Le wifi des visiteurs, l'imprimante et la caméra : trois portes ouvertes
Actualités
5 Min
Dans beaucoup d'entreprises, l'imprimante et la caméra sont sur le même réseau que la comptabilité. Pourquoi c'est un problème et comment le corriger progressivement.
🎯 TL;DR
Dans un nombre important d'entreprises, le wifi des visiteurs, l'imprimante, les caméras et le serveur qui contient les fichiers clients sont sur le même réseau. Ils se voient et peuvent se parler.
Le wifi visiteurs, l'imprimante et les caméras ne sont pas des cibles en elles-mêmes : ce sont des points d'appui pour atteindre le reste du réseau.
La solution s'appelle segmenter : découper le réseau en zones qui ne communiquent que par des passages contrôlés — exactement le principe des portes coupe-feu.
Quatre zones suffisent : serveurs et données, postes de travail, équipements techniques, visiteurs.
La méthode pour ne rien casser : observer avant d'agir, tester en mode observation, puis activer zone par zone du moins risqué au plus sensible.
📌 Pourquoi ce sujet maintenant
Les analyses d'incidents publiées cette année pointent régulièrement le même schéma : un équipement secondaire compromis sert de point d'appui pour atteindre le reste de l'entreprise. Ces matériels sont rarement mis à jour et conservent souvent leurs identifiants d'origine.
Voici une question à poser à la personne qui s'occupe de votre informatique. Si quelqu'un se connecte au wifi visiteurs de votre salle de réunion, à quoi peut-il accéder ?
Dans un nombre important d'entreprises, la réponse honnête est : à tout. Le wifi des visiteurs, l'imprimante du couloir, les caméras de surveillance, les postes de la comptabilité et le serveur qui contient les fichiers clients sont sur le même réseau. Ils se voient, ils peuvent se parler.
Au quotidien, cela ne pose aucun problème visible. Tout fonctionne, personne ne se plaint. C'est justement pour cela que la situation dure.
Pourquoi ces trois équipements en particulier
Le wifi visiteurs parce que vous ne maîtrisez pas qui s'y connecte ni avec quel appareil. Un ordinateur portable de passage peut être infecté sans que son propriétaire le sache.
L'imprimante parce que c'est un ordinateur que personne ne considère comme tel. Elle a un système, une adresse réseau, une interface d'administration, et très souvent le mot de passe d'origine du fabricant. Elle n'a presque jamais été mise à jour depuis son installation.
Les caméras et les équipements techniques parce qu'ils sont installés par des prestataires qui ne sont pas informaticiens, avec des configurations par défaut, et qu'ils restent en place dix ans sans que personne ne les touche.
Ces trois familles ont un point commun : ce ne sont pas des cibles en elles-mêmes. Ce sont des points d'appui. Personne ne veut voler votre imprimante. En revanche, une imprimante compromise donne un pied dans votre réseau, à partir duquel on regarde ce qu'il y a d'autre.
ℹ️ En clair
Segmenter un réseau, c'est le découper en zones qui ne communiquent entre elles que par des passages contrôlés.
C'est exactement le principe des portes coupe-feu dans un bâtiment. Elles n'empêchent pas l'incendie de démarrer. Elles l'empêchent de se propager à tout l'immeuble.
Les quatre zones à créer
Inutile de viser une organisation sophistiquée. Quatre zones couvrent l'essentiel du risque.
Les serveurs et les données. La zone la plus protégée. Les postes de travail doivent pouvoir y accéder pour travailler, mais uniquement pour cela.
Les postes de travail. La zone la plus exposée, puisque c'est là qu'arrivent les emails et que se fait la navigation. Un détail qui compte : les postes n'ont en général aucune raison de communiquer entre eux, et le leur interdire limite beaucoup la propagation d'un problème.
Les équipements techniques. Imprimantes, caméras, contrôle d'accès, téléphonie, capteurs. Aucun accès aux serveurs. Ces matériels ont besoin d'être joignables par les utilisateurs, pas d'aller fouiller dans vos fichiers.
