Segmentation des réseaux dans les PME : par où commencer ?

8 Min. de lecture

Dans la plupart des réseaux de PME, un attaquant qui s’y trouve peut aller presque partout. Imprimantes, serveurs, comptabilité, production, tout est connecté sur le même réseau plat. C’est précisément ce qui rend les ransomwares si efficaces : un seul poste compromis suffit à se propager partout. La segmentation réseau renverse cette logique. Elle limite les systèmes qu’un poste compromis peut atteindre, privant ainsi les attaquants de leur capacité de mouvement au sein du réseau interne.

Les points clés en bref

Le réseau plat est l’amplificateur. Sans cloisonnement, un seul poste infecté peut provoquer une panne totale. La plupart des attaques réussies reposent sur le mouvement latéral dans le réseau.
Les segments limitent les dégâts. Même une séparation grossière en quelques zones réduit considérablement la portée d’une attaque. La microsegmentation pousse ce principe jusqu’au niveau de chaque système.
Commencer là où les dégâts seraient les plus importants. Les PME n’ont pas besoin de tout cloisonner d’un coup. En débutant par les zones les plus critiques, on obtient le meilleur effet pour le moindre effort.

Connexe :Zero Trust chez le fournisseur d’énergie / PAM sans budget entreprise

Qu’est-ce que la segmentation réseau ? La segmentation réseau consiste à diviser un réseau en plusieurs sections distinctes, entre lesquelles le trafic est contrôlé. Au lieu d’un réseau unique et ouvert, des zones se forment, par exemple pour les bureaux, les serveurs, la production ou les visiteurs. Une menace dans une section ne peut pas s’étendre librement aux autres, car des règles et des points de contrôle s’interposent.

Pourquoi les réseaux plats accélèrent les ransomwares

Un réseau plat est pratique. Tout trouve tout, rien n’a besoin d’être configuré, les nouveaux appareils fonctionnent immédiatement. C’est précisément cette commodité qui constitue la faiblesse. Si chaque poste peut en atteindre un autre, le logiciel malveillant qui en a pris le contrôle le peut aussi. Le premier poste infecté devient un tremplin pour l’ensemble du réseau.

Ce mouvement latéral n’est pas un phénomène marginal, c’est la norme dans les attaques réussies. L’accès initial via un e-mail de phishing ou une faille non corrigée n’est que le début. Les dégâts réels surviennent lorsque l’attaquant progresse de là vers les cibles de valeur : le serveur de fichiers, la sauvegarde des données, la gestion du domaine.

60 pour cent

des attaques réussies exploitent le mouvement latéral dans le réseau selon une étude sectorielle, ce que la segmentation précisément empêche.

Source : Illumio, étude sur le Lateral Movement 2025

Un cas pédagogique bien documenté est celui d’une attaque qui s’est propagée il y a quelques années sur un réseau d’entreprise plat, causant des dommages à trois chiffres en millions d’euros, faute de cloisons internes. Dans les PME, le même mécanisme opère à plus petite échelle, mais il touche souvent directement la production, la comptabilité et la reprise d’activité. L’ampleur des dégâts ne dépend donc pas seulement de l’accès initial, mais de jusqu’où l’attaquant peut progresser ensuite.

3 niveaux rendent les réseaux résilients

La segmentation commence généralement par quelques zones et peut aller jusqu’au contrôle de systèmes individuels. Pour débuter, l’essentiel est que les zones critiques ne communiquent plus sans contrôle entre elles.

Niveau	Principe	Limite
Zones VLAN	séparation grossière par domaine	tout reste ouvert au sein de la zone
Pare-feu entre les zones	les règles régissent les transitions	aussi efficace que la maintenance des règles
Microsegmentation	règles par système, basées sur l’identité	plus complexe à mettre en place

La séparation classique par zones via les VLAN constitue le point d’entrée pragmatique et isole les domaines évidents : le Wi-Fi invité du réseau interne, la production de l’informatique de bureau, les serveurs dans leur propre segment. L’élément crucial, souvent négligé, est le suivant : une zone seule ne freine rien si le trafic entre les zones circule sans filtrage. Ce n’est qu’en ajoutant un pare-feu avec des règles précises que des zones séparées deviennent de véritables cloisons. La microsegmentation va plus loin en appliquant des règles entre systèmes individuels, indépendamment de leur position dans le réseau. C’est l’outil le plus puissant contre les déplacements latéraux, mais aussi le plus complexe à déployer.

