Accueil / Infrastructure informatique / Article

Quels systèmes de sécurité réseau pour une grande entreprise ?

Le réseau d’une grande entreprise ne s’arrête plus aux murs du siège. Sites distants, applications cloud, télétravail, prestataires branchés sur l’ERP : le périmètre s’est étiré, la surface d’attaque avec lui. La sécurité réseau d’une entreprise repose sur un empilement de dispositifs — filtrage, détection, cloisonnement, contrôle des identités — dont la cohérence pèse plus lourd que le nombre.

L’ANSSI a traité 1 366 incidents en 2025. Parmi les portes d’entrée les plus exploitées figurent les équipements de bordure : pare-feu et passerelles VPN. Les outils censés protéger le réseau en sont devenus le premier point faible.

Pourquoi la sécurité réseau est-elle un enjeu stratégique ?

Parce qu’une attaque réseau réussie interrompt l’activité de l’entreprise entière. En 2025, 40 % des entreprises françaises déclarent au moins une cyberattaque significative, et 81 % des victimes rapportent un impact sur leur activité, selon le baromètre CESIN-OpinionWay. Le réseau reste le point de passage obligé : le compromettre donne accès au reste.

Les principales menaces qui ciblent les grandes entreprises

Quatre vecteurs dominent : le hameçonnage, le rançongiciel, le déni de service distribué et l’exploitation de vulnérabilités sur les équipements exposés. Le panorama de la cybermenace de l’ANSSI recense 128 compromissions par rançongiciel en 2025 et 196 incidents d’exfiltration de données, contre 130 un an plus tôt. Les attaquants chiffrent moins, ils volent davantage et monnayent le silence, ce qui déplace la protection contre les rançongiciels de la sauvegarde vers la détection des exfiltrations. La menace interne se mesure mal : un accès administrateur détourné laisse peu de traces. Face à des modes opératoires mouvants, une stratégie de défense actualisée vaut mieux qu’un catalogue d’outils.

Les conséquences d'une faille de sécurité réseau

Le coût opérationnel dépasse presque toujours le coût technique. Une chaîne logistique arrêtée trois jours pèse plus lourd que la remise en état des serveurs. S’y ajoutent le volet juridique — RGPD, sanctions CNIL — et le futur régime NIS2, qui prévoit jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles. Le préjudice d’image frappe surtout les grands groupes, plus exposés que les ETI. Le chiffrage complet d’un incident arrive rarement avant douze à dix-huit mois.

Quels sont les principaux systèmes de sécurité réseau ?

Trois familles de systèmes de sécurité réseau structurent une architecture moderne : le filtrage, la détection et le cloisonnement. Prises isolément, aucune ne tient.

Pare-feu nouvelle génération (NGFW)

Le pare-feu nouvelle génération filtre le trafic à partir de l’application et de l’identité de l’utilisateur, quand un pare-feu classique s’arrête au port et à l’adresse IP. Il déchiffre les flux TLS, applique des règles par usage — messagerie, transfert de fichiers, outils d’IA générative — et embarque un moteur de prévention d’intrusion. Un pare-feu entreprise correctement configuré bloque la majorité des tentatives opportunistes. Encore faut-il le maintenir : les failles publiées sur les produits Ivanti, Fortinet ou Citrix ont été exploitées massivement en 2025.

Systèmes de détection et de prévention des intrusions (IDS/IPS)

L’IDS observe et alerte, l’IPS bloque en ligne. Les deux analysent le trafic interne, là où le pare-feu surveille les frontières. Leur apport tient à la détection d’un déplacement latéral ou d’un volume sortant anormal. L’analyse combine signatures connues et modèles comportementaux. Le point douloureux reste le réglage : un IPS trop agressif coupe des flux métier, un IDS mal calibré noie l’équipe sous les faux positifs.

Segmentation réseau et approche Zero Trust

La segmentation réseau découpe le système d’information en zones étanches, pour qu’une machine compromise n’ouvre pas l’ensemble du parc. Le modèle Zero Trust pousse la logique plus loin : aucune confiance implicite, vérification de chaque accès, droits limités au strict nécessaire. Le cadre de référence reste la publication NIST SP 800-207. La microsegmentation s’applique aussi aux périphériques absents des inventaires, à commencer par les imprimantes et copieurs connectés. Sur un système industriel, le chantier se compte en mois, parfois en années.

Comment renforcer la sécurité du réseau d'une grande entreprise ?

Les gains les plus rapides en sécurité réseau viennent rarement d’un nouvel équipement. Ils tiennent au contrôle des accès, à la surveillance des flux, à la vitesse de correction des failles.

Sécuriser les accès avec l'authentification multifacteur (MFA)

Le MFA élimine la plupart des attaques fondées sur un mot de passe volé. L’ANSSI relève que dans de nombreux incidents traités en 2025, les attaquants se sont introduits par des comptes VPN dépourvus d’authentification forte. Toutes les méthodes ne se valent pas. Le code par SMS et la notification push se contournent : détournement de carte SIM, lassitude de l’utilisateur qui finit par valider. Pour les comptes à privilèges, administrateurs et prestataires, les clés physiques FIDO2 résistent mieux.

Superviser le réseau en continu

La supervision transforme une alerte isolée en signal exploitable. Un SIEM centralise les journaux, un SOC les qualifie, des sondes réseau complètent la visibilité là où aucun agent n’est installé. Le Référentiel Cyber France, publié par l’ANSSI le 17 mars 2026, décline les objectifs de sécurité de NIS 2 en mesures concrètes. Document de travail non contraignant à ce stade, il fixe déjà le niveau attendu. Beaucoup d’organisations externalisent ce volet via des services IT managés. Un SOC sans procédure de réponse écrite empile des alertes que personne ne traite.

