Netzwerk mit SBS2011 richtig trennen

Hi,

Wie trennt man ein Netzwerk, wo ein SBS2011 der Domänenkontroller und Exchange2010-Server ist.

Das Netzwerk besteht aus ca. 30PC, 4Server (Server2008R2 und Linux) 5Drucker und 20 Maschinen und Heizungsanlagen.
Bis jetzt ist das alles in einem IP-Bereich. Lange Zeit machte die Verbindung ins Internet eine FB7390.
Vor einiger Zeit hat uns ein Virus(Ransomware) einige Daten Zerstört. Dank Datensicherung konnten wir alles wiederherstellen.
Brauchte aber seine Zeit. Jetzt haben wir anstelle der FB7390 eine UTM9 von Sophos als Firewall.
Jetzt möchte ich gerne da Netzwerk trennen, so dass wenn wieder so eine Ransomware auftaucht nicht das ganze Netzwerk zerstört.

Aber wie macht man das Richtig?

Von den 30PCs, brauchen nur 15 PC Internet und E-Mail.
Die 15PC kann ich mit VLAN am Switch trennen so dass die 15PC einen eigenen IP-Bereich bekommen könnten.
Aber wo steht jetzt der SBS2011 der als Domänenkontroller und Mailserver dient?
Der sollte doch meiner Meinung nach in dem neuen IP-Bereich stehen wo die 15PC sind.
Können dann die anderen PC sich auch noch am SBS2011 anmelden? Regelt das die UTM mit einer Firewall-Regel?
Und wie sicher ist das dann noch, wenn wieder eine Verbindung da ist?
Dann sollten die 15PC im neuen Netzwerk auch ein Netzlaufwerk auf die anderen Server bekommen. Geht das auch noch?
Ist dann die Sicherheit wieder weg?

Gruß