Phân đoạn mạng chia mạng thành các phần nhỏ hơn. Mỗi phần có các quy tắc truy cập riêng. Một máy tính xách tay bị xâm nhập trong VLAN tiếp thị không thể truy cập trực tiếp vào cơ sở dữ liệu bảng lương. Nó phải vượt qua một ranh giới, và ranh giới đó có các biện pháp kiểm soát. Phân đoạn giới hạn phạm vi di chuyển của kẻ tấn công một khi đã xâm nhập vào bên trong. Nếu không có nó, một máy tính bị xâm nhập thường đồng nghĩa với việc có thể truy cập vào mọi thứ.

Vụ tấn công mạng Target năm 2013 là một ví dụ điển hình. Kẻ tấn công đã đánh cắp thông tin đăng nhập từ một nhà cung cấp thiết bị HVAC và sử dụng chúng để xâm nhập vào mạng lưới của Target. Từ đó, chúng di chuyển ngang sang các hệ thống bán hàng (POS) và đánh cắp 40 triệu số thẻ. Phân đoạn mạng sẽ không ngăn chặn được sự xâm nhập ban đầu, nhưng nó có thể đã hạn chế được nó. Quyền truy cập của nhà cung cấp lẽ ra phải được giới hạn trong mạng quản lý HVAC. Các hệ thống POS lẽ ra phải được cách ly khỏi mọi thứ khác. Kẻ tấn công đã vượt qua các ranh giới lẽ ra không được phép tồn tại.

Các phương pháp phân đoạn

• VLAN — sự phân tách logic trong một mạng vật lý
• Tường lửa — thực thi các quy tắc giữa các phân vùng
• Phân đoạn vi mô — kiểm soát chi tiết từng khối lượng công việc riêng lẻ
• Khoảng cách không khí — sự tách biệt vật lý dành cho các hệ thống nhạy cảm nhất

Phân vùng mạng không phải là một dự án chỉ thực hiện một lần. Mạng lưới luôn phát triển. Các ứng dụng và thiết bị mới tạo ra những đường dẫn mới. Hãy thường xuyên xem xét lại các quy tắc. Một kế hoạch phân vùng mạng mà không ai duy trì sẽ trở thành sơ đồ về trạng thái mạng của ba năm trước.