Réseau et cloud : fermer les portes que vous ne voyez pas

Pourquoi le réseau et le cloud décident de votre exposition

Un attaquant n'a pas besoin de connaître votre entreprise pour y entrer. Il lui suffit de trouver, sur Internet, un équipement ou un service que vous exposez et qui présente une faille connue : un pare-feu non mis à jour, un accès VPN mal protégé, une console cloud sans double authentification. Ce domaine couvre précisément ces portes d'entrée : l'architecture de votre réseau, son filtrage, les accès distants et la configuration de vos services cloud.

Les chiffres des sources publiques convergent :

• Les équipements de bordure sont devenus une cible prioritaire. Dans le Verizon DBIR 2025, les équipements de bordure et les VPN représentent 22 % des cibles d'exploitation de vulnérabilités, contre 3 % dans l'édition précédente. Seules 54 % environ de ces failles ont été entièrement corrigées sur la période étudiée, avec un délai médian de 32 jours.
• L'ANSSI fait le même constat en France. Son Panorama de la cybermenace 2025 relève que l'exploitation de vulnérabilités reste l'un des principaux vecteurs de compromission, visant notamment les équipements de bordure (pare-feu, serveurs mandataires, passerelles anti-spam).
• Le délai entre publication et exploitation se réduit. Le guide ANSSI « La cybersécurité pour les TPE/PME en treize questions » souligne que certaines campagnes massives exploitent une vulnérabilité quelques jours seulement après sa révélation.
• Les comptes en ligne sont la première menace. Pour les entreprises et associations accompagnées par Cybermalveillance.gouv.fr en 2025, le piratage de compte arrive en tête avec 21 % des parcours d'assistance, en hausse de 52 %. Une messagerie ou une suite bureautique en ligne mal protégée en fait partie.

Le cloud ne fait pas disparaître ce risque, il le déplace. Comme le rappelle l'ANSSI, la plupart des offres cloud exposent sur Internet des outils métier qui ne l'étaient pas auparavant, et un défaut de configuration peut suffire à rendre visibles des données ou des mécanismes d'authentification.

Se situer en six questions

Répondez par oui ou par non. Chaque « non » désigne un chantier ; la section suivante les classe par ordre de priorité.

1. Disposez-vous d'une liste à jour de tout ce qui est accessible depuis Internet ?

Oui : vous pouvez vérifier que chaque service exposé est nécessaire, à jour et protégé. Non : c'est le point de départ, car on ne protège pas ce qu'on ignore. Box, pare-feu, VPN, messagerie, site web, applications en ligne, accès de prestataires : tout doit y figurer.

2. Les accès à distance passent-ils tous par un VPN (ou une solution équivalente) avec double authentification ?

Oui : vous avez fermé la porte la plus recherchée par les robots d'attaque. Non, notamment si un bureau à distance est ouvert directement sur Internet : c'est une priorité immédiate, à traiter avant tout le reste.

3. Vos équipements de bordure (pare-feu, VPN, box professionnelle) reçoivent-ils leurs mises à jour de sécurité dans les jours qui suivent leur publication ?

Oui : vous réduisez la fenêtre pendant laquelle une faille publique reste exploitable chez vous. Non ou « je ne sais pas » : demandez à votre prestataire qui en est responsable, par écrit, et à quel rythme.

4. Votre réseau est-il cloisonné (postes, serveurs, administration, invités) ?

Oui : un poste compromis ne donne pas directement accès aux serveurs. Non : votre réseau est « à plat », et un attaquant qui entre sur un poste peut rebondir partout. Le Wi-Fi des visiteurs sur le même réseau que la comptabilité en est l'exemple le plus courant.

5. Les comptes d'administration de vos services cloud (Microsoft 365, Google Workspace, AWS, Azure…) sont-ils protégés par double authentification et réservés à l'administration ?

Oui : le vol d'un mot de passe ne suffit plus à prendre le contrôle de votre environnement. Non : un seul compte compromis peut ouvrir l'ensemble de vos données et de vos boîtes aux lettres.

6. Les journaux de votre pare-feu, de votre VPN et de vos services cloud sont-ils conservés et consultables ?

Oui : en cas d'incident, vous pourrez reconstituer ce qui s'est passé. Non : vous ne saurez ni depuis quand l'attaquant est présent, ni ce qu'il a consulté, ce qui complique aussi l'évaluation d'une éventuelle violation de données.

Les mesures prioritaires, dans l'ordre

L'ordre ci-dessous suit le raisonnement des guides de l'ANSSI : connaître, fermer ce qui est exposé, cloisonner, puis surveiller et faire contrôler.

