When a breach happens, the question is not whether we will be compromised — it is how much. Segmentation and isolation turn one hacked system into an isolated problem instead of a company-wide emergency. Here is what threatens the blast radius, and what controls it. Wanneer een inbraak gebeurt, gaat het niet om óf we gehackt worden — het gaat om hoeveel. Segmentatie en isolatie veranderen één gehackt systeem in een geïsoleerd probleem in plaats van een bedrijfsbrede noodtoestand. Dit bedreigt de omvang van de schade, en dit beheerst die.
A user's laptop is compromised — through a phishing email, a watering-hole attack, or a zero-day. Without segmentation, that laptop can reach every server, file share, database, and domain controller on the network. The attacker scans freely, escalates privileges, dumps credentials from memory, and spreads to systems they can use to reach the backups and the data rooms. Within hours or days, the entire organisation is compromised.
Business impact: the blast radius is everything. One breach becomes a total outage, a full data exfiltration, and months of recovery. With segmentation, the same attacker is confined to a single department or user group. The cost of containment drops from existential to manageable.
Een laptop van een gebruiker is gecompromitteerd — via een phishingmail, een watering-hole-aanval, of een zero-day. Zonder segmentatie kan die laptop elke server, elke bestandsshare, elke database en elke domeincontroller bereiken. De aanvaller scant vrij, verhoogt rechten, haalt inloggegevens uit het geheugen, en verspreidt zich naar systemen die hij kan gebruiken om de back-ups en dataruimtes te bereiken. Binnen uren of dagen is de hele organisatie gecompromitteerd.
Bedrijfsimpact: de omvang van de schade is alles. Eén inbraak wordt een totale storing, volledige datadiefstal en maanden herstel. Met segmentatie is dezelfde aanvaller beperkt tot één afdeling of gebruikersgroep. De kosten van isolatie dalen van existentieel naar beheersbaar.
Automated tools already map a compromised network without AI. What AI changes is the skill needed to turn that map into a working path to the most valuable systems, letting a less experienced operator finish work that once needed an expert.Geautomatiseerde tools brengen een gecompromitteerd netwerk in kaart zonder AI. Wat AI verandert is de vaardigheid die nodig is om die kaart om te zetten in een werkend pad naar de waardevolste systemen, waardoor een minder ervaren aanvaller werk afmaakt dat ooit een expert vereiste.
A monitoring or helpdesk agent given broad reach across every segment for convenience becomes the very bridge that segmentation was meant to remove, so a single compromised low-privilege account can ride that one agent into every part of the network.Een monitoring- of helpdeskagent die voor het gemak overal toegang heeft, wordt zelf de brug die segmentatie juist moest wegnemen, waardoor een gecompromitteerd account met beperkte rechten via die ene agent elk deel van het netwerk kan bereiken.
AI-based network monitoring can flag unusual east-west traffic between segments faster than a person watching dashboards, shortening how long an intruder goes unnoticed. It only works alongside real segmentation; detection without walls between segments still lets the spread continue.AI-gebaseerde netwerkmonitoring kan ongebruikelijk verkeer tussen segmenten sneller signaleren dan iemand die dashboards in de gaten houdt, waardoor een indringer korter onopgemerkt blijft. Dit werkt alleen naast echte segmentatie; detectie zonder muren tussen segmenten laat de verspreiding gewoon doorgaan.
Administrators need a password to work. In many organisations, that password is reused across multiple systems, written down in shared documents, stored in an email that has been sent to several people, or simply left in a script that automates daily tasks. An attacker or insider with access to one user account harvests the credential and suddenly holds the keys to all systems. A shared admin password turns every compromised desk into an administrative terminal.
Business impact: privilege is not a boundary if it is not enforced. Tiered administration — where every administrator has an ordinary account for daily work and a separate, rarely-used admin account — limits the damage of a single compromised machine. Microsoft now describes this in its Enterprise Access Model, with admin work done from privileged access workstations. It is not a silver bullet, but a stolen everyday account no longer opens the admin systems.
