La forteresse avec une seule porte n'existe plus
Le modèle historique reposait sur une idée simple : l'intérieur est sûr, l'extérieur ne l'est pas, et un pare-feu tient la frontière. Ce raisonnement a cessé d'être valable le jour où l'intérieur s'est peuplé d'objets que vous ne maîtrisez pas — caméras, sondes, imprimantes, écrans, bornes de recharge — et où les collaborateurs se sont mis à travailler depuis l'extérieur.
Dans un réseau plat, un poste compromis voit tout : les partages, les serveurs, les automates, les enregistreurs vidéo, les postes des collègues. Le chiffrement se propage en quelques heures, souvent la nuit du vendredi au samedi. Ce n'est pas l'intrusion initiale qui coûte cher, c'est l'étendue de ce qu'elle atteint ensuite.
La microsegmentation renverse la logique : plus rien n'est autorisé par défaut entre deux machines, et chaque flux nécessaire est ouvert explicitement. L'effet est mécanique — un attaquant qui prend la main sur un poste comptable ne peut pas atteindre le serveur de sauvegarde, parce que ce chemin n'existe pas.
VLAN et microsegmentation ne sont pas la même chose
Beaucoup d'entreprises pensent avoir segmenté parce qu'elles ont créé des VLAN. C'est un premier étage utile, mais très loin du compte.
| Niveau | Ce qui est cloisonné | Ce qui reste possible | Effort de mise en œuvre |
|---|---|---|---|
| Réseau plat | Rien | Toute machine atteint toute autre machine sur tous les ports | Aucun |
| VLAN sans filtrage | Les domaines de diffusion | Le routage inter-VLAN laisse passer l'intégralité du trafic | Faible, souvent déjà en place |
| VLAN filtrés par ACL | Les échanges entre groupes | Deux machines d'un même VLAN communiquent librement entre elles | Modéré |
| Microsegmentation | Les échanges entre machines, y compris dans un VLAN | Uniquement les flux explicitement autorisés, par rôle ou par identité | Élevé, mais progressif |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
Le trafic est-ouest, c'est quoi ? Le trafic nord-sud entre et sort de votre réseau : il passe par le pare-feu, il est journalisé, souvent inspecté. Le trafic est-ouest circule de machine à machine à l'intérieur du site. Sur un réseau classique, il représente la majorité du volume et n'est ni filtré ni tracé. C'est l'autoroute qu'emprunte une propagation latérale.
Les groupes que nous isolons en priorité
Vidéoprotection
Caméras et enregistreurs ne doivent parler qu'à leur serveur de gestion, sur des ports connus. Un firmware ancien avec un compte par défaut est une porte d'entrée classique — et les caméras sont souvent les équipements les plus nombreux du site.
IoT et gestion technique
Sondes, compteurs, éclairage piloté, chauffage, détection incendie. Ces automates n'ont aucune raison d'atteindre internet ni la bureautique. Leur flux se limite à leur passerelle de supervision.
Automatismes de production
La zone industrielle est cloisonnée derrière une zone démilitarisée dédiée. Aucun poste bureautique ne doit joindre directement un automate : les échanges passent par un serveur relais, tracé.
Contrôle d'accès physique
Centrales de badges, lecteurs, interphonie IP. Le couplage avec votre annuaire impose un flux précis vers un contrôleur de domaine — un seul, sur les ports nécessaires.
Postes et serveurs bureautiques
Les postes n'ont pratiquement jamais besoin de se parler entre eux. Interdire le poste-à-poste sur les protocoles de partage supprime à lui seul le mode de propagation le plus utilisé.
Invités et prestataires
Accès internet uniquement, débit plafonné, aucune visibilité sur le reste. Le prestataire qui intervient sur une machine reçoit un accès nominatif, limité dans le temps et journalisé.
Déployer sans casser la production
La plupart des projets de segmentation échouent pour la même raison : on a activé des blocages avant de savoir ce qui circulait réellement.
Observer six à huit semaines
Collecte des flux réels par NetFlow, journaux de pare-feu et sondes. On découvre presque toujours des dépendances oubliées : une machine-outil qui interroge un partage bureautique, un logiciel métier qui écrit sur un poste, une sauvegarde qui traverse tout le réseau.
Écrire la matrice des flux
Pour chaque groupe, la liste des destinations légitimes, des ports et des protocoles. Ce document est relu avec les métiers, pas seulement avec l'informatique — c'est l'exploitation qui sait pourquoi telle machine appelle tel serveur.
Appliquer en mode journalisation seule
Les règles sont chargées mais n'interdisent rien : elles signalent ce qu'elles auraient bloqué. Cette phase dure deux à quatre semaines et fait remonter les oublis sans aucun risque pour l'activité.
Basculer groupe par groupe
On commence par les périmètres les plus simples et les moins risqués — caméras, IoT, invités — puis on remonte vers la bureautique et la production. Chaque bascule est réversible en une commande.
Maintenir la matrice dans le temps
Une segmentation non entretenue se transforme en collection de règles « temporaires » qui annulent l'effet initial. Nous prévoyons une revue semestrielle et une procédure d'ouverture de flux avec justification et date d'expiration.
