Sécurisation du Wi-Fi d’entreprise : les nouveaux standards et bonnes pratiques

1. Pourquoi le Wi-Fi d’entreprise doit-il être sécurisé ?
2. Comment sécuriser les accès au réseau Wi-Fi de l’entreprise ?
3. Comment intégrer le Wi-Fi dans l’infrastructure informatique de l’entreprise ?
4. Comment maintenir un Wi-Fi professionnel sécurisé dans le temps ?
5. Les erreurs fréquentes en matière de sécurisation du Wi-Fi
6. Sécurisation du Wi-Fi d’entreprise : les questions à se poser
7. Les points essentiels à retenir

Le Wi-Fi d’entreprise ne sert plus uniquement à connecter quelques ordinateurs portables. Il permet aujourd’hui d’accéder aux ressources internes depuis de nombreux types d’équipements : postes de travail, smartphones, tablettes, téléphones IP ou encore appareils métier.

Cette ouverture augmente les possibilités d’accès au système d’information. Un réseau Wi-Fi mal sécurisé peut ainsi exposer l’entreprise à des connexions non autorisées ou faciliter l’accès à certaines ressources internes.

La sécurisation du Wi-Fi doit donc être pensée comme une composante de la sécurité globale du système d’information. L’objectif n’est pas seulement de protéger la connexion sans fil, mais de maîtriser les utilisateurs et les équipements qui peuvent accéder au réseau.

Une fois les enjeux identifiés, la première question consiste à sécuriser les connexions elles-mêmes. Le choix du standard Wi-Fi et du mode d’authentification doit notamment permettre de maîtriser les utilisateurs et les équipements autorisés à se connecter.

WPA3-Enterprise : que change ce standard pour les entreprises ?

WPA3-Enterprise est le mode de WPA3 conçu pour les environnements professionnels. Contrairement à un réseau reposant sur un simple mot de passe partagé, il permet de s’appuyer sur une authentification d’entreprise et une gestion plus fine des accès.

Cette approche est particulièrement intéressante lorsque plusieurs collaborateurs utilisent le Wi-Fi. Elle permet notamment de gérer les accès de manière individuelle et de limiter les conséquences du départ d’un collaborateur ou de la compromission d’un compte.

WPA3-Enterprise propose également un mode de sécurité 192 bits, destiné aux environnements qui nécessitent un niveau de protection renforcé. Ce niveau n’est toutefois pas nécessaire pour toutes les entreprises. Le choix doit dépendre des besoins, de l’infrastructure et du niveau de sécurité recherché.

L’enjeu principal reste donc de choisir un mode de sécurité adapté aux usages professionnels, plutôt que de considérer le Wi-Fi comme un simple réseau protégé par un mot de passe.

Faut-il utiliser une authentification individuelle ?

Dans un environnement professionnel, une authentification individuelle permet de mieux maîtriser les accès qu’un mot de passe Wi-Fi partagé par tous les collaborateurs.

Chaque utilisateur peut disposer de ses propres identifiants. L’entreprise peut ainsi gérer les droits d’accès plus précisément et supprimer un accès sans devoir modifier les paramètres de connexion de l’ensemble des utilisateurs.

Cette approche apporte également une meilleure traçabilité des connexions. Elle permet de savoir quel compte est utilisé pour accéder au réseau et de réagir plus facilement lorsqu’un accès doit être désactivé.

Comment sécuriser le Wi-Fi invité et les appareils personnels ?

Les visiteurs et les collaborateurs qui utilisent un appareil personnel ne doivent pas nécessairement disposer des mêmes accès que les équipements professionnels.

Le Wi-Fi invité doit donc être conçu pour permettre l’accès à Internet tout en empêchant l’accès aux ressources internes de l’entreprise. Pour les appareils personnels, les règles doivent également être adaptées à leur niveau de maîtrise et à leur usage.

Cette distinction permet de répondre à un principe simple : tous les appareils connectés au Wi-Fi n’ont pas vocation à bénéficier des mêmes accès.

Sécuriser les connexions ne suffit pas. Le Wi-Fi doit ensuite être intégré à l’architecture réseau de l’entreprise afin de déterminer où les utilisateurs et les équipements peuvent communiquer et quelles ressources leur sont accessibles.

Comment segmenter les différents usages grâce aux VLAN ?

Les VLAN, ou réseaux locaux virtuels, permettent de créer plusieurs réseaux logiques au sein d’une même infrastructure physique. Ils peuvent notamment servir à distinguer le réseau des collaborateurs, celui des visiteurs ou celui de certains équipements.

