Comment sécuriser le réseau Wi-Fi de l'entreprise sans ralentir le travail

Un réseau sans fil peu sécurisé peut compromettre bien plus que l'accès à Internet. Il peut permettre à un utilisateur non autorisé d'accéder à des fichiers, à des outils cloud, à des systèmes de paiement, à des téléphones et à des appareils connectés. Savoir comment sécuriser le réseau Wi-Fi de votre entreprise n'est donc pas seulement une question informatique. C'est un aspect concret de la protection du fonctionnement de votre entreprise.

La bonne nouvelle, c’est qu’une sécurité Wi-Fi efficace ne doit pas nécessairement compliquer la vie du personnel ou des visiteurs. Une configuration adaptée permet aux personnes autorisées de se connecter rapidement, tout en établissant des limites claires pour tous les autres.

La sécurité commence avant même que vous ne choisissiez un mot de passe. De nombreuses petites entreprises gèrent l'ensemble de leurs activités à partir d'un seul réseau sans fil : les ordinateurs portables du personnel, les téléphones mobiles personnels, les appareils des visiteurs, les imprimantes, les écrans des salles de réunion et les équipements connectés partagent tous la même connexion. C'est pratique, mais cela confère à un appareil compromis une visibilité excessive.

Créez des réseaux distincts pour des usages différents. Votre réseau principal destiné au personnel doit être réservé aux appareils professionnels gérés et aux activités professionnelles autorisées. Un réseau « invités » doit fournir uniquement un accès à Internet, sans aucune connexion aux systèmes internes. Les appareils tels que les imprimantes, les caméras, les contrôleurs d'accès et les capteurs doivent, dans la mesure du possible, être connectés à leur propre réseau ou VLAN.

Cette segmentation est importante car tous les appareils ne présentent pas le même niveau de sécurité. Un ordinateur portable bien géré peut bénéficier de mises à jour de sécurité régulières, ce qui n'est pas forcément le cas d'une imprimante plus ancienne ou d'un écran de salle de réunion. Les séparer permet de limiter les dégâts si l'un de ces appareils venait à être compromis.

Pour un petit bureau, cela peut se traduire par trois réseaux sans fil : celui du personnel, celui des visiteurs et celui des appareils. Les grandes entreprises peuvent avoir besoin d’une séparation plus fine par service, par site ou en fonction des exigences de sécurité. L’objectif n’est pas la complexité pour la complexité. Il s’agit de garantir qu’un téléphone de visiteur ne puisse pas accéder à votre imprimante du service financier, et qu’une caméra connectée ne puisse pas atteindre votre serveur de fichiers.

Utilisez le protocole WPA3 lorsque votre équipement le prend en charge. Le WPA3 est actuellement la norme de sécurité Wi-Fi recommandée et offre une protection plus efficace que les anciennes normes. Si certains appareils existants ne peuvent pas l'utiliser, le WPA2-AES reste une solution acceptable à titre transitoire. Évitez systématiquement les protocoles WEP et WPA avec TKIP. Ils sont obsolètes et ne doivent pas être utilisés sur un réseau d'entreprise.

Le nom du réseau, ou SSID, n'a pas besoin de mentionner le nom de votre entreprise, le numéro d'étage ou le type d'équipement. Nommer un réseau « Entreprise-Bureau-Admin » fournit des informations superflues à toute personne se trouvant à proximité. Un nom neutre est plus sûr et donne une image plus professionnelle.

Pour les très petites équipes, un mot de passe Wi-Fi long et unique peut s’avérer adapté s’il est associé à une bonne gestion des appareils. Veillez à ce qu’il comporte au moins 16 caractères, évitez les mots prévisibles ou les informations relatives à l’entreprise, et ne le réutilisez nulle part ailleurs. Un gestionnaire de mots de passe est l’endroit idéal pour le conserver.

