マイクロセグメンテーション
ネットワークを個々のワークロードやサーバー単位にまで及ぶ小さな隔離ゾーンに分け、その間の通信を細かなルールで制御すること。狙いは横移動の阻止で、1台に侵入した攻撃者が残りへ自由に到達できないようにする。
従来のネットワークセキュリティは境界（出入りの南北トラフィック）に注力するが、内側はフラットなことが多い。一度侵入されれば、攻撃者はサーバー間の東西トラフィックを通じて横方向に自由に動ける。マイクロセグメンテーションは内部通信に最小権限を適用する。各ワークロードは、必要な相手とだけ通信できる（例：「Webサーバーはポート5432でデータベースに到達できるが、他は不可」）。実装には、ホストベースのファイアウォール、ハイパーバイザーやSDNのポリシー（VMware NSX）、Kubernetesのネットワークポリシーなどが使われる。利点は、侵害されたサーバーがネットワーク全体への足がかりではなく孤島にとどまり、「爆発半径」が大幅に縮むことだ。ゼロトラストの中核要素である。粒度がサブネット単位ではなくワークロード単位という点で、粗いVLANによる分割とは異なる。