Cette segmentation permet d’adapter les accès aux besoins de chaque usage. Un réseau destiné aux visiteurs peut ainsi être séparé du réseau professionnel, tandis que certains équipements connectés peuvent disposer de leur propre environnement réseau.

La segmentation constitue donc un principe d’architecture. Elle ne remplace pas l’authentification : elle permet surtout de déterminer comment organiser les différents usages une fois les équipements connectés.

Comment contrôler les communications entre les réseaux ?

Créer plusieurs réseaux ne suffit pas à garantir leur isolation. Il faut également définir quelles communications sont autorisées entre eux.

Les règles de filtrage permettent par exemple d’autoriser un poste professionnel à accéder à certains serveurs tout en empêchant un réseau invité de communiquer avec les ressources internes.

Cette approche permet de limiter les communications au strict nécessaire et de réduire les conséquences potentielles d’un équipement compromis.

Comment relier le Wi-Fi, Internet, le firewall et le VPN ?

Le firewall, ou pare-feu, joue un rôle central dans le contrôle des communications entre les différents environnements réseau. Le Wi-Fi doit donc être intégré à cette architecture plutôt que fonctionner comme une infrastructure indépendante.

Il faut également prendre en compte les VPN, qui sécurisent certaines connexions à distance, ainsi que les accès Internet. L’objectif est de conserver des règles cohérentes quel que soit le mode de connexion utilisé.

Pour une entreprise, cette cohérence est essentielle : le niveau de sécurité ne doit pas dépendre uniquement du fait que le collaborateur soit connecté en Wi-Fi ou autrement.

Comment prendre en compte la téléphonie IP et les équipements connectés ?

Le Wi-Fi professionnel peut également accueillir des téléphones IP, terminaux mobiles, équipements métier ou objets connectés. Ces appareils peuvent avoir des besoins très différents de ceux d’un poste de travail.

Ils doivent donc être intégrés à la réflexion dès la conception du réseau. Selon les usages, il peut être nécessaire de leur appliquer des règles d’accès spécifiques et de limiter leurs communications avec les autres ressources.

Le Wi-Fi devient ainsi une composante de l’infrastructure globale, au même titre que les connexions Internet, les serveurs ou la téléphonie.

La sécurisation du Wi-Fi d’entreprise ne s’arrête pas à la mise en service du réseau. Les équipements évoluent, de nouvelles vulnérabilités peuvent être découvertes et les besoins de l’entreprise peuvent changer. Il faut donc assurer un suivi régulier de l’infrastructure pour conserver un niveau de sécurité adapté.

Sécuriser l’administration des équipements Wi-Fi

L’administration des points d’accès doit elle-même être protégée. Les interfaces de gestion ne doivent notamment pas être librement accessibles depuis les réseaux utilisés par les collaborateurs ou les visiteurs.

Il est également important d’utiliser des identifiants d’administration robustes et des protocoles de gestion sécurisés. L’administration doit rester réservée aux personnes qui en ont réellement besoin.

Cette séparation entre les accès utilisateurs et les accès d’administration permet de réduire les risques liés à une compromission d’un poste ou d’un compte utilisateur.

Maintenir les points d’accès à jour

Les points d’accès Wi-Fi utilisent un logiciel interne, généralement appelé microprogramme ou firmware. Comme les autres équipements informatiques, ils doivent être régulièrement mis à jour afin de bénéficier des correctifs de sécurité proposés par leur fabricant.

Une infrastructure récente peut donc progressivement devenir vulnérable si ses équipements ne sont plus maintenus. Le suivi des versions et des mises à jour doit ainsi faire partie des opérations courantes d’administration.

Il est également utile de vérifier la compatibilité des mises à jour avec l’infrastructure existante avant leur déploiement, notamment lorsque plusieurs générations d’équipements coexistent.

Superviser le réseau pour détecter les anomalies

La supervision du Wi-Fi permet de suivre l’état des équipements et de détecter plus rapidement certains événements inhabituels : point d’accès indisponible, équipement inattendu, problème de connexion ou comportement anormal.

Cette visibilité devient particulièrement importante lorsque l’entreprise possède plusieurs points d’accès ou plusieurs sites. Elle permet de réagir plus rapidement en cas de problème et de conserver une meilleure maîtrise de l’infrastructure.

La supervision ne consiste donc pas uniquement à vérifier que le Wi-Fi fonctionne. Elle contribue également à maintenir dans le temps le niveau de sécurité et de fiabilité du réseau.

Même avec une architecture correctement conçue, certaines erreurs peuvent fragiliser le réseau. Elles concernent souvent les choix pratiques réalisés au quotidien.