Par où les PME commencent sans se perdre

L’erreur la plus fréquente consiste à vouloir tout séparer d’un coup et à ne finalement rien entreprendre. Il est plus judicieux de se demander où une propagation serait la plus coûteuse, et d’ériger la première cloison précisément à cet endroit.

Trois séparations produisent un premier effet mesurable dans de nombreux réseaux de PME. Premièrement, isoler strictement le réseau Wi-Fi invité du réseau interne, car les appareils étrangers n’ont jamais leur place dans la même zone que la comptabilité. Deuxièmement, séparer la production ou les systèmes de contrôle des machines de l’informatique de bureau, ces systèmes étant souvent anciens, non corrigés et particulièrement vulnérables. Troisièmement, placer les serveurs critiques – sauvegarde et administration en tête – dans un segment propre, étroitement contrôlé. Ces trois séparations suffisent à réduire les chemins par lesquels une attaque peut se propager latéralement.

Ce que la segmentation apporte et ce qui en fait une fausse sécurité

Une séparation sur le papier ne protège pas. La question de savoir si la segmentation est efficace ou ne procure qu’un sentiment rassurant se décide à la mise en œuvre. Les schémas suivants distinguent l’une de l’autre.

Fausse sécurité

Zones définies, mais le trafic entre elles circule sans filtrage
Une règle qui autorise tout, parce que la séparation a demandé du travail
Des systèmes anciens servant de pont qui relie quand même deux zones
Des règles définies une fois et jamais réexaminées

Séparation réelle

Transition filtrée entre les zones, bloquée par défaut
Seules les connexions véritablement nécessaires sont explicitement autorisées
Les serveurs critiques et les sauvegardes dans une zone dédiée
Règles documentées et réexaminées régulièrement

Le fil conducteur est le principe de l’autorisation explicite : entre les zones, tout est d’abord interdit, et seules les connexions nécessaires sont libérées de manière ciblée. C’est plus de travail qu’une règle unique qui laisse tout passer, mais c’est la différence entre une cloison et une porte toujours ouverte. La segmentation réseau n’empêche pas une attaque. Elle fait en sorte qu’un incident ne devienne pas un sinistre total – et c’est, le moment venu, la différence décisive.

Foire aux questions

Un VLAN suffit-il pour assurer la sécurité ?

Un VLAN sépare les zones de manière logique, mais ne bloque pas en lui-même une menace si le trafic entre les VLAN circule sans filtrage. Au sein d’un VLAN, tout reste par ailleurs accessible. La sécurité n’émerge que lorsqu’un pare-feu avec des règles claires se trouve entre les zones et n’autorise que les connexions nécessaires. Le VLAN est la frontière, la règle de filtrage est la protection.

Quelle est la différence entre la segmentation et la micro-segmentation ?

La segmentation classique divise le réseau en quelques grandes zones, par exemple le bureau, les serveurs et la production. La micro-segmentation est plus fine et définit des règles entre des systèmes ou des charges de travail individuels, souvent sur la base de l’identité et indépendamment de la position dans le réseau. Elle limite le plus efficacement les mouvements latéraux, mais est plus complexe à mettre en place et à maintenir.

Par où une PME devrait-elle commencer à segmenter ?

Aux trois endroits présentant le plus grand potentiel de dommages : le réseau invités et Wi-Fi séparé du réseau interne, la production ou la commande des machines séparée de l’informatique de bureau, et les serveurs critiques ainsi que les sauvegardes dans une zone dédiée. Ces trois cloisons limitent la majeure partie des dommages réalistes, sans qu’il soit nécessaire de reconstruire l’ensemble du réseau d’un coup.

La segmentation ne rend-elle pas le réseau trop compliqué ?

Elle augmente la charge de maintenance, c’est le prix à payer. Mais la complexité reste maîtrisable si l’on commence par quelques zones claires et ne libère que les connexions nécessaires. L’effort n’est pas proportionnel aux dommages d’un incident qui se propage sans entrave. Il est essentiel de documenter les règles afin qu’elles restent compréhensibles et faciles à maintenir.

La segmentation est-elle également utile contre les ransomwares ?

Oui, et précisément là où c’est décisif. Les ransomwares vivent de leur capacité à se propager après la première infection et à chiffrer le plus grand nombre de systèmes possible. Une séparation rigoureuse limite cette propagation à une zone, au lieu de la laisser s’étendre à l’ensemble du réseau. Combinée à une sauvegarde séparée et protégée, elle constitue l’une des mesures les plus efficaces contre une panne totale.