Segmentation réseau en PME : pourquoi votre réseau « à plat » transforme un incident en catastrophe (et comment le cloisonner en 2026)

Quand j'interviens après un incident dans une PME, la question qui fait mal n'est presque jamais « comment sont-ils entrés ? ». On finit toujours par le savoir : une pièce jointe, un VPN non patché, un mot de passe réutilisé. La vraie question, celle qui décide si l'entreprise repart en deux jours ou en trois semaines, c'est : « pourquoi ont-ils pu aller partout ? ». Et la réponse est presque toujours la même : le réseau est plat. Un seul grand espace où le PC du stagiaire, la caisse, la caméra IP, le NAS de sauvegarde et le serveur comptable se parlent librement. Cet article explique comment cloisonner un réseau de PME, concrètement, sans budget de grand groupe.

Réseau « à plat » : ce que ça veut dire et pourquoi c'est le pire scénario

Un réseau à plat, c'est un réseau où tous les équipements sont sur le même sous-réseau et peuvent se joindre sans aucun filtrage. C'est le comportement par défaut de la quasi-totalité des installations : on branche une box ou un routeur, quelques switchs non administrables, et tout le monde est dans le même 192.168.1.0/24. Ça fonctionne parfaitement — c'est justement le problème. Le pare-feu ne voit que le trafic qui sort vers Internet ; ce qui circule à l'intérieur lui est totalement invisible.

Le mouvement latéral, en clair

Un attaquant qui compromet un poste ne s'arrête jamais à ce poste. Il cherche à se déplacer : c'est le mouvement latéral. Depuis un PC bureautique, il scanne le réseau, trouve les partages ouverts, les vieux protocoles (SMBv1, RDP exposé en interne, VNC), les identifiants stockés en clair, et rebondit. Sur un réseau à plat, ce parcours prend souvent quelques heures. La conséquence pratique : le ransomware ne chiffre pas un poste, il chiffre l'entreprise, sauvegardes comprises si le NAS est joignable depuis n'importe quel PC. Segmenter ne vous empêche pas d'être attaqué. Segmenter fait la différence entre un poste à réinstaller et une activité à l'arrêt.

Les 5 zones minimum à séparer dans une PME

Inutile de viser vingt VLAN. Dans une structure de 5 à 100 personnes, cinq zones couvrent déjà 90 % du risque :

1. Postes de travail. Les PC des collaborateurs. Ils ont besoin d'Internet, du serveur de fichiers et de l'imprimante. Rien d'autre.

2. Serveurs et données. Serveur de fichiers, ERP, application métier, hyperviseur. Cette zone n'initie jamais de connexion vers les postes — seulement l'inverse, et sur des ports précis.

3. Sauvegardes. La zone la plus critique et la plus souvent négligée. Le NAS ou le serveur de sauvegarde doit être inaccessible depuis les postes de travail. Idéalement, c'est lui qui va chercher les données, pas les postes qui écrivent dessus avec un compte partagé.

4. Wi-Fi invités et appareils personnels. Isolation totale du réseau interne, accès Internet uniquement. C'est la zone la plus simple à mettre en place et souvent la première fuite.

5. IoT et équipements « boîte noire ». Caméras, contrôle d'accès, imprimantes multifonctions, TV connectées, sondes techniques, machines-outils. Ces équipements sont rarement mis à jour et constituent une porte d'entrée durable. Ils n'ont aucune raison de parler au serveur comptable.

La méthode en 5 étapes, dans l'ordre

1. Cartographier avant de couper

On ne segmente pas un réseau qu'on ne connaît pas. Première étape : inventorier ce qui est branché et qui parle à qui. Un scan du réseau et quelques jours d'observation des flux suffisent à repérer les dépendances invisibles — la GPAO qui interroge une base sur un poste fixe, la licence flottante, le logiciel de gestion qui tourne encore sur un vieux Windows Server.

2. Créer les VLAN et le plan d'adressage

Un VLAN par zone, un sous-réseau par VLAN, une nomenclature lisible. Cela suppose des switchs administrables et un pare-feu capable de router entre les VLAN. C'est le seul vrai poste matériel du chantier.

3. Écrire les règles en mode « tout interdit sauf »

Le réflexe naturel est d'autoriser large puis de restreindre. Ça ne se fait jamais. On part d'un refus par défaut et on ouvre uniquement les flux identifiés à l'étape 1, avec journalisation. Une règle qui n'a rien loggé en trois mois est une règle à supprimer.

4. Migrer par vagues, jamais tout un week-end

On bascule une zone à la fois, en commençant par la moins risquée (le Wi-Fi invité), puis l'IoT, puis les postes, et enfin les serveurs. Prévoyez un plan de retour arrière documenté pour chaque vague.

5. Vérifier que ça bloque vraiment

Une segmentation non testée est une hypothèse. Depuis un poste standard, on tente d'atteindre le NAS de sauvegarde, la caméra, le serveur. Si ça répond, la règle est mal écrite. Ce test doit être rejoué après chaque changement d'infrastructure.

Combien ça coûte réellement ?

Pour une PME de 20 à 50 postes sur un site, le budget se répartit entre du matériel — pare-feu correct et switchs administrables, généralement quelques milliers d'euros amortis sur 5 ans — et la prestation de conception, migration et tests, qui représente typiquement quelques jours d'intervention. À mettre en face du coût réel d'un arrêt d'activité : perte d'exploitation, restauration, communication, et parfois la franchise de l'assurance cyber, qui exige de plus en plus des mesures d'isolation des sauvegardes.

Les trois erreurs qu'on voit le plus souvent

Segmenter le réseau mais pas les comptes. Des VLAN parfaits ne servent à rien si le même compte administrateur local existe sur tous les postes avec le même mot de passe. Le cloisonnement réseau et le cloisonnement des identités vont ensemble.

Oublier le télétravail. Un VPN qui déverse les postes distants dans le VLAN serveurs annule le travail. Les accès distants doivent aboutir dans leur propre zone, avec leurs propres règles.

Laisser une règle « any/any » temporaire. Créée un vendredi soir pour débloquer une application, jamais retirée. C'est la fuite la plus fréquente que je trouve en audit.