Cybersécurité Publié le 27 avril 2026 · Mis à jour le 9 octobre 2026 · 9 min de lecture

Comment sécuriser le réseau de son entreprise en 2026

La réponse courte : un réseau d'entreprise se sécurise en six couches, un pare-feu dédié, une segmentation en zones, un Wi-Fi professionnel, des accès distants par VPN avec double authentification, une supervision des journaux et une organisation qui tient l'inventaire. Aucune ne suffit seule ; chacune ferme une porte que les attaquants testent aujourd'hui.

Pourquoi s'en occuper maintenant ? Le rapport Verizon 2025 relève que l'exploitation de vulnérabilités, surtout sur les équipements de bordure (pare-feu, VPN, routeurs), est le point d'entrée de 20 % des violations de données, en hausse de 34 % en un an. De son côté, l'ANSSI a compté 196 incidents d'exfiltration de données en 2025 contre 130 en 2024, parfois consécutifs à la compromission d'un prestataire. Le réseau est l'endroit où l'on arrête ces deux scénarios.

Les six couches en un tableau

Couche	Ce qu'elle bloque	Le signe qu'elle manque
1. Pare-feu d'entreprise	Flux entrants non sollicités, sites malveillants, sorties de données anormales	La box opérateur fait office de pare-feu
2. Segmentation (VLAN)	La propagation d'un poste ou d'une caméra compromis vers les serveurs	Un seul réseau pour tout le monde, invités compris
3. Wi-Fi professionnel	L'écoute du trafic, les connexions de terminaux inconnus	Un mot de passe Wi-Fi unique, connu de tous, jamais changé
4. Accès distants (VPN + double authentification)	Les attaques par mots de passe sur les services exposés	Un bureau à distance ouvert sur internet
5. Supervision et journaux	Rien directement, mais détecte l'intrusion en heures plutôt qu'en semaines	Personne ne lit les journaux, ou ils n'existent pas
6. Organisation	Les comptes oubliés, les équipements inconnus, les erreurs humaines	Pas d'inventaire, pas de procédure de départ

1. Le pare-feu d'entreprise : la base

Un pare-feu d'entreprise n'a rien à voir avec celui de votre box opérateur ou de Windows. C'est un équipement dédié, placé entre votre réseau et internet, qui analyse les flux entrants et sortants, porte le VPN, sépare les zones et journalise. Pour les PME, les gammes courantes viennent de Stormshield, Fortinet, Sophos ou Cisco ; l'ANSSI publie par exemple un guide de configuration sécurisée des pare-feu Stormshield. Comptez un abonnement annuel pour les mises à jour des signatures de menaces.

Un pare-feu mal configuré ne sert à rien. Il faut écrire les règles selon vos flux réels, activer l'inspection applicative (IPS), fermer tous les ports inutiles, surveiller les journaux et surtout le mettre à jour : les équipements de bordure sont précisément ceux que Verizon identifie comme la cible montante de 2025. Ce suivi mensuel est l'une des tâches du forfait infogérance.

2. La segmentation : ne mettez pas tout dans le même panier

Erreur classique : un seul réseau pour tout le monde. Si une caméra IP, une imprimante ou le téléphone d'un visiteur est compromis, l'attaquant atteint vos serveurs et vos postes métier. La segmentation sépare le réseau en zones étanches, qui ne communiquent que par des règles explicites :

Zone postes de travail : les ordinateurs des collaborateurs, avec accès aux serveurs métier.
Zone serveurs : serveurs, NAS, sauvegardes. Très restreinte.
Zone invités : isolée du reste, sortie internet uniquement.
Zone objets connectés : caméras, imprimantes, automates, capteurs. Souvent vulnérables et rarement mis à jour, à isoler.
Zone paiement : pour les commerces, séparée pour les terminaux et les caisses.

Techniquement, la segmentation se fait avec des VLAN sur des commutateurs administrables et des règles sur le pare-feu. C'est aussi ce que recommande l'ANSSI pour le Wi-Fi : « cloisonner chaque Wi-Fi dans un VLAN distinct » et contrôler les communications entre réseaux par des équipements de filtrage.

3. Le Wi-Fi d'entreprise, selon l'ANSSI

En août 2026, l'ANSSI a publié une fiche « Sécurisation des réseaux Wi-Fi » dans sa collection Les Essentiels, une vingtaine de bonnes pratiques pour le milieu professionnel. Les règles qui comptent pour une PME :

Deux réseaux au moins, postes de travail et invités, chacun dans son VLAN, avec des noms distincts. Un troisième pour les objets connectés qui ne savent pas faire mieux que WPA2.
WPA3-Enterprise pour les postes (authentification par certificat), WPA2-Enterprise sous conditions, WPA3-Personal au minimum. Éviter les modes mixtes WPA2/WPA3. Plus de WEP ni de WPA d'origine.
WPS désactivé systématiquement, UPnP désactivé s'il ne sert pas.
Ne pas cacher le SSID, inutile selon l'ANSSI, mais changer le nom par défaut et éviter tout libellé qui révèle l'entreprise.
Seuls les points d'accès de l'entreprise sur le réseau : pas de borne personnelle ni de partage de connexion d'un téléphone.
Secrets contrôlés : diffusés au seul personnel autorisé, changés régulièrement et sans délai après un départ ou un doute.
Bornes professionnelles gérées par un contrôleur, avec journalisation des connexions envoyée vers la supervision.

