Sécuriser le réseau de votre entreprise, couche par couche
Un pare-feu seul ne protège plus rien. Voici ce qui compose une sécurité réseau qui tient en PME, dans quel ordre l'installer, et comment savoir où vous en êtes aujourd'hui.
La question n'est pas de savoir si votre réseau sera visé. Il l'est déjà, par des campagnes automatisées qui balaient des plages d'adresses sans se demander ce qu'elles trouvent. La question est de savoir ce qui se passe quand une de ces tentatives aboutit.
C'est là que la plupart des réseaux de PME se révèlent. Pas parce qu'ils n'ont pas de pare-feu, ils en ont presque tous un. Mais parce que ce pare-feu est la seule chose qui les sépare de l'attaquant. Une fois cette porte franchie, plus rien ne freine : le réseau est plat, un poste compromis voit le serveur de fichiers, la sauvegarde et la comptabilité. L'intrusion prend dix minutes. La propagation prend le week-end.
Sécuriser un réseau, ce n'est pas empiler des produits. C'est faire en sorte qu'aucune défaillance unique ne donne accès à tout. Cette page décrit les couches qui composent cette défense, et l'ordre dans lequel elles apportent réellement quelque chose.
des victimes de rançongiciel accompagnées par l'ANSSI sont des TPE, des PME ou des ETI. Le réseau d'une entreprise de vingt personnes est une cible, pas un angle mort.
Source : ANSSI, Panorama de la cybermenace 2025
Ce qui ne marche pas, et pourquoi
Trois configurations reviennent presque systématiquement lors de nos audits.
Le réseau plat
Tous les équipements sur le même segment : les postes, les serveurs, les imprimantes, le WiFi invité, parfois la caméra de surveillance et la pointeuse. Chacun peut parler à tous les autres. Un poste infecté par une pièce jointe atteint le serveur de sauvegarde dans la seconde. C'est la configuration qui transforme un incident en sinistre.
Le pare-feu posé et oublié
Installé à l'ouverture des locaux, jamais mis à jour depuis, avec des règles accumulées au fil des besoins et jamais nettoyées. Une règle ouverte pour un prestataire parti il y a trois ans reste ouverte. Le firmware date de deux versions majeures. L'équipement est là, il ne protège plus grand-chose.
Les accès distants improvisés
Un port RDP publié sur Internet « le temps du confinement », toujours en place. Un VPN dont le mot de passe est partagé dans un fichier Excel. Un compte administrateur utilisé par quatre personnes. Ce sont les points d'entrée que les scanners trouvent en premier, parce qu'ils sont visibles depuis l'extérieur.
Ces trois situations ont un point commun : elles ne coûtent rien à corriger en priorité, et elles portent l'essentiel du risque.
Réseau typique de PME et réseau supervisé
- Pare-feu
- Règles de filtrage
- Segmentation
- Comptes administrateurs
- Accès distants
- WiFi invité
- Antivirus
- Supervision des postes
- Journalisation
- Sauvegarde
- Restauration testée
Les cinq couches, dans l'ordre
Une bonne sécurité réseau n'est pas un produit unique mais un empilement de couches, où chacune rattrape la défaillance de la précédente. Les voici dans l'ordre où elles apportent réellement quelque chose.
Pour aller plus loin
-
1 · Le pare-feu maintenu
FortiGate déployé, firmwares appliqués, règles revues — vivant, pas simplement installé.
-
2 · La segmentation
Des zones qui ne se voient pas sans raison : le rayon d’action d’une intrusion reste limité.
-
3 · Le contrôle des accès
Moindre privilège, comptes nominatifs, authentification renforcée. Keeper pour les mots de passe.
-
4 · La détection et la réponse
EDR comportemental sur les postes, supervisé 24/7. On part du principe que quelque chose passera.
-
5 · Les personnes
Sensibilisation courte et régulière avec Power Academy : phishing, mots de passe, bons réflexes.
Le pare-feu, maintenu et non simplement installé
Le pare-feu reste le premier filtre, à condition qu'il soit vivant. Nous déployons du Fortinet FortiGate, et l'essentiel de la valeur n'est pas dans le boîtier : elle est dans le fait que quelqu'un applique les firmwares, revoie les règles, et surveille ce qui remonte.
Un FortiGate managé inspecte le trafic en profondeur, y compris les flux chiffrés, filtre les accès web, et bloque les connexions vers les infrastructures de commande connues. Un FortiGate laissé à lui-même fait la même chose avec des signatures de l'an dernier.
