Il existe un test très simple pour évaluer la maturité réseau d’une organisation. Prenez un poste de travail quelconque, dans un service quelconque, et demandez ce qu’il peut atteindre. Si la réponse honnête est « à peu près tout ce qui répond en interne », alors le système d’information n’a pas d’architecture de sécurité : il a un annuaire, des mots de passe et un pare-feu périmétrique. Ce constat reste celui de la majorité des réseaux d’entreprise français, y compris dans des organisations dotées d’un SOC et d’un budget cyber conséquent.
La segmentation réseau est le travail de fond qui corrige cette situation. Elle n’a rien de spectaculaire, elle ne se démontre pas bien en salle de réunion, et elle produit peu d’indicateurs valorisants. Elle est pourtant le contrôle qui décide, le jour d’un incident, si l’on parle d’une machine à réinstaller ou d’un arrêt d’activité de trois semaines. Cet article décrit comment la concevoir, quelles techniques emploient réellement les équipes, où la micro-segmentation apporte un gain et où elle devient un puits budgétaire, et ce que les régulateurs européens attendent sur ce point. À jour au août 2026.
Qu’est-ce que la segmentation réseau ?
La segmentation réseau consiste à découper un système d’information en zones distinctes, puis à n’autoriser entre ces zones que les flux explicitement justifiés par un besoin métier. Tout le reste est refusé par défaut et journalisé.
Cette définition contient deux moitiés, et la seconde est celle que les projets oublient. Découper un réseau en sous-ensembles ne produit aucun bénéfice de sécurité en soi. Le bénéfice apparaît uniquement lorsqu’un point de contrôle applique une politique de filtrage entre ces sous-ensembles, avec une règle par défaut de refus. Un réseau doté de quarante VLAN qui se routent librement entre eux est, du point de vue d’un attaquant, exactement aussi plat qu’un réseau à un seul VLAN. Il est simplement plus difficile à documenter.
La segmentation répond à une question précise : que se passe-t-il après la première compromission ? Elle n’empêche ni l’ouverture d’une pièce jointe piégée, ni l’exploitation d’une faille sur un équipement exposé. Elle détermine ce que l’attaquant peut faire ensuite, c’est-à-dire sa capacité à se déplacer latéralement, à atteindre l’annuaire, les sauvegardes, les serveurs de fichiers ou les automates de production. C’est un contrôle d’impact, positionné après l’échec des contrôles d’entrée, et il ne doit donc jamais être arbitré contre eux.
La CISA rappelle dans son infographie consacrée à la segmentation la logique de défense en couches qui sous-tend la démarche : correctement mise en oeuvre, la segmentation isole l’activité malveillante et les vulnérabilités dans une portion limitée du réseau, et réduit mécaniquement l’effet d’une compromission. La formulation est modeste, et c’est ce qui la rend utile : la segmentation ne promet pas d’empêcher, elle promet de contenir.
Pourquoi la segmentation redevient prioritaire en 2026
Trois évolutions convergentes remettent le cloisonnement en tête des feuilles de route, après une décennie où l’investissement s’est concentré sur la détection.
La première est la nature des intrusions observées. Le Panorama de la cybermenace 2025 de l’ANSSI recense 3 586 événements de sécurité traités par l’agence, dont 1 366 incidents avérés, et fait état de 196 incidents d’exfiltration de données contre 130 l’année précédente, soit une progression de plus de 50 %, alors que les compromissions par rançongiciel reculent légèrement, à 128 contre 141. Cette bascule est structurante : un attaquant qui vise l’exfiltration doit parcourir le réseau pour trouver la donnée, l’agréger et la sortir. Chacun de ces trois mouvements traverse des frontières que la segmentation peut rendre visibles et coûteuses.
La deuxième est le vecteur d’entrée dominant. Le rapport ENISA Threat Landscape 2025, qui analyse 4 875 incidents survenus entre le 1er juillet 2024 et le 30 juin 2025 dans l’Union européenne, attribue environ 60 % des accès initiaux à l’hameçonnage sous ses différentes formes et 21,3 % à l’exploitation de vulnérabilités. Aucun de ces deux vecteurs n’est arrêté par de la segmentation, et tous deux débouchent sur un pied dans le réseau interne, c’est-à-dire exactement le scénario qu’elle est censée traiter. Une organisation qui investit uniquement en amont accepte implicitement que le premier accès obtenu vaille accès général.
La troisième est le déplacement de la menace vers les petites structures. Le rapport d’activité 2025 de Cybermalveillance.gouv.fr fait état de plus de 500 000 demandes d’assistance sur l’année, en hausse de 20 %, avec une progression de 107 % des sollicitations liées à des violations de données. Ce volume concerne des organisations qui n’ont ni SOC ni équipe réseau dédiée, et pour lesquelles un découpage même sommaire entre bureautique, serveurs et sauvegardes change l’issue d’un incident.