4. Les accès distants : VPN et double authentification

Avec le télétravail et les sites multiples, les accès distants sont la norme. Ils sont aussi la cible favorite : identifiants volés et exploitation de vulnérabilités sont les deux premiers points d'entrée des violations dans le rapport Verizon 2025 (22 % et 20 %). Les règles :

VPN d'entreprise (IPsec, OpenVPN, WireGuard) pour tous les accès distants. Jamais de bureau à distance (RDP) ni de partage de fichiers exposé directement sur internet.
Double authentification obligatoire sur le VPN et sur la messagerie. Microsoft estime qu'elle bloque plus de 99,9 % des attaques de compromission de compte ; seulement 26 % des TPE-PME françaises l'ont déployée selon le baromètre 2025 de Cybermalveillance.gouv.fr.
Postes maîtrisés : seuls les ordinateurs gérés par l'entreprise se connectent. Pas l'ordinateur personnel du commercial.
Journalisation de toutes les connexions, avec alerte sur une connexion à une heure ou depuis un lieu inhabituel.

5. La supervision continue

Sécuriser ne suffit pas, il faut surveiller. Les éléments à collecter au même endroit : journaux du pare-feu (tentatives bloquées, scans), journaux des serveurs et des postes (connexions, échecs d'authentification), trafic anormal en volume ou en destination, disponibilité des équipements critiques, état des mises à jour. Pour une PME, une supervision automatisée qui alerte en cas d'anomalie suffit ; un centre de surveillance complet (SOC) se justifie pour les activités critiques. Les tiers sont impliqués dans 30 % des violations selon Verizon, deux fois plus qu'en 2024 : la supervision doit aussi couvrir les accès de vos fournisseurs, prestataire informatique compris.

6. L'organisation

La meilleure technique ne sert à rien sans organisation : un inventaire à jour de tout ce qui est connecté, une procédure d'arrivée et de départ qui crée et supprime les comptes le jour même, des mots de passe dans un gestionnaire, une sensibilisation régulière au hameçonnage et un test d'intrusion tous les un à deux ans. Le guide d'hygiène informatique de l'ANSSI et ses 42 mesures restent la référence pour cette partie. Pour l'ensemble des mesures au-delà du réseau, voir notre checklist cybersécurité en 12 mesures.

Côté offre

Le câblage, le Wi-Fi et le réseau se conçoivent une fois ; leur suivi est compris dans le forfait infogérance. En cas de panne réseau, nous intervenons sous 24 h au plus tard, souvent dans la demi-journée.

Questions fréquentes

Combien coûte la sécurisation d'un réseau d'entreprise ?

Cela dépend de la taille du parc, du nombre de sites, du pare-feu retenu, du niveau de segmentation et de la supervision souhaitée. Les équipements (pare-feu, commutateurs administrables, bornes Wi-Fi professionnelles) s'achètent ou se louent ; leur configuration et leur suivi sont compris dans un contrat d'infogérance. Un devis sérieux part toujours d'un état des lieux du réseau existant, jamais d'une estimation à l'aveugle. À titre de repère, le baromètre 2025 de Cybermalveillance.gouv.fr indique que trois TPE-PME sur quatre dépensent moins de 2 000 € par an pour toute leur cybersécurité.

Faut-il un pare-feu même avec une box opérateur ?

Oui, dès qu'il y a des données d'entreprise à protéger. La box opérateur fait du routage et un filtrage minimal ; elle ne sait ni segmenter le réseau, ni inspecter les flux applicatifs, ni journaliser, ni porter un VPN d'entreprise avec double authentification. Un pare-feu dédié fait tout cela. Selon le baromètre 2025 de Cybermalveillance.gouv.fr, 69 % des TPE-PME déclarent avoir un pare-feu : la question suivante est de savoir s'il est configuré et mis à jour.

Faut-il cacher le nom du Wi-Fi (SSID) ?

Non. Dans son guide « Sécurisation des réseaux Wi-Fi » d'août 2026, l'ANSSI indique qu'il est inutile de masquer le SSID : un terminal déjà connecté diffuse de lui-même le nom du réseau caché. Ce qui protège réellement, c'est le mode WPA3 ou WPA2-Enterprise, un réseau invité cloisonné dans son propre VLAN, la désactivation du WPS et un nom de réseau qui ne révèle ni l'entreprise ni l'activité.

Le bureau à distance (RDP) ouvert sur internet, c'est si grave ?

Oui. Un port RDP exposé est testé en continu par des robots qui essaient des millions de mots de passe. D'après le rapport Verizon 2025, l'exploitation de vulnérabilités est le point d'entrée de 20 % des violations, en hausse de 34 %, et les identifiants volés en représentent 22 %. La règle : aucun service interne exposé directement ; un VPN d'entreprise avec double authentification, réservé aux postes gérés par l'entreprise, et une journalisation des connexions.

Comment savoir si mon réseau est bien sécurisé ?

Faites vérifier six points : un pare-feu récent, configuré et à jour ; une segmentation entre postes, serveurs, invités et objets connectés ; un Wi-Fi en WPA3 ou WPA2-Enterprise sans WPS ; des accès distants par VPN avec double authentification ; des journaux centralisés et consultés ; des mises à jour appliquées sur tous les équipements, pare-feu et bornes compris. Un seul point manquant suffit à créer une porte d'entrée. Un audit réseau prend une demi-journée pour une PME et répond à ces six questions par écrit.