – POS, drukarki zamówień i urządzenia restauracji,
• sieć konferencyjną – urządzenia organizatorów i uczestników wydarzeń,
• sieć monitoringu – kamery oraz rejestratory,
• sieć automatyki i IoT – zamki, sterowniki, telewizory i panele,
• sieć techniczną – zarządzanie przełącznikami, punktami dostępowymi i pozostałą infrastrukturą.

Projekt sieci hotelowej powinien uwzględniać nie tylko bezpieczeństwo, ale też duże różnice w obciążeniu. Innego dostępu wymaga recepcja, innego gość oglądający transmisję w pokoju, a jeszcze innego sala konferencyjna podczas wydarzenia.

Specyfikę takich obiektów szerzej opisuje podstrona obsługi IT hoteli i obiektów noclegowych.

Segmentacja sieci w sklepie i firmie handlowej

W handlu problemy z siecią szybko wpływają na sprzedaż. Kasy, system POS, terminale płatnicze, komputery zaplecza, drukarki etykiet, urządzenia magazynowe i monitoring muszą działać stabilnie, ale nie powinny być połączone bez żadnych ograniczeń.

Przykładowa segmentacja sieci sklepowej może obejmować:

• sieć stanowisk sprzedażowych dla kas i komputerów POS,
• sieć terminali oraz urządzeń płatniczych przygotowaną zgodnie z wymaganiami dostawców,
• sieć biurową dla kierownictwa, administracji i księgowości,
• sieć magazynową dla skanerów, kolektorów danych i drukarek etykiet,
• sieć monitoringu dla kamer oraz rejestratorów,
• sieć gościnną dla klientów,
• sieć urządzeń IoT dla ekranów, czujników i innych urządzeń pomocniczych,
• sieć administracyjną przeznaczoną do zarządzania infrastrukturą.

W przypadku sieci sklepów trzeba dodatkowo zaplanować bezpieczną komunikację pomiędzy lokalizacjami a centralą. Poszczególne oddziały mogą wymieniać dane z systemami centralnymi za pośrednictwem tuneli VPN, ale dostęp powinien być ograniczony do wymaganych usług.

Więcej o utrzymaniu infrastruktury sprzedażowej znajduje się na stronie poświęconej obsłudze IT sklepów i firm handlowych.

Segmentacja sieci w placówce medycznej

W przychodni, klinice lub gabinecie do sieci mogą być podłączone komputery rejestracji, stanowiska lekarzy, serwery, urządzenia diagnostyczne, systemy medyczne, drukarki, monitoring, urządzenia pacjentów oraz sprzęt dostawców zewnętrznych.

Przykładowy podział powinien rozróżniać:

• rejestrację i administrację,
• stanowiska personelu medycznego,
• serwery i systemy medyczne,
• urządzenia diagnostyczne,
• sprzęt techniczny i IoT,
• monitoring,
• sieć dla pacjentów i gości,
• dostęp serwisowy dostawców.

Urządzenia medyczne i starsze systemy mogą mieć ograniczone możliwości aktualizacji lub konfiguracji zabezpieczeń. W takich przypadkach segmentacja pozwala ograniczyć ich komunikację do niezbędnych systemów i zmniejszyć ekspozycję na pozostałą część infrastruktury.

Osobne zagadnienia związane z siecią, serwerami, dostawcami i ciągłością pracy zostały przedstawione na stronie obsługi IT placówek medycznych.

Najczęstsze błędy przy segmentacji sieci

Utworzenie VLAN-ów bez reguł dostępu

Sam podział urządzeń na VLAN-y nie wystarczy. Jeżeli routing pomiędzy nimi pozostaje całkowicie otwarty, użytkownicy i urządzenia nadal mogą docierać do zasobów, do których nie powinni mieć dostępu.

Zbyt wiele segmentów bez uzasadnienia

Segmentacja ma upraszczać kontrolę i ograniczać ryzyko, a nie tworzyć niepotrzebną złożoność. Kilkadziesiąt małych sieci bez dokumentacji może być trudniejsze w utrzymaniu niż kilka dobrze zaplanowanych stref.

Brak inwentaryzacji urządzeń

Przed zmianą architektury trzeba ustalić, jakie urządzenia działają w firmie, z czym się komunikują i które usługi są potrzebne. Bez tego łatwo zablokować ważny proces albo pozostawić zbędny dostęp.

Łączenie gości z siecią firmową

Udostępnienie gościom tego samego Wi-Fi, z którego korzystają pracownicy, może ujawnić wewnętrzne urządzenia i usługi. Sieć gościnna powinna być oddzielona i zapewniać wyłącznie wymagany dostęp do internetu.

Brak dokumentacji i monitoringu

Administrator powinien wiedzieć, do czego służy każdy VLAN, jakie ma adresy, gdzie jest dostępny oraz jakie reguły odpowiadają za komunikację. Monitoring pomaga natomiast zauważyć awarię urządzenia, przeciążenie łącza lub nietypowy ruch.

Stały, niekontrolowany dostęp dostawców

Serwisanci maszyn, systemów, automatyki lub oprogramowania nie powinni otrzymywać nieograniczonego dostępu do całej sieci. Dostęp zdalny powinien prowadzić do konkretnych zasobów i być aktywny tylko w zakresie potrzebnym do wykonania prac.