Beheerders moeten een wachtwoord hebben om te werken. In veel organisaties wordt dat wachtwoord opnieuw gebruikt op meerdere systemen, opgeschreven in gedeelde documenten, opgeslagen in een e-mail die naar meerdere mensen is verzonden, of eenvoudig achtergelaten in een script dat dagelijkse taken automatiseert. Een aanvaller of iemand van binnenuit met toegang tot één account haalt de inloggegevens op en bezit plotseling de sleutels tot alle systemen. Een gedeeld beheerderswachtwoord maakt van elk gecompromitteerd bureau een beheerdersterminal.
Bedrijfsimpact: privileges zijn geen grens als die niet wordt afgedwongen. Gelaagd beheer — waarbij elke beheerder een normaal account voor dagelijks werk en een apart, zelden gebruikt beheerdersaccount heeft — beperkt de schade van één gecompromitteerde machine. Microsoft beschrijft dit nu in zijn Enterprise Access Model, met beheerwerk vanaf privileged access workstations. Het is geen wondermiddel, maar een gestolen dagelijks account opent dan de beheersystemen niet meer.
Weak or reused admin passwords fall quickly to AI-generated guess lists tuned to company naming habits, and automated search tools can scan leaked email archives and shared documents for anything that reads like a credential in minutes rather than days.Zwakke of hergebruikte beheerderswachtwoorden vallen snel door AI-gegenereerde raadlijsten afgestemd op bedrijfsnaamgeving, en geautomatiseerde zoektools kunnen gelekte e-mailarchieven en gedeelde documenten binnen minuten doorzoeken op alles wat op een inloggegeven lijkt.
Anyone with routine mailbox or chat access can point an AI search tool at years of internal messages and exported archives to surface every mention of a shared admin password, turning a slow manual hunt into an automated one.Iedereen met gewone toegang tot mailbox of chat kan een AI-zoektool loslaten op jaren interne berichten en geëxporteerde archieven om elke vermelding van een gedeeld beheerderswachtwoord boven te halen, waardoor een trage handmatige zoektocht geautomatiseerd wordt.
AI-assisted scanning of code, chat exports and shared documents can surface exposed or reused admin credentials far faster than a manual audit. Finding the exposure faster only helps if tiered admin accounts and a secrets vault remove the prize once it is found.AI-ondersteunde scanning van code, chatexports en gedeelde documenten kan blootgestelde of hergebruikte beheerdersreferenties veel sneller vinden dan een handmatige audit. Sneller vinden helpt alleen als gelaagde beheerdersaccounts en een geheimenkluis de buit al waardeloos maken zodra hij wordt gevonden.
A developer needs access to the production database to debug an issue. They ask for it, and the access is granted — forever. A finance employee leaves the company, and their file shares are not revoked, just moved to a shared folder. A former contractor's API key is still in the source code, still active, still pushing logs to their personal account. Default permissions are "allow", and removing them is someone's future task. When a system is compromised, the attacker inherits all of these permissions at once — the developer's database access, the shared folder content, the contractor's API key — because nobody applied the principle of least privilege.
Business impact: excessive access is the attacker's gift. A junior programmer compromised should not be able to read the customer database. A sales laptop should not be able to write to the backup drive. When every employee has minimal access to only what they need, a single compromised credential leaks a department, not the company. It is work to implement and maintain, but it is the simplest way to shrink the blast radius.
Een ontwikkelaar heeft toegang nodig tot de productiedatabase om een probleem op te lossen. Ze vragen erom, en de toegang wordt verleend — voor altijd. Een financiële medewerker verlaat het bedrijf, en zijn bestandsshares worden niet ingetrokken, maar naar een gedeelde map verplaatst. De API-sleutel van een voormalige contractant zit nog in de broncode, is nog steeds actief, en stuurt logs nog steeds naar hun persoonlijk account. Standaardmachtigingen zijn "toestaan", en het verwijderen daarvan is iemands toekomstige taak. Wanneer een systeem is gecompromitteerd, erft de aanvaller al deze machtigingen in één keer — de databasetoegang van de ontwikkelaar, de inhoud van de gedeelde map, de API-sleutel van de contractant — omdat niemand het beginsel van minimale machtiging toepaste.