C'est la différence entre acheter un équipement et acheter une protection.
La segmentation, ce qui limite les dégâts
La segmentation ne bloque pas l'intrusion. Elle décide de son rayon d'action.
Le principe : séparer le réseau en zones qui ne se voient pas entre elles sans raison. Les serveurs dans une zone, les postes dans une autre, le WiFi invité isolé, les équipements connectés (imprimantes, caméras, contrôle d'accès) à part, parce qu'ils sont rarement mis à jour et souvent le maillon faible.
Concrètement, avec un réseau segmenté, le poste comptable compromis par une pièce jointe ne peut pas atteindre le serveur de fichiers. L'incident reste un incident. Sans segmentation, il devient un chiffrement complet du système d'information.
C'est la mesure qui offre le meilleur rapport entre effort et réduction du risque, et c'est celle qui manque le plus souvent.
Le contrôle des accès
Une identité vaut aujourd'hui plus qu'une faille : elle ouvre la porte sans déclencher d'alarme.
Trois principes tiennent l'essentiel. Le moindre privilège : chaque utilisateur accède à ce dont son poste a besoin, rien de plus, et les comptes administrateurs ne servent pas à consulter ses mails. Les comptes nominatifs : un compte partagé rend toute investigation impossible et survit aux départs. L'authentification renforcée : un mot de passe volé ne suffit plus à entrer.
Nous déployons Keeper Security pour que les mots de passe cessent de vivre dans des fichiers Excel et des post-it, avec des accès révocables en un clic quand quelqu'un quitte l'entreprise.
La détection et la réponse
Les quatre couches précédentes visent à empêcher. Celle-ci part du principe que quelque chose passera.
L'antivirus classique compare à une liste de menaces connues. Il ne voit pas un rançongiciel écrit la semaine dernière. L'EDR ThreatDown de Malwarebytes que nous déployons observe le comportement : un processus qui commence à chiffrer des fichiers en masse est arrêté, même si personne ne l'a jamais vu avant. La supervision, la détection et la réponse sont assurées 24 heures sur 24, 7 jours sur 7, y compris quand vos locaux sont fermés, ce qui est précisément le moment que les attaquants choisissent.
C'est le point où la sécurité réseau cesse d'être une affaire d'équipements et devient une affaire de surveillance continue.
Les personnes
Aucune des quatre couches ne résiste à un collaborateur qui saisit ses identifiants sur une page qui imite parfaitement votre intranet. Ce n'est pas un défaut de vigilance, c'est un métier : les campagnes actuelles sont propres, contextualisées, sans faute de français.
La sensibilisation fonctionne quand elle est régulière et courte, pas quand elle prend la forme d'une réunion annuelle. Power Academy, notre plateforme e-learning, propose des modules brefs sur la reconnaissance du phishing, l'hygiène des mots de passe et les réflexes en cas de doute.
Ce que couvre un réseau managé par POWERiti
Les briques que nous déployons et maintenons, sans que vous ayez à arbitrer entre des fiches techniques.
- Pare-feu FortiGate Déploiement, règles, firmwares et supervision, sans intervention de votre part.
- Segmentation Découpage du réseau en zones étanches, y compris WiFi invité et équipements connectés.
- EDR sur les postes Détection comportementale et réponse automatique 24/7.
- Coffre-fort Keeper Mots de passe centralisés, partage contrôlé, révocation immédiate.
- Sauvegarde Acronis Postes sauvegardés 3 fois par jour, restauration vérifiée.
- Power Academy Sensibilisation continue de vos équipes.
La sauvegarde, dernière ligne et souvent la seule qui reste
Une remarque qui n'a l'air de rien : la sauvegarde n'est pas une mesure de sécurité réseau, jusqu'au jour où c'est la seule qui compte.
Un rançongiciel moderne cherche les sauvegardes avant de chiffrer. S'il les trouve sur le même réseau, avec les mêmes identifiants, il les chiffre aussi. L'entreprise découvre alors qu'elle sauvegardait consciencieusement dans le périmètre de l'attaque.
Trois conditions rendent une sauvegarde réellement utile : elle est hors du périmètre compromis, elle est fréquente (nos postes sont sauvegardés avec Acronis trois fois par jour), et elle a été restaurée au moins une fois pour de vrai. Une sauvegarde jamais testée est une hypothèse, pas une garantie.
