Dans beaucoup de petites et moyennes entreprises, internet arrive directement de la box du fournisseur dans les bureaux, sans équipement de sécurité supplémentaire, parce que « la box a un pare-feu ». Or, lorsque ordinateurs, serveurs, caméras et appareils des visiteurs partagent le même réseau et que des salariés se connectent à distance, cela ne suffit pas. Cet article détaille ce qu'une PME doit examiner pour choisir un pare-feu.

Pourquoi le pare-feu de la box ne suffit-il pas ?

Le pare-feu de base d'une box bloque les connexions entrantes indésirables, mais n'inspecte pas le trafic sortant au niveau applicatif, ne bloque ni les sites malveillants ni les schémas d'attaque connus, ne permet pas de segmenter le réseau avec des règles entre segments et ne conserve pas de journaux détaillés. Un pare-feu professionnel centralise tout cela.

6 critères qui guident le choix

  • Nombre d'utilisateurs et d'appareils : compter non seulement l'effectif actuel, mais celui attendu dans deux ou trois ans.
  • Performance réelle : la valeur maximale des fiches techniques est souvent mesurée services de sécurité désactivés. Comparez la valeur mesurée avec prévention d'intrusion, filtrage web et antivirus activés à votre débit internet.
  • Besoins VPN : le nombre de télétravailleurs et de liaisons entre sites fixe la capacité VPN. Exigez la MFA pour les connexions VPN.
  • Licences des services de sécurité : prévention d'intrusion, filtrage web, antivirus et services similaires fonctionnent généralement par abonnement annuel.
  • Administration et rapports : qui gère les règles, où et combien de temps les journaux sont conservés, lisibilité des rapports.
  • Continuité : si une coupure internet arrête l'activité, prévoir deux lignes et, au besoin, un second équipement en haute disponibilité.

Un cadre général selon la taille

Les seuils ci-dessous ne sont pas figés ; ils varient avec votre liste de besoins.

  • Petit bureau (jusqu'à environ 25 utilisateurs) : un boîtier UTM de bureau, une ou deux lignes internet, un VPN de base et du filtrage web suffisent souvent.
  • Taille moyenne (environ 25 à 100 utilisateurs) : un équipement en baie, deux lignes, des règles entre réseaux bureautique, caméras et invités, un VPN par utilisateur et une journalisation centralisée.
  • Entreprise multisite ou site de production : deux équipements en haute disponibilité, VPN site à site, séparation du réseau de production (machines, automates) du réseau bureautique et envoi des journaux vers une supervision centrale (SIEM).

Licences et coût total

Le coût d'un pare-feu ne se limite pas au prix de l'équipement. Les licences des services de sécurité se renouvellent chaque année ; chez de nombreux constructeurs, l'appareil continue de fonctionner comme pare-feu de base à l'expiration, mais les services de protection mis à jour en continu s'arrêtent. Comparez donc les devis sur un coût total d'au moins trois ans : équipement, renouvellements, installation et administration. Pour le périmètre et les prix de départ, voir notre article sur les prix de la cybersécurité.

Erreurs d'installation fréquentes

  • une règle « tout autoriser » ajoutée pour faciliter la migration puis oubliée,
  • l'interface d'administration ouverte sur internet et utilisée avec le compte administrateur par défaut,
  • un firmware jamais mis à jour,
  • des journaux non conservés, ou conservés mais jamais lus,
  • des utilisateurs VPN ayant accès à tout le réseau, sans MFA.

Bien préparer son choix

Préparer ces informations avant de demander des devis facilite le choix : liste des utilisateurs et appareils, débits des lignes internet, nombre de télétravailleurs et de sites, applications critiques (ERP, comptabilité, services cloud) et schéma réseau actuel. Le pare-feu est un pilier de l'approche Zero Trust ; il donne toute sa valeur lorsqu'il est planifié avec la segmentation réseau et l'authentification.

Après l'installation : les 30 premiers jours

  • Les règles sont revues au regard du trafic réel dans les premières semaines, et les autorisations trop larges sont restreintes.
  • Une fenêtre régulière de mise à jour du firmware est fixée.
  • La configuration est sauvegardée et renouvelée après chaque changement important.
  • Les rapports hebdomadaires sont examinés : menaces bloquées, appareils les plus consommateurs, sessions VPN.
  • Les comptes administrateurs sont nominatifs et les connexions d'administration protégées par MFA.

Questions fréquentes

Quelle marque de pare-feu recommandez-vous ?

La marque se choisit selon la liste des besoins, les performances réelles, le coût des licences et le support local. Dire qu'une marque est la meilleure pour toutes les entreprises serait inexact.

Que se passe-t-il si je ne renouvelle pas la licence ?

Chez de nombreux constructeurs, l'appareil continue de fonctionner comme pare-feu de base, mais les services mis à jour en continu, comme la prévention d'intrusion et le filtrage web, s'arrêtent et la protection s'affaiblit.

Faut-il un pare-feu si nous utilisons des applications cloud ?

Oui. L'accès internet des postes, le trafic entre segments et l'accès distant passent toujours par le réseau du bureau. Les mesures propres aux applications cloud complètent cette protection sans la remplacer.

Pour définir ensemble la bonne taille pour votre entreprise, consultez notre page cybersécurité et Zero Trust et demandez un devis gratuit.