Hálózati szegmentáció KKV-nál 2026: a támadás terjedésének megállítása

A hálózati szegmentáció (network segmentation) a belső hálózat logikai feldarabolását jelenti: az irodai munkaállomások, a szerverek, a mentések, az ipari vezérlők és a vendéghálózatok külön alhálózatokra — VLAN-okra — kerülnek, és közöttük csak szabályozott, naplózott forgalom mehet. Egy tűzfal-szabály (ACL) dönti el, hogy a könyvelés VLAN-ja eléri-e a mérnöki tervezőszerver portját, vagy a Wi-Fi-n csatlakozó vendég laptopja hozzáfér-e a mentést tartó NAS-hoz (hálózati adattárolóhoz). A lényeg: a támadó nem tud szabadon mozogni a hálózaton belül.

A szegmentáció nem véd a(z) adathalászat ellen, és nem pótolja a végpontvédelmet vagy a többfaktoros hitelesítést. Amit viszont megold: megállítja a(z) oldalirányú mozgást (lateral movement), azaz azt a második fázist, amikor a(z) zsarolóvírus a kezdeti fertőzés után szétterjed a megosztott mappákon, az SMB-protokollon (szerverüzenet-blokk, a Windows-fájlmegosztás alapja) és a gyenge jelszavú szolgáltatásfiókokon keresztül. Az ENISA Threat Landscape 2024 szerint az európai incidensek 63 százalékánál a támadó a hálózaton belüli terjedéssel okozta a tényleges kárt, nem a kezdeti behatolással.

A szegmentáció erőssége, hogy szabványos, auditálható kontroll. Az ISO/IEC 27001:2022 A.8.20-as kontrollja kifejezetten a hálózatok biztonságáról szól, és a NIS2 21. cikke szerinti „alapvető kiberbiztonsági kockázatkezelési intézkedések" között is szerepel az „ellátási lánc biztonsága" és a „hálózatbiztonság". Ez azt jelenti, hogy egy dokumentált VLAN-struktúra és ACL-szabályrendszer a 2026-os magyar megfelelési audit során konkrét bizonyítékként szolgál — nem csupán „best practice".

Mit jelent ez az ön döntésére: ha 2026-ra nem szegmentált hálózattal működik, akkor egyetlen sikeres adathalász kattintás az egész szervezetet leterítheti, és a NIS2 szerinti 24 órás riasztási, illetve 72 órás végleges bejelentési kötelezettség is ugyanúgy fennáll, mintha profi védelme lenne — csak a kár lesz nagyobb. A szegmentáció tehát nem a szabályozás kielégítéséről szól, hanem arról, hogy a szabályozás kikerülhetetlen eseményei ne okozzanak helyreállíthatatlan üzleti kárt.

A szegmentáció nem igényel új routert vagy felhőszolgáltatást — egy menedzselhető Layer 2-es switch (a hálózat második, adatkapcsolati rétegében forgalmat irányító, VLAN-tudós eszköz) és egy tűzfal-szabálykészlet már elég. A tervezés négy lépésben történik: (1) a szervezeti eszközök és rendszerek feltérképezése, (2) a bizalmi szintek meghatározása, (3) a VLAN-ok kialakítása és az ACL-ek (hozzáférés-vezérlési listák) megírása, (4) a mentés és a menedzsment-forgalom szeparált kezelése. Egy 30–50 fős cégnél ez 3–5 munkanap mérnöki munkával megvalósítható.

A VLAN-ok ésszerű kiindulási felosztása: (a) irodai/ügyfélkezelői VLAN a munkaállomásoknak és nyomtatóknak, (b) szerver-VLAN a fájlszervernek, ERP-nek (vállalatirányítási rendszer) és levelezésnek, (c) mentés-VLAN kizárólag a NAS és a mentőszerver közötti forgalommal, (d) ipari/IoT-VLAN a PLC-knek, szenzoroknak és kameráknak, (e) vendég-Wi-Fi VLAN, (f) menedzsment-VLAN a switch-ek és tűzfalak elérésére. Ez a hat zóna a KKV-méretű szervezetek 90 százalékánál elegendő — a micro-szegmentáció (szerver-szintű finomfelbontás) csak ott kell, ahol szabályozott ipari környezet vagy felhőalapú többszintű architektúra ezt megköveteli.

A mentés-VLAN külön emelést érdemel. A 2024-es zsarolóvírus-incidensek 74 százalékánál a támadó nemcsak az éles rendszereket, hanem a mentéseket is titkosította, ha azok ugyanazon a hálózati szegmensben voltak. Ezért a mentést fizikailag és logikailag is el kell választani: külön VLAN, külön subnet (alhálózat), és lehetőleg külön fizikai interfész a mentőszerveren. A 3-2-1 mentési szabály (3 példány, 2 különböző adathordozón, 1 off-site, azaz telephelyen kívül) csak akkor véd, ha a mentés valóban el van szigetelve a fertőzési lánctól.

A költségek oldaláról: egy 24 portos menedzselhető switch 80–150 ezer forint, a tűzfal-szoftver (pfSense, OPNsense vagy felhőalapú menedzselt megoldás) 0–200 ezer forint, a mérnöki munka 3–5 nap, 200–450 ezer forint. Végösszeg: 300–800 ezer forint, amely egy 28 millió forintos incidens-költséghez képest 35–95-szörös megtérülést jelent — és a NIS2-audit során konkrét bizonyítékként szolgál.

