Cybersécurité du réseau pour une PME : le guide complet

Un visiteur se connecte au Wi-Fi de l’équipe. Un ancien prestataire a encore l’accès au routeur. Les caméras sont visibles depuis Internet, avec leur mot de passe d’usine. Dans une PME, la cybersécurité commence souvent là : pas dans un logiciel compliqué, mais dans la façon dont le réseau est organisé. Ce guide reprend, sujet par sujet, ce que recommandent le Centre pour la Cybersécurité Belgique (CCB) et sa plateforme Safeonweb, et renvoie pour chaque point vers l’article qui le traite en détail.

Au sommaire :

• pourquoi le réseau est la première protection ;
• séparer les réseaux de l’entreprise ;
• un réseau pour chaque appareil, et un pour les visiteurs ;
• les règles du pare-feu ;
• se connecter à distance proprement ;
• voir ses caméras à distance sans ouvrir le réseau ;
• les mises à jour et les mots de passe d’usine ;
• NIS2 en Belgique : êtes-vous concerné ?
• par où commencer sans rien acheter.

Pourquoi le réseau est-il la première protection ?

Parce que tout ce qui se passe chez vous passe par lui : les ordinateurs, les téléphones, les caméras, l’imprimante, le terminal de paiement, les visiteurs. Un réseau où tout le monde voit tout ressemble à un bâtiment sans portes intérieures : il suffit d’entrer une fois pour aller partout.

Le CCB publie un guide complet sur le sujet, Sécurisez votre réseau. Il est écrit pour des techniciens, mais son idée centrale se comprend sans jargon : réduire autant que possible ce qui est accessible, et contrôler étroitement tout ce qui reste. Les sections qui suivent en sont l’application dans une PME.

Comment séparer les réseaux de l’entreprise ?

Avec des VLAN, des réseaux virtuels. Ils font passer plusieurs réseaux distincts dans les mêmes câbles et sur les mêmes appareils, sans en poser un second. Le guide du CCB les présente comme l’outil de base pour segmenter le réseau, sans les coûts et la complexité de réseaux physiquement séparés, et note que leurs bénéfices dépassent largement leurs risques, à condition de bien les régler.

Concrètement, chaque groupe d’appareils reçoit son réseau : l’équipe d’un côté, les visiteurs de l’autre, les caméras et les équipements à part. Le pare-feu décide ensuite ce qui peut passer d’un réseau à l’autre. Le CCB recommande aussi un réseau réservé à l’administration des appareils, distinct de tous les autres.

Ce qu’est un VLAN, et ce qu’il change chez vous, est expliqué dans Les VLAN expliqués simplement : séparer les réseaux de l’entreprise.

Quel réseau pour chaque appareil, et pour les visiteurs ?

Une fois le principe admis, reste à ranger. Un tri simple suffit dans la plupart des PME :

Réseau	Ce qu’on y met	Ce qu’il peut atteindre
Équipe	Ordinateurs et téléphones de l’équipe	Internet, l’imprimante, les fichiers partagés
Visiteurs	Téléphones et ordinateurs des visiteurs	Internet seulement
Caméras	Caméras et enregistreur	L’enregistreur ; l’équipe peut regarder les images
Équipements	Imprimantes, écrans, badgeuse, objets connectés	Ce dont chacun a besoin, rien de plus
Administration	Interfaces de gestion des appareils réseau	Réservé à ceux qui gèrent le réseau

Pour le Wi-Fi des visiteurs, le CCB est précis : il recommande de séparer strictement le réseau invité du réseau interne, puis de vérifier que la séparation fonctionne vraiment, par exemple en testant depuis un appareil connecté au Wi-Fi invité (CCB). Pour le Wi-Fi de l’équipe, il conseille des mots de passe longs, la longueur comptant plus que la complexité, et de préférer une authentification par certificats à un mot de passe seul.

La liste des appareils et leur rangement sont détaillés dans Caméras, téléphones, invités, bureaux : quel réseau pour chaque appareil ?. Le cas des visiteurs a son propre article : Wi-Fi des visiteurs : pourquoi le séparer du réseau de votre entreprise ?

Que doit bloquer, et autoriser, le pare-feu d’une PME ?

Le pare-feu est le portier entre vos réseaux, et entre vos réseaux et Internet. Dans beaucoup de PME, il laisse tout passer, parce que c’est le réglage qui ne gêne personne. Le guide du CCB donne trois principes simples à retenir :

• des règles explicites : écrire tout ce que l’on veut autoriser, dans un ordre logique, plutôt que de compter sur des règles implicites du fabricant ;
• le moins d’accès possible : n’ouvrir que ce dont l’activité a besoin, sans plus ;
• un blocage final : tout ce qui n’est pas explicitement autorisé est bloqué, et ce blocage est enregistré.

