Un réseau plat, c'est un immeuble sans portes coupe-feu
Un réseau "plat", où tous les équipements communiquent librement entre eux, fonctionne très bien au quotidien. Le problème n'apparaît que le jour où un poste est compromis : un ordinateur infecté par un rançongiciel peut alors atteindre directement le serveur de fichiers, l'imprimante réseau, la caméra de surveillance ou le poste du comptable, parce que rien ne l'en empêche techniquement.
C'est exactement l'image d'un immeuble sans porte coupe-feu : un départ de feu dans un bureau se propage à tout l'étage. Le VLAN, c'est la porte coupe-feu du réseau.
Qu'est-ce qu'un VLAN, concrètement
Un VLAN (réseau local virtuel) divise un réseau physique unique en plusieurs réseaux logiques séparés, sans avoir besoin de câblage ni de matériel supplémentaire. Un même commutateur réseau peut ainsi héberger plusieurs VLAN, chacun cloisonné des autres sauf autorisation explicite.
Dans une PME, un découpage courant sépare par exemple : les postes de travail, les serveurs, les équipements d'impression et de vidéosurveillance, le WiFi invités, et parfois la téléphonie. Un appareil compromis dans un VLAN ne peut alors pas atteindre directement les machines d'un autre VLAN, sauf si une règle le permet explicitement au niveau du pare-feu.
Le cas le plus parlant : le WiFi invités
C'est souvent le premier VLAN qu'on met en place, et le plus facile à justifier auprès d'une direction. Sans séparation, un visiteur, un prestataire ou un client connecté à votre WiFi se trouve sur le même réseau que votre serveur de fichiers. Ce n'est pas une question de confiance envers la personne, c'est une question de ce que son appareil pourrait avoir sans qu'elle le sache : un smartphone infecté devient un point d'entrée vers votre infrastructure.
Un VLAN invités isolé, avec seulement un accès Internet et aucun accès au réseau interne, élimine ce risque sans compliquer la vie de personne.
Le cas des objets connectés et de la vidéosurveillance
Caméras IP, badgeuses, imprimantes connectées, systèmes de climatisation pilotables : ces équipements sont rarement mis à jour et constituent des cibles faciles. Une fois compromis, ils servent de tremplin vers le reste du réseau s'ils ne sont pas isolés. Un VLAN dédié aux objets connectés, sans accès direct aux postes de travail, limite les dégâts qu'une caméra piratée peut causer à une simple perte d'image, plutôt qu'à une porte d'entrée vers vos données.
Ce que ça change en cas d'incident
La vraie valeur de la segmentation ne se voit pas au quotidien, elle se voit le jour où quelque chose tourne mal. Sans VLAN, un rançongiciel qui touche un poste peut chiffrer en quelques heures l'ensemble du réseau accessible : serveurs, sauvegardes connectées, postes voisins. Avec un réseau segmenté, l'incident reste généralement cantonné au VLAN d'origine, ce qui change radicalement l'ampleur de la remise en état et son coût.
C'est la différence entre un incident localisé, géré en une journée, et un arrêt complet de l'activité pendant une semaine.
La segmentation ne remplace rien, elle s'ajoute
Un VLAN n'est pas une mesure de sécurité qui se suffit à elle-même. Elle s'ajoute au pare-feu, aux sauvegardes, à l'authentification multifacteur et aux mises à jour de sécurité. Sa force est de limiter la propagation quand une autre protection a déjà échoué, ce qui arrive tôt ou tard à n'importe quelle entreprise.
Mettre en place la segmentation dans une PME
La bonne nouvelle : contrairement à une idée répandue, ce n'est ni un chantier lourd ni un investissement matériel important pour une petite structure. La plupart des commutateurs administrables récents supportent nativement les VLAN, et le déploiement se fait généralement sans interruption longue de l'activité, en dehors des heures ouvrées pour les bascules les plus sensibles.
L'ordre logique est en général : d'abord isoler le WiFi invités, ensuite les objets connectés et la vidéosurveillance, puis séparer serveurs et postes de travail si la taille de l'entreprise le justifie.
En résumé
Un réseau segmenté ne rend pas une entreprise inattaquable, mais il transforme un incident qui aurait pu tout arrêter en un problème localisé et gérable. Pour une PME qui dépend de son informatique au quotidien, c'est l'une des mesures qui offre le meilleur rapport entre l'effort de mise en place et la réduction réelle du risque.