A 2024. évi kiberbiztonsági törvény a hazai hatóságok közül a Szabályozott Tevékenységek Felügyeleti Hatóságát (SZTFH), az energiaszektorban a Magyar Energetikai és Közmű-szabályozási Hivatalt (MEKH), a pénzügyi szektorban a Magyar Nemzeti Bankot (MNB), míg az általános kibervédelmi koordinációban a Nemzeti Kibervédelmi Intézetet (NKI) jelöli ki. 2026-tól ezek a hatóságok – az ENISA-val együttműködve – kérhetik a szervezetek kockázatkezelési kontrolljainak igazolását, ideértve a hálózati szegmentáció tényét és minőségét. A gyakorlatban az audit egy helyszíni vagy dokumentumalapú átvilágítás, amelynek során a VLAN-struktúra, az ACL-szabályok és a mentési szeparáció dokumentációját kérik be.

A biztosítók auditja más szögben közelít: a kiberbiztosítási piacon 2024-ben megjelent egy új trend, ahol a kárkifizetés előfeltétele a műszaki kontrollok megléte. Egy hazai biztosító 2024-es termékfeltételei között a „hálózati szegmentáció megléte" kifejezetten szerepel, és ennek hiányában a kártérítési igény 30–50 százalékkal csökkenhet. A biztosító általában három dokumentumot kér: (1) hálózati topológiatérkép, (2) ACL-szabálylista dátummal és felelőssel, (3) mentési szeparációt igazoló mentési terv.

Az ENISA 2024-es ajánlása hangsúlyozza, hogy a szegmentáció nem önmagában véd, hanem a „védelmi mélység" (defense-in-depth) elvének egyik rétege. Ez azt jelenti, hogy a hatósági és biztosítói audit nem a VLAN-ok meglétét értékeli kizárólagosan, hanem a szegmentáció integritását a többi kontrollal együtt: végponti védelem (EDR, azaz végponti fenyegetés-észlelés és -reagálás), többfaktoros hitelesítés (MFA), rendszeres sérülékenység-vizsgálat és incidenskezelési terv. A szegmentáció e rendszerben az egyetlen kontroll, amely a már megtörtént behatolás következményét korlátozza.

Az auditálhatóság legkonkrétabb eszköze az ISO/IEC 27001:2022 tanúsítvány, amely a magyar KKV-k számára is elérhető, 1,5–3 millió forintos költségvetésben. A tanúsítvány A.8.20 (hálózatok biztonsága) és A.8.13 (információmentés) kontrolljai lefedik a VLAN-szegmentáció és a mentési szeparáció területét. A tanúsítvány a NIS2-megfelelés egyik legelfogadottab bizonyítéka, és a beszállítói auditok során is gyorsan elfogadott.

Első lépés: eszköz- és rendszerleltár. Készítsen naprakész listát a hálózathoz csatlakozó összes eszközről, IP-címről és szolgáltatásról. Ez az ISO/IEC 27001 A.5.9 kontroll alapja, és nélküle nem lehet VLAN-okat tervezni. A lista karbantartásához használjon hálózat-felderítő eszközt (Nmap, Advanced IP Scanner) és egy egyszerű táblázatot — a hangsúly a frissítés rendszerességén van.

Második lépés: bizalmi szintek meghatározása. Csoportosítsa az eszközöket bizalmi kategóriákba: (1) üzleti kritikus (ERP, mentés, PLC), (2) irodai (munkaállomások, nyomtatók), (3) IoT/operatív (kamera, szenzor), (4) vendég/nyilvános. Minden kategóriához önálló VLAN-t és ACL-szabályrendszert rendeljen. Az ENISA 2024-es útmutatója szerint ez a lépés a szegmentáció-tervezés 60 százalékát kitevő munka.

Harmadik lépés: VLAN-ok kiépítése és ACL-ek megírása. Egy menedzselhető switch-en VLAN-onként külön SSID-t (Wi-Fi-hálózatnevet) és alhálózatot konfigurálnak, a tűzfalon vagy a switch-en Layer-3-as ACL-eket (IP-szintű hozzáférés-vezérlési listákat) írnak. A tesztelés kritikus: egy auditált próbával (Nmap-szkenneléssel) kell igazolni, hogy a tiltott forgalom valóban blokkolódik. Egy 30 fős KKV-nál ez 3–5 nap mérnöki munka.

Negyedik lépés: mentési szeparáció. A mentőszerver és a NAS kerüljön külön VLAN-ba, a mentési forgalom csak e két eszköz között mehessen. A mentési ütemezést dedikált, nem-interaktív szolgáltatásfiókkal vagy API-kulccsal oldják meg, és a mentés off-site példányát (felhő vagy külső telephely) rendszeresen tesztelik visszaállítással. A 3-2-1 szabály betartása és a mentés-VLAN integritásának rendszeres auditja a NIS2 21. cikk (2) bekezdés c) és d) pontjának közvetlen bizonyítéka.

Ötödik lépés: dokumentáció és naplózás. Készítsen hálózati topológiatérképet (akár csak Visio vagy draw.io formátumban), ACL-szabálylistát dátumokkal és felelősökkel, valamint mentési tervet. A naplózás oldaláról a tűzfal- és switch-naplókat (syslog, azaz hálózati eseménynapló-rendszer) központi naplógyűjtőbe (SIEM, azaz biztonsági információ- és eseménykezelő rendszer) vagy egyszerűbb esetben egy biztonságos felhő-tárolóba irányítsa. Ez a lépés önmagában a NIS2-audit 40 százalékát fedezi.

Hatodik lépés: rendszeres felülvizsgálat. A szegmentáció nem egyszeri projekt: az új eszközök, a szervezeti változások és az új fenyegetések miatt féléves/éves felülvizsgálat szükséges. Az ENISA ajánlása szerint a KKV-knak évente legalább egyszer, változás esetén azonnal frissíteniük kell a topológiatérképet és az ACL-szabályokat. Ez a lépés zárja a kört, és a NIS2 szerinti „arányos, de dokumentált" megfelelés sarokköve.