modificar estructura de red

hola a todos, quisiera algun consejo sobre que debo hacer para modificar la
actual estructura de red de mi empresa. Actualmente tenemos una red local
(192.168.0.x) con un DC (w2k srv sp4) y utilizamos un ISA para acceder a una
DMZ que nos proporciona internet, mail, etc..., bien, quieren dividir la red
en grupos "logicos" para que no tengan acceso a servidores que se encuentran
en la red local, por ejemplo, el departamento de ventas o marketing, aun
estando en la misma red local que un servidor de Oracle, no deberian tener
acceso a ese servidor estando en la misma red, como podria limitar ese
acceso? con subredes? directivas de seguridad? agradezco cualquier idea o
ayuda
saludos y gracias