À mesure que le nombre d'utilisateurs augmente, envisagez d'adopter le protocole WPA2 ou WPA3 Enterprise avec authentification 802.1X. Plutôt que de partager un seul mot de passe au sein de l'entreprise, chaque employé se connecte à l'aide d'un compte ou d'un certificat individuel. Il est ainsi possible de retirer l'accès à une personne sans avoir à modifier le mot de passe sur tous les appareils. Cela permet également un contrôle plus précis lorsqu'un employé rejoint l'entreprise, change de poste ou quitte l'entreprise.

Il y a toutefois un compromis à faire. L'authentification d'entreprise nécessite davantage de préparation et peut exiger un service RADIUS ou l'assistance d'un réseau géré. Pour une entreprise comptant plusieurs collaborateurs, détenant des données confidentielles ou connaissant de fréquents changements de personnel, ce contrôle supplémentaire en vaut généralement la peine.

Le Wi-Fi pour visiteurs est utile dans les bureaux, les magasins, les cabinets médicaux et les salles de réunion, mais il ne doit en aucun cas constituer une extension informelle du réseau interne. Activez l’isolation des clients afin que les appareils des visiteurs ne puissent pas communiquer entre eux. Cela réduit le risque qu’un appareil infecté appartenant à un visiteur s’introduise dans l’ordinateur portable d’un autre visiteur.

Utilisez un mot de passe distinct ou un portail captif, et modifiez les identifiants d'accès lorsque cela s'avère nécessaire. Pour les salles de réunion ou les visiteurs occasionnels, il est souvent préférable d'utiliser un code à durée limitée plutôt que de communiquer un mot de passe qui reste actif pendant des années.

Appliquez des limites de bande passante raisonnables à l'accès des invités si votre connexion est partagée avec des services essentiels à l'activité. Les appels vidéo, les applications cloud et les appels via le PBX cloud ne doivent pas être perturbés parce qu'un visiteur lance un téléchargement volumineux. La limite appropriée dépend de votre bande passante disponible et de votre utilisation habituelle ; il est donc préférable de la tester pendant une période de forte affluence plutôt que de se contenter d'une estimation.

Votre routeur, votre pare-feu et vos points d'accès sans fil font partie de l'infrastructure ; ce ne sont pas des appareils que l'on installe une fois pour toutes. Leurs paramètres de gestion méritent la même attention que le réseau qu'ils mettent à disposition.

Tout d'abord, modifiez tous les noms d'utilisateur et mots de passe administrateur par défaut. Utilisez des identifiants administrateur distincts et robustes, plutôt que le mot de passe Wi-Fi. Limitez l'accès à la gestion au réseau interne, ou à une méthode de gestion à distance sécurisée si un accès hors site s'avère nécessaire. Les pages d'administration ne doivent jamais être accessibles librement depuis l'Internet public, sauf pour une raison professionnelle rigoureusement justifiée.

Veillez à ce que le micrologiciel soit à jour. Les fabricants publient des mises à jour pour corriger les failles de sécurité connues, améliorer la stabilité et prendre en charge les nouvelles normes. Prévoyez un contrôle régulier, en particulier pour les équipements qui ne bénéficient plus d'un support actif. Un point d'accès qui ne peut plus recevoir de mises à jour de sécurité représente un risque pour l'entreprise, même s'il semble encore fonctionner parfaitement.

Désactivez les fonctionnalités dont vous n'avez pas besoin. Le WPS, par exemple, est conçu pour faciliter la connexion des appareils, mais peut compromettre la sécurité. La fonctionnalité Universal Plug and Play peut également créer une vulnérabilité inutile dans un environnement professionnel. Les fonctionnalités pratiques ne doivent être activées que lorsque leur utilité est évidente et que leurs effets sont bien compris.

Placez les points d'accès de manière à couvrir votre espace de travail sans diffuser plus de signal que nécessaire au-delà de celui-ci. Le signal Wi-Fi traverse naturellement les murs et les fenêtres, en particulier dans les bureaux en open space. Réduire la puissance d'émission ou repositionner un point d'accès peut limiter la couverture superflue en dehors des locaux, sans pour autant créer de zones de mauvaise réception pour le personnel. Une étude de site permet de trouver le juste équilibre.