Bedrijfsimpact: buitensporige toegang is het cadeau van de aanvaller. Een gecompromitteerde junior-programmeur zou de klantendatabase niet moeten kunnen lezen. Een verkooplaptop zou niet naar de back-updrive mogen schrijven. Heeft elke medewerker alleen toegang tot wat hij nodig heeft, dan lekt één gestolen inlog een afdeling, niet het bedrijf. Het is werk om in te voeren en te onderhouden, maar het is de eenvoudigste manier om de schade te beperken.
Once inside with any compromised credential, AI can quickly map every permission that account inherited across old projects and shared folders, letting an attacker prioritise the richest access instead of testing dozens of forgotten grants by hand.Eenmaal binnen met een gecompromitteerd account kan AI snel elke machtiging in kaart brengen die dat account via oude projecten en gedeelde mappen heeft geërfd, zodat een aanvaller de rijkste toegang voorrang geeft in plaats van tientallen vergeten rechten handmatig te testen.
A departing or disgruntled employee can ask an AI assistant to compile everything they still have access to and quietly copy the most useful of it before an offboarding review catches up with the actual permissions on file.Een vertrekkende of ontevreden medewerker kan een AI-assistent vragen alles op te sommen waartoe hij nog toegang heeft en snel het nuttigste ervan te kopiëren voordat een offboardingcontrole de werkelijke rechten inhaalt.
AI can compare granted permissions against what an account actually uses and flag stale or excessive access automatically, something an annual manual review misses for months. Least privilege only holds if someone acts on that flag and removes the access on schedule.AI kan toegekende rechten vergelijken met wat een account daadwerkelijk gebruikt en verouderde of overtollige toegang automatisch signaleren, iets wat een jaarlijkse handmatige controle maandenlang mist. Minimale rechten houden alleen stand als iemand op dat signaal reageert en de toegang op schema intrekt.
| Control | Stops | In one line |
|---|---|---|
| Network segmentation | Risk 01 | Networks divided by business function so a breach in one segment cannot reach another. MFA required at crossing points between segments. |
| Zero trust access | Risk 01, 02 | Every connection authenticated, every device verified, every user re-checked — no trusted internal network, only trusted devices. |
| Tiered admin | Risk 02 | Separate accounts for routine work and administrative tasks. Admin accounts never touch email or general systems. Used from hardened devices only. |
| Credential isolation | Risk 02 | Admin passwords stored nowhere but a secrets manager. Never in scripts, emails, or shared documents. Rotated frequently. |
| Least privilege | Risk 03 | Every user and system has the minimum permissions to do their job — not the maximum, not "for convenience", just what is needed. |
| Access reviews | Risk 03 | Quarterly or semi-annual review of who can access what. Remove permissions that have expired or are no longer needed. |
| EDR with isolation | Risk 01, 02 | Endpoint detection and response on every device: detects compromise and isolates that device in seconds. |
| Isolated backups | Risk 01, 02 | A backup copy in a separate trust domain, immutable for a fixed period, that no production admin account can delete. |
| Egress filtering | Risk 01 | Monitor outbound traffic; alert when large data transfers head outside the network to unusual destinations. |
| Incident response plan | All risks | Who contains a compromised segment, how fast, and who decides. Practiced quarterly so response is muscle memory. |
