Ransomware leeft van laterale beweging. Segmentatie bepaalt of een inbraak één systeem blijft of je hele estate raakt.
Bewezen op wereldschaal
Draait op je bestaande Microsoft-stack: Windows Firewall op je hosts en Azure NSG’s in de cloud, geen nieuwe appliance.
Sluit aan op Zero Trust (NIST SP 800-207), het model dat Microsoft zelf hanteert.
Bewezen op een schaal die geen andere aanpak aankon.
Kernuitdagingen
Je netwerk is plat gegroeid zonder dat iemand het zo ontwierp. Het advies om te segmenteren klopt; het werkend krijgen is het probleem.
11
dagen mediane verblijftijd
De tijd tussen binnenkomst en ontdekking is gedaald, maar een aanvaller heeft dagen om zich lateraal door een plat netwerk te bewegen. In een omgeving zonder afscherming is dat ruim genoeg om bij de kritieke systemen te komen.
Mandiant M-Trends 2025, mediane verblijftijd 11 dagen, ransomware 6.
46%
kreeg laterale beweging te zien
Segmentatie staat breed op de agenda, maar in een landschap met legacy, OT en lopende productie laat segmenteer alles zich niet zomaar landen. De adviseur die het opschreef neemt zelden de stap terug om het uitvoerbaar te maken in jouw context.
Orde van grootte; Omdia 2026 en Akamai 2025, vendor-onderzoek.
30%
voerde fijnmazige microsegmentatie door
De meeste organisaties hebben een vorm van segmentatie, maar slechts een klein deel heeft de kritieke systemen fijnmazig afgeschermd. Beleid dat bestaat maar niet is doorgevoerd of getoetst, houdt een aanvaller niet tegen op het moment dat het moet.
Orde van grootte; Cisco/Vanson Bourne en Akamai 2025, vendor-onderzoek.
Toezicht en bestuur vragen niet of er een segmentatiebeleid is vastgesteld. Ze vragen of een inbraak beperkt blijft tot waar hij binnenkomt, en of dat standhoudt. Dat is het verschil tussen een control die op papier bestaat en een control die in de praktijk werkt.
Het verschil
Niet of je segmenteert, maar of de afscherming staat waar je blootstelling zit, en of ze het houdt als een aanvaller binnen is.
Een beleid over het hele landschap dat nergens helemaal wordt doorgevoerd. Te breed en te fijnmazig tegelijk loopt vast.
We schermen eerst af waar je blootstelling het grootst is, een kritieke omgeving per keer. Geen meerjarenproject dat nergens een eigenaar heeft.
Agent-gebaseerde handhaving overal werkt niet op OT, IoT en veel legacy, en geeft operationele last. De methode bepaalt dan de omgeving.
Identity-gedreven waar dat kan, netwerk-gebaseerd waar legacy en OT dat afdwingen. De omgeving bepaalt de aanpak, niet andersom.
De afscherming gaat aan op basis van hoe het verkeer zou moeten lopen. Operations vreest downtime, applicatie-eigenaren vrezen compatibiliteit, en de uitrol stagneert.
We observeren wat systemen feitelijk doen voordat we iets afdwingen, samen met de business- en applicatie-eigenaren. De verstoring wordt vooraf geadresseerd, niet achteraf.
Succes wordt gemeten in of het beleid is vastgesteld. Of de segmenten een aanvaller onder druk tegenhouden, blijft onbeantwoord.
We toetsen of laterale beweging daadwerkelijk wordt tegengehouden, en houden dat bij in een doorlopende cyclus. Design en existence worden operating effectiveness.
Hoe het werkt
Links wat er afgeschermd wordt, in het midden de volgorde die bepaalt en toetst, rechts wat je overhoudt. Je bestaande netwerk en oplossingen blijven staan.
Het onderscheid
In een echt landschap, legacy, OT, lopende productie, valt het om.
Een centrale firewall waar al je verkeer doorheen moet.
De afscherming draait op de controls die je al hebt: Windows Firewall op je hosts, Azure NSG’s in de cloud, niet op een centrale flessenhals. Een middel is een middel, geen doel.
Honderden IP-gebonden regels die verouderen zodra workloads verschuiven; je raakt de draad kwijt, zonder oost-west-zicht.
De policy volgt de workload op identiteit, niet op een IP-adres dat verandert. Je houdt een leesbaar beleid en je deliverytempo loopt niet vast op segmentatie.
Een centrale firewall in een hub-spoke ziet het verkeer binnen een segment niet; wie binnen is, beweegt vrij naar z’n buren binnen de spoke. En vrij over alle openstaande poorten tussen segmenten.
De afscherming gaat tot op de workload, niet tot een grove netwerkzone waarbinnen een aanvaller vrij rondgaat. Precies de paden die ransomware gebruikt om zich lateraal te verspreiden, gericht dicht.
Eerst de CVE kennen en op tijd patchen, en hopen dat je sneller bent dan de aanvaller.
De afscherming stopt laterale beweging ongeacht de kwetsbaarheid: bekend, onbekend, of net ontdekt. Nu kwetsbaarheden sneller worden uitgebuit dan ze te patchen zijn, is dat het verschil tussen een inbraak en een ramp.
Een rapport met "segmenteer je netwerk", en de uitvoering blijft bij jou.
Dezelfde senior die bepaalt wat afgeschermd moet zijn, helpt het in de praktijk landen en toetsen. De moeilijkste fase laten we niet bij jou liggen.
Een tool gekocht, en zelf maar schaarse specialisten werven en vasthouden.
Microsegmentatie vraagt schaarse expertise en een methode die je voor één omgeving niet rendabel zelf opbouwt. Je krijgt de capability zonder een eigen team op te tuigen: wij draaien ’m mét je mee.
Een leverancier draait een black box; je zit vast aan tool en contract.
Wij draaien de cyclus, maar de besluiten over afschermen, uitzonderen of accepteren en het eigenaarschap blijven bij jou. Policy, runbooks en content liggen vast en zijn overdraagbaar: geen black box, geen lock-in.
Aan de slag
Geen segmentatieplan van honderd pagina’s. Eén gesprek waarin we bepalen wat in jouw landschap als eerste afgeschermd moet zijn, en of een aanvaller nu lateraal zou kunnen bewegen.
