Une entreprise peut disposer d’un pare-feu périmétrique performant tout en restant loin de satisfaire pleinement aux exigences de cybersécurité posées par la directive NIS2. La directive européenne impose aux entités concernées de gérer les risques par le biais de mesures techniques, opérationnelles et organisationnelles comprenant la continuité des activités, le contrôle d’accès, la gestion des vulnérabilités et la sécurité des communications. La segmentation réseau s’inscrit dans ce modèle comme une mesure particulièrement efficace pour empêcher qu’une intrusion initiale ne se propage à l’ensemble de l’organisation.

Les clés de NIS2 et la segmentation réseau en 30 secondes

• NIS2 exige des entités concernées la mise en œuvre de mesures de gestion des risques adaptées à leurs circonstances et à leur exposition.
• La directive ne prescrit pas explicitement l’adoption d’une architecture spécifique de segmentation pour toutes les entreprises.
• Elle requiert toutefois de protéger réseaux et systèmes, de gérer les incidents, vulnérabilités, accès et la continuité des activités.
• La séparation des utilisateurs, serveurs, invités, accès administratifs et systèmes critiques limite la mobilité latérale d’un attaquant.
• Firewall, VPN et segmentation doivent faire partie d’une architecture de sécurité globale.

Il est important de comprendre la nuance. Présenter la segmentation comme une obligation textuelle et universelle de NIS2 serait une simplification excessive. La Directive (UE) 2022/2555 définit des objectifs et des catégories de mesures de sécurité, mais la mise en œuvre concrète dépend du risque, de la taille, des coûts, de l’exposition et de l’importance des systèmes de chaque organisation.

Il reste néanmoins difficile de justifier une architecture totalement plate lorsque l’on gère des systèmes critiques, des fournisseurs externes, des appareils d’employés, des services cloud et des accès à distance.

NIS2 n’indique pas quel pare-feu acheter, mais précise quels risques doivent être maîtrisés

L’article 21 de NIS2 figure parmi les points clés pour comprendre les évolutions apportées.

Les entités « essentielles » et « importantes » concernées doivent adopter des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées afin de gérer les risques menaçant la sécurité de leurs réseaux et systèmes d’information.

La norme liste différents domaines à couvrir, notamment :

l’analyse des risques, les politiques de sécurité, la gestion des incidents, la continuité d’activité, la sauvegarde et la reprise après sinistre, la sécurité de la chaîne d’approvisionnement, l’acquisition et l’entretien sécurisé des systèmes, la gestion des vulnérabilités, l’évaluation de l’efficacité des mesures, la bonne hygiène en cybersécurité et la formation.

Elle inclut également des politiques sur la cryptographie, le contrôle d’accès, la gestion des actifs, ainsi que l’authentification multifactorielle ou continue lorsque cela est pertinent.

Ainsi, NIS2 ne se limite pas à l’installation d’un pare-feu ou à l’achat d’un produit de sécurité spécifique.

L’organisation doit démontrer qu’elle connaît ses risques et qu’elle a mis en place des contrôles raisonnables pour réduire la probabilité et l’impact d’un incident.

C’est ici que la segmentation intervient.

Si un ordinateur d’un employé est compromis via une attaque par phishing, l’incident aura des conséquences très différentes selon qu’il peut communiquer librement avec des serveurs, des copies de sauvegarde, des interfaces d’administration ou des bases de données, ou si des barrières existent entre ces zones.

La première situation offre à l’assaillant bien plus d’opportunités pour se déplacer latéralement.

Une architecture plate peut transformer un ordinateur compromis en un problème beaucoup plus grave

Pendant des années, bon nombre de réseaux d’entreprise ont suivi une structure relativement simple : Internet était isolé, les systèmes internes restaient en interne.

Le pare-feu protégeait la démarcation.

Ce modèle devient de moins en moins représentatif de la réalité de l’activité. Les employés utilisent des portables en dehors du bureau, des applications SaaS, du stockage cloud, des connexions VPN et des appareils mobiles. Par ailleurs, fournisseurs et techniciens externes peuvent avoir besoin d’accéder à certains systèmes.

La frontière entre « intérieur » et « extérieur » est beaucoup moins nette.

La segmentation vise à diviser l’infrastructure en zones et à définir quelles communications sont autorisées entre elles.

Une entreprise pourrait, par exemple, séparer les postes des employés des serveurs de production. Le Wi-Fi invité doit rester isolé des ressources internes. Les systèmes d’administration peuvent être placés dans une zone différente, et des restrictions spécifiques peuvent s’appliquer aux copies de sauvegarde.

Les environnements industriels, appareils IoT ou systèmes particulièrement sensibles peuvent nécessiter encore plus de séparation.