| Maatregel | Stopt | In één zin |
|---|---|---|
| Netwerksegmentatie | Risico 01 | Netwerken verdeeld naar bedrijfsfunctie, zodat een inbreuk in het ene segment het andere niet kan bereiken. MFA verplicht op de overgangen tussen segmenten. |
| Zero trust-toegang | Risico 01, 02 | Elke verbinding geverifieerd, elk apparaat gecontroleerd, elke gebruiker opnieuw gecontroleerd — geen vertrouwd intern netwerk, alleen vertrouwde apparaten. |
| Gelaagd beheer | Risico 02 | Aparte accounts voor routinewerk en beheertaken. Beheerdersaccounts raken nooit e-mail of algemene systemen aan. Gebruikt alleen vanaf geharde apparaten. |
| Referentie-isolatie | Risico 02 | Beheerderswachtwoorden alleen opgeslagen in een wachtwoordkluis. Nooit in scripts, e-mails of gedeelde documenten. Regelmatig geroteerd. |
| Minimale machtiging | Risico 03 | Elke gebruiker en elk systeem heeft de minimale machtigingen om hun werk te doen — niet het maximum, niet "voor gemak", alleen wat nodig is. |
| Toegangsbeoordelingen | Risico 03 | Driemaandelijkse of halfjaarlijkse beoordeling van wie wat kan openen. Machtigingen verwijderen die zijn verlopen of niet meer nodig zijn. |
| EDR met isolatie | Risico 01, 02 | Endpoint detection and response op elk apparaat: herkent een inbreuk en isoleert dat apparaat in seconden. |
| Geïsoleerde back-ups | Risico 01, 02 | Een back-upkopie in een apart vertrouwensdomein, een vaste periode onveranderbaar, die geen productiebeheerder kan wissen. |
| Filtering uitgaand verkeer | Risico 01 | Uitgaand verkeer bewaken; een alarm wanneer grote hoeveelheden data naar ongebruikelijke bestemmingen buiten het netwerk gaan. |
| Incidentresponsplan | Alle risico's | Wie een gecompromitteerd segment isoleert, hoe snel, en wie beslist. Elk kwartaal geoefend, zodat de respons tweede natuur wordt. |
Every organisation is targeted. Entry points exist. The question is how far an attacker can spread once inside.Elke organisatie is doelwit. Ingangen zijn er altijd. De vraag is hoe ver een aanvaller zich eenmaal binnen kan verspreiden.
Full outage, total data breach, months of recovery.Volledige storing, totaal datalek, maanden herstel.
Segmentation, tiered admin, and least privilege limit spread to a single department or business unit. Hours, not days or weeks.Segmentatie, gelaagd beheer en minimale machtiging beperken verspreiding tot één afdeling. Uren, niet dagen of weken.
Executes through architecture and IT operations. The board owns the tolerance for unplanned downtime and the investment required.Uitvoering via architectuur en IT-operaties. De directie is eigenaar van de tolerantie voor ongeplande stilstand en de vereiste investering.
% of network segments with firewalled boundaries and MFA-required crossings · % of high-privilege accounts separated from routine work · % of data classified and access restricted · quarterly access review completion rate.% netwerksegmenten met firewall-grenzen en MFA-verplichte overgangen · % accounts met hoge rechten gescheiden van routinewerk · % geclassificeerde gegevens met beperkte toegang · voltooiingspercentage driemaandelijkse toegangsbeoordelingen.
"Lack of network segmentation, tiered admin, and least-privilege access allows a single breach to propagate across the entire organisation, causing multi-day outages.""Gebrek aan netwerksegmentatie, gelaagd beheer en minimale machtiging stelt één inbraak in staat om zich over de hele organisatie uit te breiden, wat meerdaagse storingen veroorzaakt."
