Un pare-feu d’entreprise n’est pas un antivirus, et ce n’est pas non plus la box posée par l’opérateur. C’est l’équipement qui décide, en permanence, de ce qui a le droit d’entrer sur votre réseau et d’en sortir. Ce guide explique ce qu’il fait, ce qu’il ne fait pas, et pourquoi deux entreprises équipées du même matériel peuvent être protégées très différemment.
Ce qu’un pare-feu fait vraiment
Son travail tient en une phrase : appliquer des règles à chaque connexion. Un poste de la comptabilité peut joindre le serveur de fichiers, mais pas l’inverse. Le wifi des visiteurs sort vers Internet et nulle part ailleurs. Un accès distant n’est ouvert qu’aux personnes nommées, avec une trace dans le journal.
Un pare-feu d’entreprise moderne fait aussi trois choses que ne fait aucune box :
- il inspecte le contenu des flux chiffrés, là où passe aujourd’hui l’essentiel du trafic ;
- il bloque les domaines et les adresses déjà connus comme malveillants, mis à jour plusieurs fois par jour ;
- il conserve un journal exploitable, celui qu’on vous demandera après un incident.
La box de l’opérateur n’est pas un pare-feu
Elle en porte parfois le nom dans son interface. Elle filtre en effet les connexions entrantes non sollicitées, ce qui est déjà mieux que rien. Mais elle ne segmente pas votre réseau, elle n’inspecte pas les flux chiffrés, elle ne journalise presque rien, et personne ne met à jour ses règles quand votre activité change.
Dans la pratique, les deux situations que nous rencontrons le plus souvent sont celles-ci : il n’y a jamais eu que la box, ou bien un vrai boîtier a été posé il y a cinq ans puis plus personne n’y a touché. Le second cas donne un faux sentiment de sécurité, ce qui le rend plus dangereux que le premier.
Les cinq fonctions qu’on attend d’un équipement d’entreprise
Le filtrage applicatif
Distinguer un flux légitime d’un flux qui emprunte le même port. Un port ouvert n’est plus une information suffisante : c’est l’application qui compte.
La segmentation
Séparer les usages qui n’ont rien à faire ensemble. Le wifi des visiteurs sur le même réseau que la comptabilité, c’est courant, et cela ne coûte rien de plus en matériel : cela se joue à la configuration.
Les accès distants nominatifs
Un compte par personne, révocable en une minute. Un identifiant partagé entre plusieurs salariés est impossible à retirer proprement le jour où quelqu’un part.
La journalisation
Conserver qui s’est connecté, quand, et vers quoi. C’est la première chose demandée par un assureur ou par un expert après un incident, et elle ne se reconstitue pas après coup.
La mise à jour
Les correctifs du constructeur corrigent des failles publiées, donc connues des attaquants. Un équipement non mis à jour devient une porte documentée.
Matériel, licences, maintenance : trois postes distincts
Un devis honnête sépare toujours ces trois lignes. Le matériel s’achète une fois. Les licences — filtrage, inspection, mises à jour de signatures — s’abonnent, généralement par an ou par trois ans. La maintenance, elle, est le travail humain : appliquer les correctifs, réviser les règles, intervenir quand quelque chose casse.
Un devis qui présente un prix unique et bas cache presque toujours l’un des trois. Le plus souvent, ce sont les licences qui manquent : l’équipement fonctionne, mais sans ses fonctions de sécurité au bout d’un an.
Ce qui sépare une installation tenue d’une installation oubliée
L’équipement compte moins que ce qu’on en fait. Une installation tenue, cela veut dire des correctifs testés puis déployés, des règles revues quand l’entreprise change — un nouveau logiciel, un site supplémentaire, des salariés en télétravail — et une alerte qui arrive chez le prestataire, pas dans une boîte mail que personne ne lit.
C’est la maintenance qui fait la sécurité. L’installation n’est que le premier jour.
Par où commencer
Avant d’acheter quoi que ce soit, il faut savoir ce qui existe : l’inventaire complet des équipements, y compris ceux que tout le monde a oubliés, le relevé des ports ouverts et des accès distants encore actifs. Ce constat oriente le choix bien mieux qu’une fiche technique.
Cinq questions en ligne suffisent à situer votre réseau et à obtenir un premier avis immédiat. Un technicien — pas un commercial — vous rappelle ensuite sous 48 h ouvrées pour préciser, et le chiffrage vous reste même si vous ne donnez pas suite.