Imaginez un bâtiment sans aucune porte intérieure : quiconque franchit l'entrée peut accéder à toutes les pièces, y compris au coffre-fort. C'est souvent la situation du réseau informatique des PME. Postes de travail, serveur, imprimantes, caméras, téléphones IP et Wi-Fi des visiteurs partagent le même espace. Si un seul appareil est compromis, l'attaquant peut atteindre tout le reste. La segmentation réseau consiste à installer ces portes intérieures. Elle ne bloque pas toutes les attaques, mais elle limite fortement leur propagation.
Le principe de la segmentation
Segmenter, c'est diviser le réseau en zones distinctes selon les usages et le niveau de confiance, puis définir précisément quelles communications sont autorisées entre ces zones. Techniquement, on utilise souvent des VLAN, des réseaux virtuels créés sur les mêmes commutateurs, et un pare-feu qui filtre le trafic entre eux. Le principe directeur est celui du moindre privilège : chaque zone n'accède qu'à ce dont elle a réellement besoin.
Par exemple, les postes de travail ont besoin d'accéder au serveur de fichiers et à Internet, mais pas aux enregistreurs des caméras. Les caméras ont besoin d'envoyer leurs images vers l'enregistreur, mais certainement pas d'accéder aux postes de la comptabilité.
Les zones typiques d'une PME
Chaque organisation est différente, mais un découpage courant ressemble à ceci :
- Postes de travail des collaborateurs ;
- Serveurs et stockage, avec un accès limité aux services nécessaires ;
- Sauvegardes, idéalement dans une zone encore plus restreinte ;
- Administration des équipements réseau, accessible uniquement depuis des postes dédiés ;
- Téléphonie IP, qui bénéficie aussi d'une meilleure qualité de service lorsqu'elle est isolée ;
- Objets connectés : caméras, contrôle d'accès, imprimantes, écrans, domotique ;
- Wi-Fi invités, totalement séparé du réseau interne et limité à l'accès Internet.
Les objets connectés méritent une attention particulière. Ils sont souvent peu mis à jour et rarement surveillés, ce qui en fait des points d'entrée appréciés. Les isoler est l'une des mesures les plus utiles.
Comment procéder concrètement
Une segmentation réussie commence par un inventaire. Il est impossible de cloisonner correctement ce que l'on ne connaît pas. La démarche peut suivre ces étapes :
- recenser les appareils connectés et leurs usages ;
- identifier les flux nécessaires : qui doit parler à qui, sur quels services ;
- définir les zones et leur plan d'adressage ;
- vérifier que les commutateurs, points d'accès Wi-Fi et pare-feu supportent les VLAN et le filtrage entre zones ;
- migrer progressivement, zone par zone, en testant chaque changement ;
- documenter les règles et les revoir régulièrement.
La migration demande de la rigueur, car une règle trop stricte peut bloquer une imprimante ou un logiciel métier. Mieux vaut avancer par étapes, en commençant par les zones les plus simples à isoler, comme le Wi-Fi invités et les caméras.
Les erreurs fréquentes à éviter
Plusieurs pièges reviennent souvent. Créer des VLAN sans filtrer le trafic entre eux n'apporte presque aucune sécurité : les zones existent, mais toutes les portes restent ouvertes. Autoriser « temporairement » tous les flux pour résoudre un problème, puis oublier de revenir en arrière, est un autre classique. Enfin, laisser l'interface d'administration du pare-feu ou des commutateurs accessible depuis n'importe quel poste annule une partie des bénéfices.
Pensez également aux accès distants. Un collaborateur connecté par VPN ne devrait pas obtenir automatiquement l'accès à l'ensemble du réseau, mais uniquement aux ressources nécessaires à son travail.
Un investissement durable
La segmentation apporte des bénéfices qui dépassent la sécurité : un réseau mieux organisé est plus facile à dépanner, à faire évoluer et à documenter. Elle s'inscrit aussi dans les bonnes pratiques recommandées par des référentiels comme les CyberFundamentals du Centre for Cybersecurity Belgium.
Si votre réseau a grandi au fil des années sans plan d'ensemble, une analyse de l'existant constitue un bon point de départ. Notre approche de la sécurisation réseau couvre la conception des zones et la configuration du pare-feu, et nous isolons systématiquement les équipements de vidéosurveillance et contrôle d'accès.
Cloisonner son réseau, c'est accepter qu'un incident puisse survenir et faire en sorte qu'il reste contenu. C'est une mesure discrète, mais qui peut transformer une catastrophe en incident maîtrisé.