Le CCB recommande aussi un pare-feu qui suit l’état des connexions (« stateful »), plutôt qu’un modèle qui regarde chaque paquet isolément, et des comptes d’administration nominatifs, protégés par une double authentification, dont la liste est revue au moins une fois par an.

Les règles à mettre en place, et celles qui manquent souvent, sont dans Règles de pare-feu : ce qu’une PME devrait bloquer et autoriser.

Comment se connecter au réseau de l’entreprise à distance ?

Par un VPN, avec une double authentification, et en limitant ce qui est accessible. C’est ce que recommande Safeonweb dans son conseil Télétravail : plus de flexibilité, en toute sécurité :

• chiffrer tout le trafic entre le télétravailleur et l’entreprise au moyen d’un VPN ;
• protéger la connexion au VPN par une authentification multifacteurs, et instaurer des mots de passe forts et différents pour chaque accès ;
• limiter strictement l’accès à distance aux systèmes et applications nécessaires, et isoler les autres, surtout ceux qui sont critiques.

Le même conseil compare deux choix : un appareil fourni et géré par l’entreprise, plus sûr mais plus coûteux, ou l’ordinateur privé de l’employé, qui demande alors des mesures supplémentaires.

Ce qui est à éviter, c’est l’accès ouvert « en attendant » : un port du routeur redirigé vers un ordinateur du bureau, un logiciel de prise en main à distance installé par habitude. Chacun de ces accès est une porte de plus vers l’intérieur.

Comment organiser ces accès, selon ce que vos équipes doivent atteindre, est détaillé dans Accès au réseau de l’entreprise en télétravail : comment se connecter à distance proprement.

Comment voir ses caméras à distance sans ouvrir le réseau ?

En ne les exposant pas directement à Internet. Une caméra joignable de l’extérieur, avec le mot de passe posé à l’installation, est une cible facile. La règle du CCB s’applique ici aussi : réduire autant que possible ce qui est accessible.

Trois principes suffisent pour commencer :

• les caméras ont leur propre réseau, séparé des ordinateurs de l’équipe et du Wi-Fi des visiteurs ;
• l’accès à distance passe par un chemin protégé, une application ou un VPN avec double authentification, et pas par un port ouvert sur la caméra ;
• les mots de passe d’usine sont remplacés, et les caméras reçoivent leurs mises à jour comme le reste du réseau.

Chez SateLink, les caméras sont posées par notre partenaire sécurité. Nous préparons le réseau qui les accueille et leur séparation, et nous coordonnons la pose : vous n’avez qu’un interlocuteur. Le détail est dans Voir ses caméras à distance sans ouvrir le réseau aux intrus.

Mises à jour et mots de passe d’usine : pourquoi s’en occuper ?

Parce que ce sont les deux failles les plus simples à exploiter, et les plus simples à fermer.

Les mots de passe d’usine. Le guide du CCB rappelle que les identifiants par défaut des appareils sont généralement connus de tous, et qu’ils doivent être remplacés avant de brancher l’appareil au réseau. Il recommande aussi de limiter le nombre de tentatives de connexion, et de couper les protocoles non chiffrés et les services inutilisés.

Les mises à jour. Dans son conseil Comment gérer les mises à jour ?, le CCB demande d’installer les correctifs de sécurité dès qu’ils sont disponibles, pour tous les logiciels et appareils, et de fixer qui surveille les nouvelles versions et qui vérifie qu’elles sont installées. Il conseille aussi d’anticiper la fin de vie d’un produit : un appareil qui n’est plus pris en charge ne reçoit plus de correctifs, et reste donc vulnérable. Celui qu’on doit garder malgré tout est à isoler.

Le pare-feu et les bornes Wi-Fi sont concernés au premier chef : ils sont au centre du réseau, et le CCB note que les cybercriminels peuvent facilement exploiter les appareils réseau mal configurés.

L’organisation des mises à jour est détaillée dans Mises à jour des bornes et du pare-feu : pourquoi il faut s’en occuper.

Quelques exemples récents de failles exploitées, et ce qu’il faut faire :

• FortiGate : deux failles exploitées ajoutées en un mois ;
• Pare-feu Palo Alto : le VPN GlobalProtect utilisé par des groupes de rançongiciels ;
• Routeurs MikroTik : une faille SSH exploitée ;
• Switchs Zyxel GS1900 : une faille exploitée depuis le réseau interne ;
• Standard téléphonique Switchvox : une faille exploitée depuis fin août ;
• UniFi : deux bulletins de sécurité en un mois.

Côté fabricants, le Cyber Resilience Act les oblige depuis le 11 septembre 2026 à signaler les failles exploitées.

NIS2 en Belgique : votre entreprise est-elle concernée ?

La loi du 26 avril 2024, dite « loi NIS2 », transpose en Belgique la directive européenne NIS2. Elle est entrée en vigueur le 18 octobre 2024, et le CCB en est l’autorité nationale (Safeonweb, La loi NIS2). Voici l’essentiel pour une PME.