Les VLAN peuvent faire partie de cette architecture, mais créer plusieurs VLAN ne suffit pas à garantir une segmentation de sécurité efficace. Il est nécessaire de contrôler le trafic traversant ces segments, de définir des politiques, de revoir régulièrement les exceptions, et de vérifier que les règles restent adaptées aux besoins réels.

Ce dernier point est souvent l’un des plus problématiques.

Une fois conçue, une segmentation peut être maintenue pendant des années et devenir quasiment plate avec le temps. Chaque nouvelle application, serveur ou fournisseur introduit ses propres exceptions. Si ces règles s’accumulent sans révision, les frontières perdent en efficacité.

Firewall, VPN et Wi-Fi participent également au problème

Le pare-feu reste indispensable. Ce qui change, c’est la perception de ce qu’il peut résoudre seul.

Un pare-feu en limite de réseau contrôle une frontière définie. Il ne garantit pas de prévenir qu’un ordinateur déjà compromis attaque un autre système situé dans la même zone de confiance.

Il est également possible d’utiliser des pare-feu en interne pour gérer la communication entre différents segments.

Les fonctionnalités nécessaires dépendront de chaque organisation. Dans certains cas, des règles réseau bien entretenues suffiront. Dans d’autres, il sera pertinent d’utiliser des pare-feu nouvelle génération capables d’intégrer des informations sur les applications, les utilisateurs et le contenu du trafic.

L’accès à distance nécessite une évaluation similaire.

Une VPN chiffre la communication entre un appareil distant et l’infrastructure d’entreprise, mais une VPN ne garantit pas que l’appareil soit fiable ni qu’il doit accéder à toute l’infrastructure. Si l’ordinateur portable est compromis, lui accorder un accès total pourrait fournir à l’attaquant un canal chiffré vers les systèmes internes.

Les organisations peuvent restreindre les ressources accessibles en fonction de l’utilisateur, du dispositif ou du rôle.

Le Wi-Fi soulève un autre problème courant. Les réseaux pour employés et visiteurs devraient rester séparés lorsque ces derniers n’ont pas besoin d’accéder aux ressources internes.

Les mécanismes d’authentification et de chiffrement doivent également être à jour. WPA3 apporte des améliorations par rapport aux standards antérieurs, mais utiliser une norme moderne ne suffit pas à garantir une architecture correcte de séparation et de contrôle.

NIS2 oblige en outre à penser à ce qui se passe après un incident.

La continuité des activités, la récupération après sinistre, la gestion de crise et la sauvegarde figurent explicitement parmi les domaines couverts par la directive.

Cela amène à passer d’une question du type « comment empêcher qu’un intrus entre ? » à une autre tout aussi cruciale : « que faire si l’individu parvient à entrer ? »

La segmentation contribue précisément à cette deuxième question. Elle peut réduire le nombre de systèmes accessibles depuis une machine compromise et compliquer la tâche d’un attaquant pour atteindre l’infrastructure de gestion ou les copies de sauvegarde.

Elle ne supprime pas le risque et ne remplace pas les contrôles d’identité, la surveillance, la gestion des vulnérabilités ou l’isolation des sauvegardes.

La sécurité repose également sur la vérification régulière de ces mesures.

Un plan de reprise d’activité jamais testé peut échouer lorsqu’il est nécessaire. Une sauvegarde jamais restaurée ne garantit pas la récupération des données. Une segmentation seulement documentée ne prouve pas que le trafic est réellement restreint.

Pour les entreprises soumises à NIS2, c’est l’une des évolutions majeures : la cybersécurité ne peut plus se limiter à une barrière périmétrique, mais doit s’intégrer à la gestion continue du risque d’entreprise.

Questions fréquentes

NIS2 oblige-t-elle expressément à segmenter le réseau ?

NIS2 exige des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques. La directive ne prescrit pas une architecture spécifique de segmentation pour toutes les entreprises, ce qui signifie que les mesures concrètes doivent être justifiées en fonction des risques propres à chaque organisation.

Est-ce qu’avoir un pare-feu suffit pour respecter NIS2 ?

Non. La directive couvre la gestion des risques et des incidents, la continuité des activités, la chaîne d’approvisionnement, les vulnérabilités, le contrôle d’accès, la formation, la cryptographie, entre autres, en complément de la protection réseau.

À quoi sert la segmentation du réseau d’entreprise ?

Elle permet de séparer des systèmes avec des niveaux de confiance différents et de limiter leurs communications. En cas de compromission d’un poste, une segmentation bien appliquée peut freiner la progression latérale vers des serveurs, des systèmes de gestion ou des sauvegardes.

Une VPN garantit-elle un accès à distance sécuritaire ?

Une VPN chiffre la communication, mais ne garantit pas que l’appareil connecté soit fiable ni qu’il doit accéder à toute l’infrastructure. Il est conseillé de la combiner avec une authentification forte, un contrôle d’accès, la mise à jour régulière des dispositifs et des restrictions d’accès aux ressources.