Jak przygotować firmę do wdrożenia segmentacji?

Bezpiecznego podziału sieci nie należy rozpoczynać od przypadkowego tworzenia kolejnych VLAN-ów. Najpierw trzeba poznać procesy firmy i zależności pomiędzy systemami.

1. Inwentaryzacja urządzeń. Należy zidentyfikować komputery, serwery, drukarki, kamery, telefony, urządzenia sieciowe, automatykę i sprzęt IoT.
2. Analiza komunikacji. Trzeba ustalić, które urządzenia muszą się ze sobą łączyć, z jakich usług korzystają i jakie połączenia są zbędne.
3. Określenie stref. Segmenty powinny wynikać z funkcji urządzeń, poziomu zaufania i ich znaczenia dla działalności.
4. Przygotowanie adresacji i VLAN-ów. Projekt powinien uwzględniać obecną skalę firmy oraz możliwość rozbudowy.
5. Konfiguracja reguł. Firewall lub urządzenie realizujące routing powinno dopuszczać tylko potrzebną komunikację.
6. Testy przed przełączeniem. Trzeba sprawdzić działanie systemów biznesowych, drukarek, telefonii, monitoringu, aplikacji i dostępu zdalnego.
7. Dokumentacja. Konfiguracja, schematy, adresacja i reguły powinny być opisane oraz regularnie aktualizowane.
8. Monitoring i przeglądy. Sieć zmienia się wraz z firmą, dlatego jej podział i zasady dostępu należy okresowo weryfikować.

Jeżeli obecna architektura nie jest udokumentowana lub nie wiadomo, od czego rozpocząć modernizację, pierwszym krokiem może być audyt infrastruktury IT. W przypadku weryfikacji zabezpieczeń, kont, reguł dostępu i odporności na incydenty pomocny będzie również audyt cyberbezpieczeństwa.

Czy mała firma również potrzebuje separacji sieci?

Mała firma może nie potrzebować rozbudowanej architektury składającej się z kilkudziesięciu segmentów. Nie oznacza to jednak, że wszystkie urządzenia powinny znajdować się w jednej sieci.

Nawet w niewielkim biurze warto rozważyć co najmniej rozdzielenie:

• urządzeń firmowych,
• sieci gościnnej,
• kamer i rejestratora,
• urządzeń IoT,
• zarządzania infrastrukturą.

Zakres rozwiązania powinien być proporcjonalny do liczby urządzeń, rodzaju danych, sposobu pracy i skutków ewentualnej awarii. Celem nie jest maksymalne skomplikowanie sieci, lecz zapewnienie kontroli nad tym, kto i co może się ze sobą komunikować.

Najczęstsze pytania o segmentację sieci

Czy VLAN i segmentacja sieci oznaczają to samo?

VLAN jest jedną z technologii wykorzystywanych do segmentacji. Pełna segmentacja obejmuje również adresację, routing, reguły firewalla, kontrolę dostępu, monitoring i dokumentację.

Czy osobne Wi-Fi dla gości wystarczy?

Oddzielna sieć gościnna jest ważnym elementem, ale nie rozwiązuje wszystkich problemów. W wielu firmach trzeba również oddzielić serwery, monitoring, telefonię, urządzenia IoT oraz systemy krytyczne.

Czy segmentacja może utrudnić działanie programów?

Źle skonfigurowane reguły mogą zablokować wymaganą komunikację. Dlatego przed wdrożeniem należy sprawdzić zależności pomiędzy systemami, przygotować testy i wprowadzać zmiany etapami.

Czy każdy segment musi mieć osobny przełącznik?

Nie. Przy segmentacji logicznej wiele VLAN-ów może działać na wspólnych przełącznikach zarządzalnych. Oddzielna infrastruktura fizyczna jest potrzebna tylko w uzasadnionych przypadkach.

Jak często należy przeglądać reguły dostępu?

Reguły warto sprawdzać regularnie oraz po większych zmianach: wdrożeniu nowego systemu, wymianie firewalla, uruchomieniu oddziału, zmianie dostawcy lub rozbudowie infrastruktury.

Podsumowanie

Segmentacja sieci w biurze, zakładzie produkcyjnym, hotelu lub sklepie powinna wynikać z realnego sposobu działania organizacji. Nie istnieje jeden uniwersalny schemat odpowiedni dla każdej firmy.

Podstawowa zasada pozostaje jednak taka sama: urządzenia i użytkownicy o innym przeznaczeniu oraz poziomie zaufania nie powinni automatycznie otrzymywać dostępu do całej infrastruktury. Sieć gościnna, serwery, monitoring, urządzenia IoT, systemy sprzedażowe czy automatyka produkcyjna powinny działać w kontrolowanych strefach.

Dobrze zaprojektowana separacja zwiększa przejrzystość środowiska, ułatwia jego utrzymanie i ogranicza skutki awarii lub incydentu bezpieczeństwa. Wymaga jednak nie tylko VLAN-ów, lecz także właściwych reguł firewalla, testów, dokumentacji i monitoringu.

Jeżeli potrzebujesz uporządkować obecną sieć, oddzielić urządzenia lub zaplanować nową infrastrukturę, skontaktuj się z NodeIT. Pierwszym etapem może być przegląd obecnego środowiska i określenie, które obszary wymagają separacji w pierwszej kolejności.