Les visiteurs. Accès à Internet, rien d'autre. C'est souvent la zone la plus simple à mettre en place, et elle est parfois déjà en place, ce qui donne un point de départ.
Comment procéder sans rien casser
La crainte légitime, c'est de bloquer quelque chose d'important. Elle se traite par la méthode.
La première étape consiste à observer avant d'agir. On regarde pendant une semaine ordinaire qui communique avec qui. Cela révèle presque toujours des liens insoupçonnés, typiquement un logiciel métier qui va chercher des informations sur une machine qu'on croyait indépendante.
La deuxième consiste à installer les règles en mode observation, sans blocage, pendant une quinzaine de jours. On voit ce qui serait bloqué, et on ajuste avant que cela n'ait le moindre effet.
La troisième consiste à activer zone par zone, en commençant par les visiteurs, puis les équipements techniques, puis le reste. Du moins risqué vers le plus sensible.
Sur le plan matériel, la plupart des entreprises disposent déjà de ce qu'il faut, à condition que leurs équipements réseau soient administrables. Quand ce n'est pas le cas, remplacer un commutateur ou un pare-feu vieillissant est souvent l'investissement qui débloque l'ensemble.
Deux erreurs à éviter
Vouloir tout cloisonner d'un coup. Douze zones dans une entreprise de soixante personnes créent une complexité que plus personne ne maîtrise au bout de six mois. Quatre zones bien tenues valent beaucoup mieux.
Oublier de documenter. Des règles dont plus personne ne se rappelle la raison finissent par être désactivées lors du premier incident, ce qui annule tout le bénéfice du projet.
🧭 Ce que nous faisons sur ce sujet
Notre offre d'audit et conseil comprend une analyse de conformité de votre réseau et de votre annuaire, ainsi que la mise en conformité correspondante.
Nous fournissons et intégrons également les équipements nécessaires : commutateurs, pare-feu, routeurs et bornes wifi, avec les solutions de sécurité que nous portons, notamment Sophos et OPNsense avec Zenarmor pour le pare-feu et l'antivirus ESET pour les postes.
❓ Questions fréquentes
Qu'est-ce que segmenter un réseau d'entreprise ?
C'est découper le réseau en zones qui ne communiquent entre elles que par des passages contrôlés, sur le principe des portes coupe-feu : elles n'empêchent pas un incident de démarrer, elles l'empêchent de se propager à toute l'entreprise.
Pourquoi l'imprimante est-elle un risque de sécurité ?
Parce que c'est un ordinateur que personne ne considère comme tel : elle a un système, une adresse réseau et souvent le mot de passe d'origine du fabricant, jamais mis à jour. Une imprimante compromise sert de point d'appui vers le reste du réseau.
Combien de zones réseau faut-il créer ?
Quatre zones suffisent pour couvrir l'essentiel du risque : serveurs et données, postes de travail, équipements techniques, visiteurs. Vouloir tout cloisonner en de multiples zones crée une complexité que plus personne ne maîtrise après quelques mois.
Comment segmenter son réseau sans bloquer les équipes par erreur ?
En procédant en trois temps : observer une semaine ordinaire qui communique avec qui, tester les règles en mode observation sans blocage pendant une quinzaine de jours, puis activer zone par zone, en commençant par la moins risquée.
Sources & Références
Guides ANSSI sur le cloisonnement des réseaux et la sécurisation des architectures (cyber.gouv.fr).
CERT-FR, analyses sur les techniques de propagation au sein des réseaux d'entreprise.
Retours terrain SPM Digital sur audits réseau réalisés chez nos clients.
Vous ne savez pas répondre à la question du début ?
Nous pouvons analyser votre réseau et vous montrer précisément ce qui communique avec quoi, puis vous proposer un cloisonnement progressif.
Rédigé par Sylvain Sarazin
Expert IT pour PME en Île-de-France · virtualisation, sécurité, infogérance.
Similar Topic