1. Inventorier les points de contact avec l'extérieur

Le guide « TPE/PME en treize questions » place l'inventaire en tête : équipements, logiciels, accès, et interconnexions avec l'extérieur (accès Internet, liens vers un prestataire ou un partenaire, accès nomades). Le guide d'hygiène informatique en fait sa mesure 4 : identifier les serveurs les plus sensibles et maintenir un schéma du réseau. Mettez cet inventaire à jour au moins une fois par an, et à chaque nouveau service.

2. Mettre à jour en priorité ce qui est exposé

Pare-feu, VPN, passerelles de messagerie et serveurs publiés sur Internet passent avant les postes internes. Tout matériel ou logiciel qui ne reçoit plus de correctifs doit être remplacé (mesures 34 et 35 du guide d'hygiène). Exigez de votre prestataire un engagement de délai pour les correctifs critiques.

3. Sécuriser tous les accès distants

Aucun service d'administration ou de bureau à distance ne doit être ouvert directement sur Internet. Les accès passent par un VPN ou une solution d'accès à distance équivalente, avec authentification multifacteur : c'est l'une des mesures préventives que Cybermalveillance.gouv.fr recommande contre les rançongiciels, et l'ANSSI range le renforcement de l'authentification parmi ses cinq mesures préventives prioritaires. L'approche Zero Trust prolonge ce principe, mais elle ne remplace pas ces bases.

4. Filtrer avec un pare-feu dont vous connaissez les règles

Pour une PME, l'ANSSI recommande des pare-feu physiques en priorité pour protéger l'interconnexion à Internet, et une politique de filtrage minimale qui bloque tous les flux non strictement nécessaires et journalise les flux bloqués. Demandez la liste des règles en vigueur : une règle que personne ne sait expliquer est une règle à supprimer.

5. Cloisonner le réseau

• Séparer les zones : postes de travail, serveurs internes, services exposés sur Internet, et le cas échéant outils de production (mesures 19 et 23 du guide d'hygiène).
• Isoler le Wi-Fi des visiteurs et des appareils personnels du réseau de l'entreprise (mesure 20).
• Réserver un réseau, ou au minimum une zone dédiée, à l'administration (mesure 28).
• Filtrer les interconnexions avec les partenaires et prestataires au plus près de leur point d'entrée (mesure 25).

6. Reprendre la main sur la configuration de vos services cloud

Le fournisseur sécurise sa plateforme ; les réglages de votre compte restent de votre ressort. Activez la double authentification pour tous les utilisateurs et imposez-la aux administrateurs, créez des comptes d'administration distincts des comptes du quotidien, désactivez les comptes inutilisés et faites relire les paramètres de partage et d'exposition. Vérifiez aussi que vos données hébergées en ligne sont bien incluses dans votre stratégie de sauvegarde : ce n'est pas automatique.

7. Activer et conserver les journaux

Mesure 36 du guide d'hygiène : activer et configurer les journaux des composants les plus importants. L'ANSSI range l'accroissement de la supervision de sécurité parmi ses mesures préventives prioritaires. Pour une PME, commencez par le pare-feu, le VPN et les journaux de connexion des services cloud ; la centralisation dans un outil dédié viendra ensuite.

8. Faire contrôler de l'extérieur

Mesure 38 : procéder à des contrôles et audits réguliers, puis appliquer les actions correctives. Un test d'intrusion externe voit votre entreprise comme un attaquant la voit ; un audit de configuration cloud vérifie ce que les tableaux de bord ne montrent pas.

Les erreurs fréquentes

• Croire que le cloud est sécurisé par défaut. Les fonctions de sécurité existent, encore faut-il les activer et les configurer. L'ANSSI met explicitement en garde contre l'idée que « ce sera mieux sécurisé dans le cloud ».
• Ouvrir un accès « temporaire » et l'oublier. Un port ouvert pour un dépannage il y a deux ans reste ouvert tant que personne ne le ferme.
• Traiter le pare-feu comme un appareil qu'on installe une fois. C'est un équipement exposé, donc une cible : il se met à jour, et ses règles se relisent.
• Partager un mot de passe Wi-Fi unique entre salariés, visiteurs et appareils personnels. Le guide d'hygiène déconseille cette pratique et demande de séparer les usages.
• Laisser un prestataire disposer d'un accès permanent et non tracé. Le DBIR 2025 note que la part des violations impliquant un tiers a doublé, de 15 % à 30 %. Un accès prestataire se limite, s'authentifie et se journalise.
• Utiliser le compte administrateur du cloud pour lire ses e-mails. Le compte le plus puissant devient alors le plus exposé à l'hameçonnage.
• Acheter un outil avant d'avoir fait l'inventaire. Un équipement de filtrage mal paramétré donne un sentiment de sécurité sans la sécurité.

Ce que ça coûte

Les fourchettes suivantes proviennent du catalogue de prestations Lyyp. Elles varient selon le périmètre (nombre de sites, d'utilisateurs, d'environnements cloud) et ne remplacent pas un devis.