Mettre à jour les équipements et corriger les vulnérabilités

Le délai de correction est devenu l’indicateur à suivre. L’ANSSI relève qu’environ 29 % des vulnérabilités exploitées en 2025 l’ont été le jour de leur publication, voire avant. Un inventaire à jour des actifs conditionne le reste : on ne corrige pas ce qu’on ignore avoir exposé. En milieu industriel, les fenêtres de maintenance restent rares et les correctifs attendent. La segmentation joue alors son rôle de filet.

Comment construire une stratégie de sécurité réseau efficace ?

Multiplier les solutions ne construit pas une stratégie. Le CESIN relève que la part des entreprises consacrant au moins 5 % de leur budget informatique à la cybersécurité recule à 42 %, contre 48 % un an plus tôt. Chaque euro engagé doit donc corriger un risque identifié.

Réaliser un audit de sécurité

L’audit sert à hiérarchiser, pas à tout corriger. Cartographie des actifs, revue des règles de pare-feu, tests d’intrusion, analyse de risque selon la méthode EBIOS Risk Manager : l’objectif tient en une liste ordonnée de dix à quinze actions, pas en un rapport de 200 pages. Un audit non suivi d’un plan daté et budgété reste un document d’archive.

Sensibiliser les collaborateurs

Les utilisateurs forment le premier filtre. Les campagnes de faux hameçonnage font baisser le taux de clic, à condition d’être répétées : l’effet s’estompe en quelques mois. Les formats courts et fréquents fonctionnent mieux que la session annuelle de deux heures. Sensibiliser les collaborateurs à la cybersécurité suppose aussi de traiter les profils spécifiquement ciblés par la fraude au président, dirigeants et comptables en tête.

Pourquoi faire appel à un expert en cybersécurité ?

Peu d’organisations tiennent une surveillance 24 heures sur 24 avec leurs seules équipes. L’astreinte, la veille sur les vulnérabilités et la réponse à incident supposent des effectifs qu’une DSI généraliste n’a pas. D’où la progression de l’externalisation de la gestion informatique.

Une approche sur mesure pour les grandes entreprises

Konica Minolta intervient sur l’ensemble du cycle : audit de l’existant, conception de l’architecture de protection, déploiement des dispositifs de filtrage et de détection, supervision en services managés, accompagnement à la conformité NIS2 et revue périodique des règles. Le dimensionnement varie : certaines DSI cherchent un renfort ponctuel sur un audit, d’autres délèguent la supervision complète. Le point commun tient à la durée : une architecture de sécurité se révise, elle ne se livre pas une fois pour toutes.

La loi Résilience, qui transposera NIS2 en droit français, n’était toujours pas promulguée fin août 2026 ; son examen en séance publique à l’Assemblée nationale est attendu en septembre. Environ 15 000 entités entreront dans le périmètre. Les entreprises qui attendent le texte pour engager leurs travaux de sécurité réseau auront quelques trimestres de retard sur celles qui utilisent déjà le ReCyF comme grille de lecture. Reste une question rarement posée en comité de direction : combien de temps le réseau tiendrait-il sans son pare-feu principal ?

Sources citées :

FAQ — sécurité réseau entreprise

Quel budget consacrer à la sécurité réseau d'une grande entreprise ?

Aucune référence sectorielle ne fait autorité. La part consacrée au réseau dépend surtout de l’architecture : un parc multisite avec des automates industriels coûte plus cher à cloisonner qu’un système centralisé. Le poste le plus sous-estimé reste l’exploitation — un pare-feu nouvelle génération dont personne ne révise les règles perd son intérêt en dix-huit mois.

Le Zero Trust remplace-t-il le VPN d'entreprise ?

Partiellement. Les accès distants basculent progressivement vers le ZTNA, qui ouvre l’accès à une application donnée plutôt qu’à l’ensemble du réseau. Le VPN reste utilisé pour les liaisons entre sites et certains usages techniques. La bascule prend du temps : elle suppose de cartographier les applications et de reprendre les droits utilisateur un par un.

Qui pilote la sécurité réseau, la DSI ou le RSSI ?

Le RSSI fixe les exigences et arbitre le risque, la DSI exploite les équipements. Cette séparation évite qu’une même équipe définisse et contrôle ses propres règles. NIS2 ajoute un troisième acteur : l’organe de direction, qui doit approuver les mesures de sécurité et se former au sujet. La responsabilité ne se délègue plus entièrement à un prestataire.

Un SOC interne est-il obligatoire pour une entité essentielle ?

Non. La détection continue est attendue, la façon de l’assurer reste ouverte : SOC interne, service managé externalisé, modèle hybride ou dispositif mutualisé à l’échelle d’un secteur. Le choix dépend surtout des effectifs disponibles pour l’astreinte de nuit et de week-end, rarement du budget d’outillage.

Comment sécuriser le réseau face aux prestataires et sous-traitants ?

Par un accès nominatif, limité dans le temps et cloisonné à la seule zone nécessaire. Les comptes de prestataires figurent parmi les points de fragilité les plus signalés par les RSSI français. Les clauses contractuelles de sécurité et les questionnaires fournisseurs se généralisent, poussés par l’obligation NIS2 de sécuriser la chaîne d’approvisionnement.

Comment traiter les usages d'IA non validés par la DSI ?

Par le filtrage applicatif au niveau du pare-feu, doublé d’une politique d’usage écrite. Le recours des salariés à des services d’IA non approuvés est le comportement numérique jugé le plus risqué par le CESIN : 66 % des entreprises le classent en risque élevé ou très élevé. Le blocage total déplace l’usage vers les terminaux personnels : ouvrir quelques outils validés et journaliser le reste donne de meilleurs résultats.

10 septembre 2026