La sécurité d'un réseau Wi-Fi ne repose pas uniquement sur des paramètres techniques, mais aussi sur des procédures quotidiennes. Tenez à jour une liste des personnes autorisées à accéder au réseau, des appareils approuvés et des administrateurs du réseau. Lorsqu'un collaborateur quitte l'entreprise, supprimez immédiatement son compte ou son certificat. En cas de perte d'un téléphone ou d'un ordinateur portable de l'entreprise, révoquez son accès si votre système le permet.

Les politiques relatives à l'utilisation des appareils personnels (BYOD) nécessitent une décision claire. Certaines entreprises autorisent les appareils personnels sur le réseau du personnel, tandis que d’autres les placent sur un réseau BYOD distinct avec un accès limité. Aucune de ces deux approches n’est automatiquement la bonne. Si le personnel a besoin de ses téléphones personnels pour l’authentification multifactorielle et les applications professionnelles, un réseau BYOD contrôlé peut s’avérer pratique. Si votre organisation traite des informations sensibles, une séparation plus stricte peut être préférable.

Les appareils gérés doivent être équipés d'un verrouillage d'écran, d'un chiffrement de disque, d'un système d'exploitation à jour et d'une protection des terminaux. Le chiffrement Wi-Fi protège la connexion entre un appareil et un point d'accès. Il ne peut pas protéger un ordinateur portable déjà infecté ou laissé déverrouillé sur un bureau.

Vérifiez régulièrement la liste des appareils sur votre routeur, votre pare-feu ou votre plateforme de gestion Wi-Fi. La présence d'appareils inconnus n'est pas toujours synonyme d'intrusion : il peut s'agir d'un nouvel écran connecté, du téléphone d'un membre du personnel ou d'un équipement dont le nom du fabricant vous est inconnu. Toutefois, les appareils dont l'origine est inexpliquée doivent faire l'objet d'une vérification et ne doivent pas être ignorés.

Configurez des alertes, lorsque cela est possible, pour signaler l'apparition de nouveaux appareils, les tentatives d'authentification infructueuses et les pannes de points d'accès. Des échecs répétés de connexion peuvent indiquer qu'un utilisateur saisit un ancien mot de passe, mais ils peuvent également signifier une tentative de deviner les identifiants. Le contexte est important ; c'est pourquoi les journaux doivent être examinés par une personne qui maîtrise le fonctionnement habituel de votre réseau.

Consignez les informations essentielles : noms des réseaux, VLAN, emplacements des points d'accès, responsables administratifs, dates de révision des micrologiciels et procédure d'octroi des droits d'accès. Cela permet d'accélérer l'intervention en cas de problème et évite que des informations cruciales ne soient détenues par une seule personne.

Le Wi-Fi d'entreprise ne constitue qu'une partie d'un réseau plus vaste. Le pare-feu, la connexion Internet, l'accès à distance, les services cloud, la téléphonie et les solutions de sauvegarde ont tous une incidence sur le résultat final. Un réseau invité peut, par exemple, être correctement isolé, mais une interface de gestion à distance exposée peut tout de même créer un risque ailleurs.

Pour les entreprises luxembourgeoises, il peut s'avérer particulièrement utile de faire appel à un prestataire local maîtrisant l'ensemble de la mise en place de la connectivité, notamment lorsque le Wi-Fi, la fibre optique, les services hébergés et la téléphonie d'entreprise doivent fonctionner de concert. Visual Online peut aider les entreprises à évaluer la configuration concrète de leur connexion, plutôt que de considérer la couverture sans fil comme un achat isolé.

La prochaine étape la plus efficace est simple : observez votre réseau avec un regard extérieur. Demandez-vous quels appareils peuvent s'y connecter, à quoi ils ont accès, qui est habilité à administrer ces équipements, et si chaque réponse est toujours justifiée. « Mieux vaut prévenir que guérir » n'est pas qu'un simple slogan lorsque votre réseau est au cœur de l'activité quotidienne de votre entreprise.