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Basic hygiene and access control measures, including network segmentation, MFA on administrative accounts, and controls that prevent excessive privilege, including in the supply chain. NIS2 requires management to approve and oversee them. | Ask if the supplier's network is segmented and how they handle administrative access. Request evidence of access reviews and least-privilege implementation. Put contractual enforcement in place. | Can count as a significant incident if it meets the thresholds. Then: early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. The blast radius largely decides whether the thresholds are met. |
| DORA | For financial entities: ICT risk framework including incident handling, third-party oversight, and resilience testing. Network architecture and access controls are fundamental. | Verify the supplier's segmentation strategy, their tiered-admin approach, and their ability to contain a breach. Check how they test containment. | Classify promptly. If major: initial notification within 4 hours of classifying it (and at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. How far a breach spread weighs in the classification. |
| SOC 2 | Controls over access, change management, and system architecture. Segmentation and least privilege are testable control areas. | Read the control objectives. Ask whether the report covers network architecture, administrative access controls, and periodic access reviews. Complement with your own due diligence. | A breach that spread across business units or a failure of access controls appears in the next report as a deviation. Customers will ask for your root-cause analysis and remediation timeline. |
| ISAE 3402 | Depends on scope. If the service covers data access or system administration, controls over who can access what and segregation of duties are in scope. If not, the report says little about blast radius. | Check the control objectives first. If least privilege and segregation of duties are not among them, the report is incomplete for your purposes. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Basishygiëne en toegangsbeheermaatregelen, inclusief netwerksegmentatie, MFA op beheerdersaccounts, en maatregelen die buitensporige rechten voorkomen, ook in de toeleveringsketen. NIS2 verplicht het bestuur ze goed te keuren en erop toe te zien. | Vraag of het netwerk van de leverancier is gesegmenteerd en hoe zij beheertoegang afhandelen. Vraag om bewijs van toegangsbeoordelingen en implementatie van minimale machtigingen. Zet contractuele handhaving in. | Kan gelden als significant incident als het de drempels haalt. Dan: vroegtijdige waarschuwing binnen 24 uur na kennisname, incidentmelding binnen 72 uur, eindverslag binnen een maand. De omvang van de schade bepaalt grotendeels of de drempels worden gehaald. |
| DORA | Voor financiële entiteiten: ICT-risicokader inclusief incidentafhandeling, derde-partytoezicht en weerbaarheidstesting. Netwerkarchitectuur en toegangscontroles zijn fundamenteel. | Controleer de segmentatiestrategie van de leverancier, hun gelaagde beheerdersaanpak en hun vermogen een inbreuk in te perken. Controleer hoe zij inperking testen. | Classificeer snel. Is het ernstig: eerste melding binnen 4 uur na die classificatie (en uiterlijk 24 uur na kennisname), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. Hoe ver een inbreuk zich verspreidde, telt mee in de classificatie. |
| SOC 2 | Maatregelen voor toegang, wijzigingsbeheer en systeemarchitectuur. Segmentatie en minimale machtiging zijn testbare controlgebieden. | Lees de beheersdoelstellingen. Vraag of het rapport netwerkarchitectuur, beheerstoegangscontroles en periodieke toegangsbeoordelingen bestrijkt. Vul aan met uw eigen due diligence. | Een inbreuk die zich over bedrijfseenheden verspreidde, of een tekortkoming in toegangscontroles, verschijnt in het volgende rapport als afwijking. Klanten zullen om uw oorzaakanalyse en herstelplanning vragen. |
| ISAE 3402 | Hangt af van scope. Als de dienst gegevenstoegang of systeembeheer betreft, vallen maatregelen over wie wat mag openen en functiescheiding binnen scope. Zo niet, zegt het rapport weinig over de omvang van de schade. | Controleer eerst de beheersdoelstellingen. Staan minimale machtiging en functiescheiding er niet bij, dan is het rapport voor uw doel onvolledig. | ISAE 3402 schept geen plicht om de auditors van klanten te informeren. Verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. |
Checked against: NIS2 Art. 23 (Directive (EU) 2022/2555), NCSC-NL on Cbw reporting (2026), DORA RTS on incident reporting (2025), Microsoft Enterprise Access Model (May 2026) · September 2026.
Gecontroleerd tegen: NIS2 art. 23 (Richtlijn (EU) 2022/2555), NCSC-NL over de Cbw-meldplicht (2026), DORA-RTS incidentmelding (2025), Microsoft Enterprise Access Model (mei 2026) · september 2026.