Conserver les paramètres par défaut des équipements

Un point d’accès installé rapidement peut conserver son nom de réseau, ses paramètres ou ses identifiants d’administration d’origine. Ces éléments doivent être vérifiés avant la mise en production.

Activer le WPS pour simplifier les connexions

Le WPS, ou Wi-Fi Protected Setup, a été conçu pour faciliter l’association d’appareils à un réseau Wi-Fi. Dans un environnement professionnel, cette facilité peut toutefois introduire une faiblesse de sécurité. L’ANSSI recommande de désactiver cette fonction sur les points d’accès.

Choisir un SSID qui révèle trop d’informations

Le SSID, c’est-à-dire le nom visible du réseau Wi-Fi, ne devrait pas révéler inutilement le nom d’un client, d’un service sensible ou une information personnelle. Un SSID trop explicite peut fournir des informations à une personne qui observe les réseaux disponibles.

Négliger la couverture radio lors de l’installation

La sécurité ne dépend pas uniquement de la configuration. L’emplacement et la puissance des points d’accès influencent également la zone dans laquelle le réseau peut être capté.

Une étude préalable de la couverture permet donc d’éviter de créer inutilement une zone Wi-Fi accessible bien au-delà des besoins de l’entreprise.

Faut-il remplacer tous les équipements Wi-Fi pour passer à WPA3 ?

Pas nécessairement. Le passage à WPA3 dépend notamment des capacités des points d’accès, des équipements utilisés par les collaborateurs et de l’architecture réseau existante.

Une entreprise peut donc avoir intérêt à prévoir une migration progressive, plutôt que de remplacer immédiatement l’ensemble de son infrastructure. Avant toute évolution, il est préférable de vérifier la compatibilité des équipements et les éventuelles contraintes liées aux appareils plus anciens.

Le Wi-Fi 6 ou Wi-Fi 7 améliore-t-il automatiquement la sécurité ?

Non, le Wi-Fi 6 et Wi-Fi 7 correspondent avant tout à des générations de technologies Wi-Fi qui apportent des améliorations en matière de performances, de capacité et d’efficacité du réseau.

Le fait d’utiliser une génération récente ne garantit donc pas, à lui seul, un Wi-Fi sécurisé. La protection dépend également du mode de sécurité choisi, de l’authentification, de l’architecture réseau et de la configuration des équipements.

Il est ainsi possible de disposer d’un réseau Wi-Fi récent qui reste mal sécurisé s’il n’est pas correctement configuré.

Faut-il masquer le SSID pour sécuriser son Wi-Fi ?

Le masquage du SSID, c’est-à-dire le nom du réseau Wi-Fi visible par les utilisateurs, ne constitue pas une véritable mesure de sécurité.

Cette pratique peut donner l’impression que le réseau est moins visible, mais elle ne remplace ni une authentification robuste ni un chiffrement adapté. Elle peut également compliquer la connexion de certains équipements.

Il est donc préférable de consacrer les efforts de sécurisation aux mesures qui contrôlent réellement les accès et les communications plutôt que de compter sur le masquage du réseau.

La sécurisation du Wi-Fi repose sur plusieurs éléments complémentaires. Il ne suffit pas de choisir un standard récent : l’ensemble de l’architecture doit être pensé pour limiter les accès et les risques.

• Choisir un niveau de sécurité adapté, notamment avec WPA3-Enterprise lorsque l’environnement le justifie.
• Maîtriser les accès grâce à une authentification adaptée et, lorsque c’est pertinent, individuelle.
• Séparer les usages afin qu’un utilisateur, un visiteur ou un équipement connecté n’accède pas automatiquement à l’ensemble du réseau.
• Intégrer le Wi-Fi au reste de l’infrastructure, notamment au firewall, aux accès Internet, au VPN et aux autres équipements réseau.
• Sécuriser l’administration et maintenir les équipements à jour, afin de conserver un niveau de protection adapté dans le temps.
• Superviser l’infrastructure Wi-Fi pour conserver une visibilité sur son fonctionnement et détecter plus rapidement les anomalies.
• Enfin, ne pas oublier les éléments souvent négligés : paramètres par défaut, WPS, SSID et couverture radio.

Pour une PME ou une ETI, l’objectif n’est donc pas de multiplier les technologies. Il s’agit surtout de construire un Wi-Fi professionnel cohérent avec l’ensemble de l’infrastructure informatique, puis de le maintenir dans le temps. C’est cette approche globale qui permet de concilier sécurité, performance et simplicité d’utilisation.