Pour Microsoft 365, le raisonnement est identique et régulièrement ignoré : Microsoft assure la disponibilité de son service, pas la récupération de vos données après une suppression ou un chiffrement. C'est le rôle de OpenText CloudAlly.
Ce que nous entendons en audit
-
« On a un pare-feu, il a été installé en même temps que la fibre. »
Sans mise à jour depuis, il filtre avec les signatures de son année d’installation.
-
« Le VPN, tout le monde utilise le même compte. »
Un départ, et l’accès reste ouvert sans que personne ne le sache.
-
« On sauvegarde tous les soirs sur le NAS. »
Le NAS est sur le même réseau que les postes. Un rançongiciel le chiffre en même temps.
-
« On est trop petits pour intéresser quelqu’un. »
Les campagnes sont automatisées. Elles ne choisissent pas leurs cibles, elles les trouvent.
Par où commencer
L'ordre compte plus que l'exhaustivité. Une PME qui tente tout à la fois n'aboutit sur rien.
Dans les faits, la séquence qui produit le plus de réduction de risque pour le moins d'effort est presque toujours la même : fermer les accès distants exposés, vérifier que la sauvegarde est hors périmètre et restaurable, segmenter, puis déployer la détection sur les postes. La sensibilisation accompagne l'ensemble, en continu.
Mais cette séquence suppose de savoir ce que vous avez. C'est l'objet de l'audit : cartographier les équipements, repérer ce qui est exposé depuis l'extérieur, identifier les comptes orphelins et les règles obsolètes, vérifier l'état réel des sauvegardes. Il dure une demi-journée, il est gratuit et sans engagement, et il produit un état des lieux écrit que vous gardez, que vous travailliez ensuite avec nous ou non.
La méthodologie complète est détaillée dans notre guide de l'audit réseau informatique.
Auditer votre réseau, gratuitement
Une demi-journée sur site, un état des lieux écrit, aucune obligation de suite. Nos techniciens vous rappellent sous 24 heures ouvrées pour convenir d'une date.
Un doute sur l'état réel de votre réseau ?
Le plus souvent, ce qui manque n'est pas un équipement de plus. C'est de savoir ce qui est exposé.
Parler à un technicien04 120 401 90Dans la même rubrique
- Firewall managé Fortinet Le pare-feu déployé, maintenu et supervisé. En savoir plus
- Antivirus & EDR La détection comportementale sur les postes. En savoir plus
- Protection des données Sauvegarde, chiffrement, restauration. En savoir plus
- Sensibilisation des équipes Power Academy. En savoir plus
- Télétravail sécurisé VPN et accès distants. En savoir plus
Questions fréquentes
Les points qui reviennent le plus souvent quand on parle de sécurité réseau en PME.
-
Par un état des lieux. Les mesures les plus rentables sont presque toujours de fermer les accès distants exposés, vérifier que la sauvegarde est hors du périmètre et restaurable, puis segmenter le réseau. Mais l’ordre dépend de ce qui existe déjà : un audit d’une demi-journée le détermine.
-
Non. Un pare-feu filtre le périmètre. Il ne voit ni ce qui se passe une fois l’attaquant entré, ni les identifiants volés utilisés depuis un accès légitime. Il reste nécessaire, à condition d’être maintenu, mais il forme une couche parmi cinq.
-
Elle consiste à découper le réseau en zones qui ne communiquent pas librement. Son intérêt : quand un poste est compromis, l’attaquant ne peut pas atteindre les serveurs et les sauvegardes. Elle ne réduit pas la probabilité de l’incident, elle réduit son ampleur.
-
L’antivirus reconnaît des menaces déjà répertoriées. L’EDR observe les comportements et arrête une action anormale, comme le chiffrement massif de fichiers, même si le programme est inconnu. Face aux rançongiciels actuels, l’antivirus par signature est régulièrement en retard.
-
Seulement si elle est hors du périmètre compromis. Les rançongiciels cherchent les sauvegardes avant de chiffrer : une sauvegarde sur un NAS du même réseau, accessible avec les mêmes identifiants, est chiffrée en même temps que le reste. Et une sauvegarde jamais restaurée à l’essai n’est pas une sauvegarde vérifiée.
-
Oui. Selon le Panorama de la cybermenace 2025 de l’ANSSI, 48 % des victimes de rançongiciel accompagnées sont des TPE, des PME ou des ETI. Les campagnes sont automatisées : elles balaient des plages d’adresses sans distinguer la taille de l’entreprise derrière.