Segmentering kontrolleres ved at lægge tre ting ved siden af hinanden: netværkstegningen, regelsættet mellem zonerne og routingen. Står der en adskillelse på tegningen, som regler og routing ikke håndhæver, er segmenteringen kun på papiret.
Læsningen afprøver intet. Ingen trafik sendes mellem zonerne for at se, om den slipper igennem. Den slags afprøvning er en anden ydelse, typisk en del af en penetrationstest, og hører ikke til her.
Målestokken: punkt 6.8 i forordning 2024/2690
Forordning 2024/2690 samler kravene til segmentering i ét punkt af bilaget. Net og systemer opdeles i zoner ud fra risikovurderingen og holdes adskilt fra tredjeparters systemer og net (6.8.1). Punkt 6.8.2 lister, hvad enheden skal tage hensyn til:
- funktionelle, logiske og fysiske forhold, herunder placering (litra a)
- adgang til en zone ud fra zonens egne sikkerhedskrav (litra b)
- kritiske systemer placeret i sikrede zoner (litra c)
- en demilitariseret zone (litra d)
- adgang og kommunikation mellem og inden for zoner begrænset til det nødvendige (litra e)
- et dedikeret administrationsnet adskilt fra driftsnettet (litra f)
- administrationskanaler adskilt fra anden trafik (litra g)
- produktion adskilt fra udvikling og test, også for sikkerhedskopier (litra h)
Segmenteringen gennemgås med planlagte mellemrum og efter væsentlige hændelser eller ændringer (6.8.3). Bilaget kræver desuden, at nettets arkitektur er dokumenteret på en forståelig og ajourført måde (6.7.2, litra a).
Forordningen binder kun de enheder, den nævner i artikel 1, bl.a. cloud- og datacenterudbydere og udbydere af administrerede tjenester. Bruger en anden virksomhed punktet som tjekliste, er det et valg og ikke en pligt. Den læsning er vores.
SAMSIK siger det samme mere kort i “Cyberforsvar der virker”. Nettet opdeles fysisk eller logisk efter enhedernes anvendelse og sensitivitet, og trafikken mellem segmenterne begrænses til det nødvendige og om muligt beskyttes og overvåges.
Tre kilder, der skal passe sammen
Tegningen. Den viser, hvilke zoner der burde findes, og hvad der hører til hvor. Den er udgangspunktet, men den er ofte den ældste af de tre. Spørg, hvornår den sidst blev rettet, og af hvem.
Regelsættet. For hvert par af zoner læses, hvad der er tilladt. Er det fra brugernet til servernet kun de porte, de berørte applikationer bruger, eller er der en bred regel, fordi det var nemmest? Står der regler mellem udviklings- og produktionszonen, og hvad giver de adgang til?
Routingen. Et segment kan være rigtigt filtreret i firewallen og alligevel nås ad en anden vej. Det sker fx, når et net er routet direkte i en kerneswitch, når en server har et ben i to net, eller når et VPN-net er sat til at nå alt. Routingtabeller og interfaceopsætning fra switche, routere og hypervisorer viser, hvor trafikken faktisk kan løbe.
Den tænkte afvigelse ser sådan ud: Tegningen viser produktionsanlæg og kontor som adskilte zoner. Firewallen har en stram regel imellem dem. Men kerneswitchen router mellem de to VLAN uden om firewallen, fordi et gammelt projekt krævede det. På papiret er der adskillelse. I praksis er der ingen.
Det, DORA-standarden tilføjer
Finansielle enheder under DORA følger desuden standarden i 2024/1774. Her kræves adskillelse og segmentering efter funktionens kritikalitet, klassificering og risikoprofil (artikel 13, litra a) og dokumentation for alle netværksforbindelser og datastrømme (litra b). Netarkitekturen og udformningen af netsikkerheden gennemgås en gang om året, for mikrovirksomheder regelmæssigt (litra i). Det er det eneste faste interval for netarkitektur i de læste kilder.
Dokumentationen af datastrømme er nyttig også uden for finanssektoren. Den gør det muligt at spørge til hver regel mellem to zoner: Hvilken strøm bærer den?
Udtrækkene
Driften kan trække det meste selv:
- den aktuelle netværkstegning med dato
- regelsættet mellem zonerne, eksporteret fra firewallen
- routingtabeller og VLAN-oversigt fra kerneswitche og routere
- netkort og tilknyttede net for servere, der står i mere end én zone
- adressepuljer for VPN og deres tilladte destinationer
Med de fem bilag kan gennemgangen tegne den faktiske segmentering og sammenligne den med den tegnede. Det administrative net er et særligt kontrolpunkt, beskrevet i administrationsflader, der kan nås fra brugernettet.
Det kan driften selv
En første sammenligning kræver ingen gennemgang udefra. Vælg de tre zoner, der betyder mest, typisk brugernettet, servernettet og administrationsnettet. Skriv for hvert par op, hvad tegningen siger, og læs så de tilsvarende regler. Slå derefter op i kerneswitchens routing, om de to net også kan nå hinanden direkte.
Tager det mere end en eftermiddag at finde svarene, er det i sig selv et fund: dokumentationen er ikke ajourført, som bilaget beskriver det. Ret tegningen, så den passer med virkeligheden, før den bruges som grundlag for nye beslutninger.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen samler de tre kilder og sammenligner dem zone for zone. Arbejdet er størst, når tegningen er gammel. Bagefter er det mindre, fordi tegningen nu passer.
Uden sammenligningen hviler beslutninger på en tegning, der måske ikke passer. Hvis en hændelse rammer kontornettet, er det adskillelsen, der afgør, om den bliver i kontornettet. Kan den ikke påvises, ved I det først bagefter.
Det skal I lade være med
- At tage tegningen som bevis · den viser hensigten, regler og routing viser virkeligheden.
- At glemme routingen i kerneswitchen · den kan gå uden om firewallen.
- At lade udviklingsmiljøet dele net med produktion · forordningen nævner adskillelsen udtrykkeligt, også for sikkerhedskopier.
Det skal gennemgangen kunne vise
- ☐ En dateret tegning, der passer med regler og routing.
- ☐ For hvert zonepar en liste over tilladt trafik med formål.
- ☐ Ingen routing mellem zoner uden om filtreringen, eller en dokumenteret begrundelse.
- ☐ Produktionsmiljøet holdt adskilt fra udvikling og test.
- ☐ Spor af seneste gennemgang af segmenteringen.
Kilder
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 6.7.2 og 6.8, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 13, læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker (juli 2023), område 2, læst 13. november 2026.
- NIST SP 800-115 (2008), afsnit 3.3, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg netværkstegningen ved siden af regelsættet og routingen fra kerneswitchen, og markér hver zone, hvor de tre ikke passer.
Læs også: Faste forbindelser til kunder og leverandører · Udviklings- og testmiljøer
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