Faire le point

• Audit sécurité Microsoft 365 : de 3 000 à 7 000 €, environ 5 jours.
• Audit sécurité AWS ou Azure : de 4 000 à 10 000 €, environ 7 jours.
• Pentest externe : de 4 000 à 10 000 €, environ 5 jours.
• Pentest interne : de 5 000 à 12 000 €, environ 7 jours.
• Pentest Wi-Fi : de 2 000 à 5 000 €, environ 2 jours.

Corriger et durcir

• Sécurisation Wi-Fi : de 1 500 à 4 000 €, environ 3 jours.
• Sécurisation messagerie : de 2 000 à 5 000 €, environ 5 jours.
• Durcissement serveurs : de 2 000 à 6 000 €, environ 5 jours.
• Segmentation réseau : de 3 000 à 10 000 €, environ 15 jours.
• Durcissement Active Directory : de 4 000 à 12 000 €, environ 10 jours.
• Sécurisation d'un environnement cloud : de 5 000 à 15 000 €, environ 20 jours.

Surveiller dans la durée

• Supervision des vulnérabilités : de 1 000 à 4 000 €, prestation continue.
• CSPM (surveillance de la configuration cloud) : de 3 000 à 8 000 €.
• MDR (détection et réponse managées) : de 2 000 à 8 000 €, prestation continue.
• SOC externalisé : de 3 000 à 15 000 €, prestation continue.

Pour une PME qui démarre, l'ordre économique est généralement : un pentest externe ou un audit de la messagerie en ligne pour savoir où vous en êtes, puis les corrections ciblées, et seulement ensuite la surveillance continue.

Ce que la loi vous impose

RGPD : une obligation de moyens adaptés au risque

Dès que vous traitez des données personnelles, l'article 32 du RGPD vous impose des mesures techniques et organisationnelles « appropriées », dont des moyens garantissant « la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement », et une procédure pour tester et évaluer régulièrement leur efficacité. Un audit ou un test d'intrusion documenté contribue à démontrer cet effort. Pour aller plus loin : RGPD et cybersécurité : ce que l'article 32 exige vraiment.

Violation de données : 72 heures

Une console cloud mal configurée qui expose des fichiers clients constitue une violation de données. L'article 33 impose de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. Toute violation, notifiée ou non, doit être documentée en interne.

NIS2 : pas encore applicable en droit français

La directive NIS2 doit être transposée en France par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Au 13 septembre 2026, ce texte n'est pas promulgué : adopté par le Sénat le 12 mars 2025, il a été examiné par la commission spéciale de l'Assemblée nationale, dont le texte a été déposé le 10 septembre 2025, et les décrets d'application restent à publier. Aucune obligation nationale issue de NIS2 n'est donc encore opposable à une entreprise. Préparez-vous néanmoins si votre secteur et votre taille vous placent dans le périmètre : voir NIS2 : votre PME est-elle concernée ? et la fiche NIS2 du lexique.

Cette section situe les obligations ; elle ne remplace pas une analyse juridique de votre situation.

Passer à l'action

D'abord, mesurez. Le diagnostic Lyyp propose un parcours ciblé sur ce seul domaine : évaluer mon réseau et mon cloud, en 5 questions (segmentation, pare-feu, centralisation des journaux, protection des environnements cloud, accès distants). Vous obtenez un score et les points faibles à traiter en premier. Si vous hésitez sur le domaine par lequel commencer, lisez par où commencer.

Ensuite, faites chiffrer. Consultez les prestataires vérifiés en audit cloud, test d'intrusion et segmentation réseau, et demandez un devis au périmètre précis : nombre de sites, d'utilisateurs, d'environnements cloud, et ce qui est exclu.

Sources

• Verizon, 2025 Data Breach Investigations Report, résumé exécutif (avril 2025).
• ANSSI / CERT-FR, Panorama de la cybermenace 2025.
• ANSSI et DGE, La cybersécurité pour les TPE/PME en treize questions (version de décembre 2024).
• ANSSI, Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures.
• ANSSI, Les mesures cyber préventives prioritaires (mai 2023).
• Cybermalveillance.gouv.fr, Rapport d'activité et état de la menace 2025 (mars 2026) et principales cybermalveillances visant les professionnels en 2025.
• Cybermalveillance.gouv.fr, Rançongiciel : que faire si votre organisation est victime d'une attaque ?
• Règlement (UE) 2016/679 (RGPD), articles 32, 33 et 34, EUR-Lex.
• CNIL, Notifier une violation de données personnelles.
• Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
• ANSSI, Avancement de la transposition de la directive NIS 2, MonEspaceNIS2.
• Fourchettes tarifaires : catalogue de prestations Lyyp, prestations rattachées au domaine dans le diagnostic.