Un pare-feu managé, c’est un équipement dont quelqu’un s’occupe. La formule paraît évidente ; elle décrit pourtant l’écart le plus fréquent que nous constatons entre les entreprises bien protégées et les autres. Le matériel est rarement le problème. L’abandon l’est presque toujours.
Le vrai risque, c’est l’équipement oublié
Le scénario est toujours le même. Un boîtier correct est installé. Les premiers mois, tout va bien. Puis les correctifs ne sont plus appliqués, les règles ne suivent plus l’évolution de l’entreprise — un nouveau logiciel, un site supplémentaire, cinq personnes passées en télétravail — et les alertes arrivent dans une boîte mail que plus personne n’ouvre.
Trois ans plus tard, l’équipement est toujours là, il fonctionne, et il ne protège plus grand-chose. C’est exactement ce qu’un contrat de maintenance est censé empêcher.
Ce que couvre un pare-feu managé
Les correctifs, testés avant d’être appliqués
Les mises à jour de sécurité corrigent des failles publiées, donc connues des attaquants. Elles ne s’appliquent pas à l’aveugle pour autant : une version de firmware peut casser un tunnel ou une application métier. Le travail consiste à valider avant de déployer, et à savoir revenir en arrière.
La révision des règles
Une configuration se dégrade naturellement. On ouvre un accès pour un besoin ponctuel et on oublie de le refermer ; un prestataire qui n’intervient plus garde son entrée. La revue périodique consiste à retirer ce qui n’a plus lieu d’être, et à documenter ce qui reste.
La surveillance
Les alertes utiles doivent arriver chez quelqu’un dont c’est le métier de les lire. Tentatives d’authentification répétées, connexions depuis des pays où vous n’avez aucune activité, pic de trafic inhabituel la nuit : ces signaux ne valent que si quelqu’un les regarde.
L’intervention sous délai contractuel
C’est le point qui distingue un vrai contrat d’une simple ligne de facture. Le délai doit être écrit, avec les plages horaires couvertes et ce qu’il advient s’il n’est pas tenu. Un « support constructeur » ne remplace pas cet engagement : il fournit une pièce ou une version, il ne vient pas chez vous.
Le compte rendu
Un point périodique disant ce qui a été appliqué, ce qui a été bloqué, ce qui a changé. C’est ce document qui sert ensuite face à un assureur ou à un donneur d’ordre, et il ne se reconstitue pas après coup.
Ce qu’un contrat ne couvre pas, et qu’il faut savoir
La maintenance du pare-feu ne remplace ni la protection des postes de travail, ni les sauvegardes, ni la sensibilisation des équipes. Un rançongiciel entré par une pièce jointe ouverte sur un poste ne sera pas arrêté par le boîtier, même parfaitement à jour.
Un prestataire qui laisse croire l’inverse vous rend un mauvais service. La bonne façon de présenter les choses est simple : le pare-feu tient la frontière, il ne tient pas l’intérieur.
Managé ne veut pas dire captif
C’est la crainte la plus fréquente, et elle est fondée : certaines offres rendent le changement de prestataire coûteux, voire impossible, parce que les accès administrateur restent chez lui.
Trois points à exiger par écrit, quel que soit le prestataire retenu :
- le matériel vous appartient, il n’est pas loué de façon à vous lier ;
- les accès administrateur vous sont remis, et la documentation avec ;
- la configuration est exportable et vous est fournie sur simple demande.
Un contrat qui tient sur la qualité du service n’a pas besoin de vous retenir techniquement.
Comment le contrat se chiffre
Au mois ou à l’année, selon le nombre de sites, d’équipements et d’accès distants, et selon les plages horaires couvertes. Ce qui fait le prix, ce n’est pas un volume d’heures affiché mais l’engagement de délai — c’est la seule ligne qui compte le jour où quelque chose tombe.
Le contexte budgétaire complet, avec les trois autres postes, est détaillé dans notre guide sur le prix d’un pare-feu d’entreprise.
Reprendre un équipement déjà installé
Il n’est pas nécessaire de tout remplacer pour être maintenu. Une reprise commence par un état des lieux : version installée et date de fin de support, règles en vigueur et leur justification, accès distants encore actifs, comptes administrateurs existants.
Cet état des lieux dit ensuite ce qui peut être conservé et ce qui doit être corrigé. Il arrive qu’un équipement soit parfaitement viable et qu’il n’ait manqué qu’un suivi.