Réseau informatique d'entreprise : le guide complet pour une PME

Un réseau d’entreprise correct tient en six briques : un câblage testé, une baie rangée dans un local fermé, des switchs administrables, un Wi-Fi professionnel, un pare-feu qui sépare les usages, et un dossier écrit qui vous est remis. Si l’une manque, le réseau fonctionne peut-être aujourd’hui, mais personne ne sait vraiment pourquoi, et la panne ou l’incident suivant coûte cher. Ce guide reprend chaque brique dans l’ordre où elle se décide, avec ce que recommande l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, dans son guide d’hygiène informatique.

À quel moment se poser la question

Dans une PME, le réseau se construit rarement d’un bloc. Il s’empile : une box d’opérateur, un switch ajouté pour trois postes de plus, une borne Wi-Fi achetée en grande surface, une caméra branchée par l’installateur d’alarme. Tant que tout marche, personne n’y touche.

Les moments où il faut reprendre le sujet sont presque toujours les mêmes :

• un déménagement ou un réaménagement de bureaux ;
• l’ouverture d’un deuxième site ou d’une agence ;
• le télétravail qui s’installe durablement ;
• un serveur ou un pare-feu en fin de vie ;
• un questionnaire d’assurance cyber auquel personne ne sait répondre ;
• le départ du prestataire ou du salarié qui « s’occupait de l’informatique ».

Ce dernier cas est le plus révélateur. Si personne ne peut dire où sont les mots de passe du pare-feu ou à quoi sert chaque câble de la baie, le réseau est à reprendre, même s’il fonctionne.

Le câblage : la base qu’on ne refait pas tous les ans

Le câblage dure plus longtemps que tout le reste : les switchs, les bornes et les postes changeront plusieurs fois avant lui. C’est donc là qu’il ne faut pas économiser.

Ce qui compte :

• Une prise par usage prévu, plus une marge. Postes, imprimantes, téléphones, bornes Wi-Fi au plafond, caméras, écrans de salle de réunion. Une prise ajoutée après coup demande une goulotte ou des travaux.
• Une catégorie de câble choisie pour durer, définie avec l’entreprise de courant faible selon les distances et les débits attendus.
• Un repérage cohérent : chaque prise porte un numéro, et ce même numéro se retrouve sur le panneau de brassage dans la baie.
• Une recette : chaque prise est testée avec un appareil de mesure, et le rapport vous est remis. Sans ce rapport, vous ne pouvez pas prouver que l’installation est conforme le jour où une prise pose problème.

Si vous changez de locaux, l’ordre des étapes compte autant que le matériel : nous l’avons détaillé dans notre article sur le déménagement de bureaux.

La baie : un local fermé, ventilé, alimenté

La baie de brassage est l’armoire où arrivent tous les câbles. On y trouve la box ou le routeur de l’opérateur, le pare-feu, les switchs et parfois un serveur.

Trois exigences simples :

• Un accès contrôlé. L’ANSSI demande que l’accès aux salles serveurs et aux locaux techniques soit contrôlé par serrure ou badge, et que les codes soient changés au départ d’un collaborateur ou d’un prestataire (mesure 26).
• De l’air et du courant. Les équipements chauffent : un placard sans aération les use. Une alimentation dédiée et un onduleur, une batterie qui tient le temps d’une micro-coupure, évitent les redémarrages sauvages.
• Du rangement. Des cordons de la bonne longueur, étiquetés, et un plan de la baie. Une baie en « plat de spaghettis » rend chaque intervention longue et risquée.

La même mesure 26 vise les prises réseau situées dans les zones ouvertes au public, comme la salle de réunion, le hall d’accueil ou les couloirs : elles doivent être restreintes ou désactivées. Sinon, un visiteur qui branche son ordinateur se retrouve sur votre réseau interne.

Les switchs : administrables, pas « plug and play »

Le switch est le boîtier qui distribue le réseau vers chaque prise. Un switch de grande surface fait ce travail, mais il ne sait rien faire d’autre. Un switch administrable permet de découper le réseau en zones, de savoir ce qui est branché sur chaque prise et de couper une prise à distance.

Deux réglages à exiger dès l’installation :

• Changer les mots de passe par défaut de chaque équipement. L’ANSSI part du principe que les configurations par défaut sont connues des attaquants et demande de modifier ces identifiants dès l’installation (mesure 12).
• N’autoriser sur le réseau que les équipements de l’entreprise. C’est la mesure 7 du guide : les ordinateurs personnels et ceux des visiteurs passent par un réseau à part, en général un Wi-Fi dédié.

Séparer les usages : les VLAN

C’est le point qui distingue un réseau conçu d’un réseau empilé. Dans un réseau « à plat », chaque appareil peut parler à tous les autres. L’ANSSI le résume ainsi : la compromission d’une machine met alors en péril toutes les autres, et un attaquant peut rebondir d’un poste jusqu’aux serveurs (mesure 19).

La réponse est de découper le réseau en zones. Chaque zone est un VLAN, un réseau virtuel qui partage les mêmes câbles et switchs que les autres, mais ne communique avec eux que si le pare-feu l’autorise. Un découpage courant dans une PME :

• les postes de travail ;
• les serveurs et le stockage ;
• les invités et les appareils personnels, qui n’accèdent qu’à Internet ;
• les caméras, badgeuses et objets connectés ;
• l’administration des équipements réseau, que l’ANSSI demande de cloisonner du réseau bureautique, au minimum par un VLAN dédié (mesure 28).

L’ANSSI recommande de raisonner ainsi dès la conception et, pour un réseau existant difficile à reprendre, de le faire à l’occasion d’une extension ou d’un renouvellement de matériel.