Par identité plutôt que par adresse
Filtrer sur des adresses IP fonctionne tant que rien ne bouge. Dès qu'un portable change d'étage, qu'une machine virtuelle migre ou qu'un prestataire se connecte en Wi-Fi, la règle devient fausse ou trop large. Les approches actuelles raisonnent sur des étiquettes : cette machine appartient au groupe « caméras site Reims », cet utilisateur au groupe « maintenance externe ». La politique suit l'objet, où qu'il se branche.
Cette bascule suppose de savoir identifier ce qui se connecte, donc de disposer d'un contrôle d'accès réseau. L'un ne va pas sans l'autre : le NAC reconnaît et classe, la microsegmentation applique. Et sur un groupe multisite, le SD-WAN transporte ces mêmes étiquettes d'un site à l'autre, ce qui évite de réécrire douze fois la même politique.
Ce que la segmentation arrête, et ce qu'elle n'arrête pas
Soyons précis, parce que le sujet est souvent survendu. La microsegmentation n'empêche pas l'infection initiale : un courriel piégé ouvert par un utilisateur reste un courriel piégé ouvert. Elle ne remplace ni la sauvegarde hors ligne, ni la gestion des correctifs, ni l'authentification renforcée.
Ce qu'elle change, c'est l'étendue. Un rançongiciel a besoin de découvrir le réseau, de s'authentifier sur d'autres machines et d'atteindre les partages et les sauvegardes. Chacune de ces étapes passe par le trafic est-ouest. En bloquant la découverte et le poste-à-poste, on ramène souvent l'incident d'un arrêt total de l'entreprise à la réinstallation de quelques machines. Sur les cas que nous avons accompagnés dans le Grand Est, c'est la différence entre trois jours et trois semaines d'arrêt.
Assureurs cyber et NIS 2 : la segmentation devient exigible
Les questionnaires d'assurance cyber demandent désormais explicitement si les réseaux sont segmentés, si les sauvegardes sont isolées et si les accès d'administration sont séparés. Une réponse négative se traduit par une prime plus élevée, une franchise plus lourde, parfois un refus de couverture. Du côté réglementaire, la directive NIS 2 impose aux entités concernées des mesures de maîtrise des accès et de cloisonnement, avec une responsabilité qui remonte à la direction.
Nous livrons donc, avec chaque projet, un dossier exploitable directement : schéma des zones, matrice des flux autorisés, preuves de test, politique de revue. C'est le document que votre courtier ou votre auditeur réclamera, et il vaut mieux l'avoir écrit avant qu'après.
Questions fréquentes
Quelle différence entre VLAN et microsegmentation ?
Un VLAN sépare des domaines de diffusion : il empêche deux groupes de se voir directement au niveau 2, mais dès qu'un routage existe entre eux, tout passe si rien ne filtre. La microsegmentation applique une politique à la machine, y compris entre deux équipements du même VLAN, et elle raisonne par rôle plutôt que par adresse. En clair : le VLAN organise, la microsegmentation autorise. Les deux se complètent, et commencer par des VLAN correctement filtrés reste la bonne première marche.
Cela va-t-il ralentir mon réseau ou casser des applications ?
Le ralentissement est négligeable : le filtrage s'applique dans le matériel de commutation ou dans l'agent local, à la vitesse du lien. Le vrai risque est fonctionnel — bloquer un flux légitime dont personne n'avait connaissance. C'est exactement pour cela que nous imposons une phase d'observation puis une phase de journalisation sans blocage. Sur les projets menés ainsi, le nombre d'interruptions non prévues lors de la bascule est resté nul ou marginal.
Une PME de 50 personnes a-t-elle besoin de microsegmentation ?
Pas du niveau le plus avancé, mais certainement d'un cloisonnement sérieux. Pour une structure de cette taille, l'essentiel du bénéfice s'obtient avec cinq ou six zones bien filtrées — caméras, IoT, invités, bureautique, serveurs, administration — et l'interdiction du poste-à-poste sur les protocoles de partage. C'est quelques jours de travail, cela se pilote depuis les équipements que vous avez déjà, et cela change radicalement l'issue d'un incident.
Faut-il remplacer les équipements réseau pour segmenter ?
Pas nécessairement. Des commutateurs managés récents savent appliquer des listes de contrôle d'accès et affecter dynamiquement des VLAN : cela couvre déjà une bonne partie du besoin. En revanche, un parc de switches non managés ou en fin de support logiciel devra être repris, parce qu'il ne sait ni filtrer, ni authentifier, ni remonter d'informations exploitables. L'audit initial dit précisément ce qui est réutilisable.
Comment prouver à mon assureur que le réseau est segmenté ?
Par des documents et des tests, pas par une déclaration. Nous fournissons le schéma des zones, la matrice des flux autorisés, les extraits de configuration correspondants, et surtout des preuves de test : depuis un poste du VLAN caméras, nous montrons qu'aucun accès au serveur de fichiers n'est possible. Ce dossier se joint tel quel au questionnaire d'assurance et sert également de point de départ à un audit de conformité.