Как правильно организовать защиту одной сети от другой?
Никак... отдел ИТ отвечает за сеть)))) как включит "защиту" так и выключит

по сути единственный адекватный вариант - ставить роутер в "разрез" и включать на нем NAT (режим роутера собственно)
но это не помешает отделу ИТ зайти на роутер а дальше попасть в сеть ОБ, при желании
Два фаервола - устройства (роутеры например) с каждой стороны провайдеров, определяющие правила доступа к ресурсам и объединенные в одну сеть меду собой