Le Wi-Fi : des bornes professionnelles, deux réseaux au moins

Le Wi-Fi est devenu la connexion principale de beaucoup de postes. L’ANSSI en rappelle les limites : disponibilité moins garantie que le câble, couverture qui déborde des murs, configuration par défaut des bornes peu sûre (mesure 20).

Ce qu’elle recommande :

• Un chiffrement robuste : le guide cite WPA2 avec l’algorithme AES, et une authentification centralisée si possible.
• Pas de mot de passe unique partagé par toute l’équipe et les visiteurs. À défaut, il doit être complexe, renouvelé et jamais diffusé à des tiers.
• Un Wi-Fi invités séparé, avec son propre nom de réseau et son propre VLAN, limité à Internet. Le montage et ce que la loi demande quand vous offrez une connexion à des tiers sont détaillés dans notre article sur le Wi-Fi invités.
• Des bornes administrées proprement, mot de passe administrateur changé.

Côté confort, quand le Wi-Fi décroche, l’emplacement et le nombre de bornes sont les premiers points à vérifier. Des bornes au plafond, reliées chacune par un câble, et un relevé de couverture avant et après l’installation permettent de le mesurer au lieu de le supposer.

Le pare-feu : la porte et le gardien

La box de l’opérateur n’est pas un pare-feu d’entreprise. Le pare-feu est l’équipement placé entre Internet et votre réseau, et entre les zones de votre réseau. Il applique des règles écrites : qui peut aller où.

L’ANSSI recommande que les postes n’aient pas d’accès direct à Internet, mais passent par une passerelle comprenant au minimum un pare-feu au plus près de l’accès Internet (mesure 22). Pour une PME, cela veut dire en pratique :

• Des règles justifiées une par une. Une règle dont personne ne connaît la raison doit disparaître.
• Des abonnements de sécurité suivis : filtrage, mises à jour, renouvellement. Demandez au constructeur ce qui s’arrête le jour où l’abonnement expire.
• Des liaisons sécurisées entre les sites et pour le télétravail. Pour relier un site ou un partenaire par Internet, l’ANSSI recommande un tunnel site à site, de préférence IPsec, filtré par le pare-feu (mesure 25). C’est ce qu’on appelle un VPN : un tunnel chiffré qui traverse Internet. Son fonctionnement et les réglages à exiger sont détaillés dans notre article relier deux sites d’entreprise avec un VPN site à site.

Un pare-feu a aussi une durée de vie. L’ANSSI demande d’appliquer les correctifs de sécurité dans le mois qui suit leur publication (mesure 34) et de suivre les dates de fin de support (mesure 35). Un équipement qui ne reçoit plus de correctifs doit être remplacé ou isolé.

Le dossier : ce qui rend le réseau réversible

C’est la brique la plus souvent oubliée, et celle qui coûte le plus cher quand elle manque. Un réseau sans documentation dépend de la mémoire d’une personne.

L’ANSSI demande de maintenir à jour un schéma simplifié du réseau : les zones et le plan d’adressage, les équipements de sécurité, les liaisons vers Internet et vers les partenaires, et l’emplacement des serveurs qui portent les données sensibles (mesure 4). Elle recommande aussi, quand on confie son informatique à un prestataire, d’exiger la réversibilité et la restitution des données (mesure 3).

Le dossier qui doit vous être remis à la fin d’un projet réseau :

1. Le schéma du réseau, lisible par la direction.
2. Le plan de la baie, chaque prise repérée.
3. L’adressage : les VLAN, les plages d’adresses, la liste des équipements.
4. Les règles du pare-feu, chacune avec son motif.
5. Les comptes administrateur et les mots de passe, remis à la direction.

Avec ce dossier, un autre prestataire peut reprendre votre réseau sans repartir de zéro. Sans lui, vous êtes captif.

Et les sauvegardes ?

Elles ne font pas partie du réseau au sens strict, mais tout projet réseau les touche : on débranche, on déplace, on remplace. L’ANSSI recommande une politique de sauvegarde et des tests de restauration (mesure 37). Avant toute intervention, vérifiez qu’une restauration récente a réellement fonctionné.

Votre liste d’actions

• Retrouver qui détient les mots de passe de la box, du pare-feu, des switchs et des bornes Wi-Fi.
• Demander le schéma du réseau. S’il n’existe pas, c’est la première chose à faire.
• Vérifier que le Wi-Fi des visiteurs est séparé du réseau des postes.
• Fermer à clé le local de la baie et désactiver les prises des zones publiques.
• Noter la date de fin de support du pare-feu et la date de renouvellement de ses abonnements.
• Avant un déménagement, un deuxième site ou un remplacement de matériel, faire concevoir le réseau avant d’acheter.

Les questions courantes sur notre façon de travailler sont sur la page Questions.

Ce qu’Oviso fait sur ce sujet

Oviso conçoit, installe et documente le réseau des PME de 10 à 100 salariés dans le 13, le 83 et le 84 : relevé et chiffrage gratuits, plan du réseau validé avec vous, matériel professionnel fourni et préconfiguré, câblage réalisé par une entreprise de courant faible, mise en service planifiée. Vous recevez un prix fixe avant tout achat, puis le dossier complet et les accès administrateur. Le fonctionnement du devis est détaillé sur la page Tarifs.

Si l’un des déclencheurs de ce guide vous concerne, décrivez votre projet : nous vous dirons ce qui est à reprendre et ce qui peut rester en place.

Sources

• ANSSI, Guide d’hygiène informatique : renforcer la sécurité de son système d’information en 42 mesures, mesures 3, 4, 7, 12, 19, 20, 22, 25, 26, 28, 34, 35 et 37 (PDF).