Qui est concerné ? En principe, une organisation établie en Belgique qui fournit un service listé dans les annexes de la loi (énergie, transports, santé, eau, infrastructure numérique, gestion des déchets, alimentation, fabrication, fournisseurs numériques, entre autres) et qui est au moins une entreprise moyenne (au moins 50 travailleurs, ou plus de 10 millions d’euros de chiffre d’affaires et de bilan). Certaines entités sont visées quelle que soit leur taille, comme les fournisseurs de réseaux ou de services de communications électroniques publics, et le CCB peut aussi en désigner. Le CCB met à disposition un outil de test pour vérifier si votre organisation est dans le champ de la loi.

Que doivent faire les entités concernées ? S’enregistrer sur la plateforme Safeonweb@Work, prendre des mesures de gestion des risques adaptées, et notifier au CCB les incidents significatifs : une alerte précoce dans les 24 heures après en avoir pris connaissance, une notification d’incident dans les 72 heures, puis un rapport final au plus tard un mois après. Le CCB conseille d’utiliser son référentiel CyberFundamentals (CyFun) pour mettre en œuvre ces mesures (guide de démarrage rapide NIS2).

Et si vous n’êtes pas concerné ? La plupart des PME de moins de 50 personnes ne le sont pas directement. Mais elles peuvent l’être par leurs clients : les entités NIS2 doivent gérer la cybersécurité de leur chaîne d’approvisionnement, et peuvent donc demander à leurs fournisseurs de prendre des mesures. Le CCB recommande à ces entités d’inviter leurs fournisseurs essentiels à atteindre au moins le niveau Basic des CyberFundamentals. Si vous travaillez pour un hôpital, un transporteur ou un industriel, la question peut arriver par un questionnaire de votre client.

Une précision : SateLink ne mène pas de mise en conformité NIS2. Pour savoir si votre entreprise est visée et ce qu’elle doit faire, les pages du CCB citées ici et leur outil de vérification sont le bon point de départ. La partie réseau de ces mesures (séparation des réseaux, pare-feu, mises à jour) est, elle, notre métier.

Par où commencer, sans rien acheter ?

Le CCB propose plusieurs outils gratuits, en français :

• les CyberFundamentals, niveau Small : une liste de contrôle pensée pour les micro-organisations et celles qui ont peu de connaissances techniques (CyberFundamentals) ;
• l’enregistrement de votre organisation sur Safeonweb@Work, ouvert aux entreprises inscrites à la Banque-Carrefour des Entreprises : il donne accès à des services gratuits supplémentaires, dont des alertes sur les vulnérabilités et les infections détectées sur votre réseau (Enregistrer mon organisation).

Ensuite, cinq questions pour faire le point sur votre réseau :

1. Vos visiteurs et votre équipe sont-ils sur le même réseau ?
2. Qui a les mots de passe du routeur, du pare-feu, des bornes et des caméras ? Les mots de passe d’usine ont-ils été changés ?
3. Comment vos équipes se connectent-elles de l’extérieur ? Par un VPN avec double authentification, ou par un accès ouvert il y a longtemps ?
4. Vos caméras sont-elles joignables directement depuis Internet ?
5. Quand vos appareils réseau ont-ils reçu leur dernière mise à jour ?

Si une réponse vous gêne, c’est par elle qu’il faut commencer.

Ce que fait SateLink

Romuald et son équipe organisent le réseau des entreprises sur du matériel UniFi : réseaux séparés pour l’équipe, les visiteurs, les caméras et les équipements, règles de pare-feu entre eux, mots de passe d’usine remplacés, accès à distance par VPN pour les personnes qui en ont besoin. Le câblage est coordonné avec notre électricien partenaire, les caméras sont posées par notre partenaire sécurité, et vous recevez les plans et les accès à la fin. SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.

Ensuite, avec la maintenance Sérénité, le réseau est supervisé à distance, les mises à jour critiques sont appliquées et les failles connues surveillées. Tout ce que comprend une installation est sur la page Réseau et Wi-Fi.

En résumé

• Le réseau est la première protection d’une PME : le CCB recommande de réduire ce qui est accessible et de contrôler étroitement le reste.
• Des VLAN séparent l’équipe, les visiteurs, les caméras et les équipements sur les mêmes câbles ; la séparation du Wi-Fi invité se teste.
• Le pare-feu applique des règles explicites, le moins d’accès possible, et bloque tout le reste.
• L’accès à distance passe par un VPN avec double authentification, limité à ce qui est nécessaire ; les caméras ne sont pas exposées directement.
• Les mots de passe d’usine se remplacent avant le branchement, et les correctifs de sécurité s’installent dès qu’ils sont disponibles.
• NIS2 vise surtout les entreprises d’au moins 50 personnes dans certains secteurs, mais leurs fournisseurs peuvent être sollicités.

Pour savoir par où votre réseau est ouvert, l’appel de cadrage est gratuit : trente minutes pour regarder qui entre chez vous, et par où.