Cloisonnement, segmentation, micro-segmentation : clarifier le vocabulaire
Ces trois termes désignent le même principe appliqué à des échelles différentes, et leur confusion produit des cahiers des charges incohérents.
Le cloisonnement est le terme employé par l’ANSSI. Il désigne le principe général de séparation entre ensembles ayant des besoins de sécurité homogènes, sans préjuger de la technique. Il couvre aussi bien la séparation physique de deux infrastructures que la séparation logique de deux domaines d’administration.
La segmentation réseau désigne l’application de ce principe à la couche réseau, avec un grain qui correspond typiquement à une zone : bureautique, serveurs applicatifs, bases de données, administration, industriel, invités, sauvegarde. Le point de contrôle est un pare-feu, un routeur filtrant ou un équipement de couche 3 doté de listes de contrôle d’accès.
La micro-segmentation applique le même principe au grain de la charge de travail individuelle, machine virtuelle, conteneur ou processus. La politique n’est plus « la zone serveurs applicatifs peut joindre la zone bases de données sur le port 5432 », mais « cette application précise peut joindre cette base précise sur ce port précis, et rien d’autre ». Le point de contrôle se déplace vers l’hôte lui-même, via un agent ou un mécanisme de l’hyperviseur.
Le NIST SP 800-215, Guide to a Secure Enterprise Network Landscape, replace ces approches dans un ensemble cohérent avec le périmètre défini par logiciel et l’accès réseau Zero Trust. Sa contribution la plus utile est de rappeler que ces briques ne sont pas des alternatives concurrentes mais des couches qui traitent des portées différentes, du flux entre sites au flux entre processus.
Les techniques disponibles et leurs limites réelles
Le choix technique dépend du grain visé, du parc existant et de la capacité d’exploitation. Le tableau ci-dessous résume les compromis observés en entreprise.
| Technique | Grain | Point de contrôle | Limite principale |
|---|---|---|---|
| VLAN seuls | Zone large | Aucun par défaut | Ne filtre rien sans règles de routage inter-VLAN |
| Sous-réseaux et pare-feu interne | Zone | Pare-feu physique ou virtuel | Coût, latence, goulot d’étranglement, règles qui s’accumulent |
| VRF et routage cloisonné | Domaine réseau | Routeur ou coeur de réseau | Complexité d’exploitation, compétences rares |
| Réseau défini par logiciel et superposition | Zone à charge de travail | Contrôleur centralisé | Dépendance forte à un éditeur, effort de migration |
| Micro-segmentation par agent | Charge de travail | Agent sur l’hôte | Couverture partielle du parc, charge de cartographie |
| Politiques réseau de conteneurs | Pod ou service | Plugin réseau du cluster | Ne couvre que le cluster, refus par défaut à activer |
| ZTNA | Session applicative | Courtier d’accès | Ne traite pas les flux internes entre serveurs |
Deux enseignements pratiques ressortent de ce tableau. D’abord, les VLAN restent indispensables comme support de découpage, mais ils ne constituent jamais la mesure de sécurité elle-même : celle-ci réside dans la politique appliquée aux points d’interconnexion. Ensuite, aucune technique ne couvre l’ensemble du besoin. Un réseau réel combine presque toujours un filtrage de zone au niveau du coeur, un cloisonnement propre au cloud et aux clusters, et éventuellement de la micro-segmentation sur le périmètre le plus sensible.
Le raisonnement s’articule avec les autres couches de contrôle réseau. Le contrôle d’accès réseau NAC décide qui entre et sur quel segment, la segmentation décide ce que ce segment peut atteindre, et le NDR observe ce qui circule effectivement à l’intérieur et entre les zones. Ces trois briques répondent à des questions distinctes et ne se remplacent pas.
Découper : la méthode par zones de confiance
Le découpage est la partie du projet où se joue la réussite, et c’est une décision d’architecture, pas un choix d’équipement. La règle directrice est de regrouper les éléments ayant des besoins de sécurité homogènes et un niveau d’exposition comparable, puis de traiter chaque frontière comme un point de décision.
Une organisation de taille intermédiaire aboutit généralement à une dizaine de zones, dont les suivantes constituent le socle. La zone bureautique rassemble les postes de travail, avec l’hypothèse de travail qu’un poste sera compromis un jour et qu’il ne doit donc joindre les serveurs que par les services applicatifs publiés. La zone serveurs applicatifs héberge les traitements métier. La zone données isole les bases, dont l’accès ne devrait jamais être direct depuis un poste. La zone administration est la plus critique : elle héberge les consoles, les bastions et les outils de déploiement, et elle doit être joignable uniquement depuis des postes d’administration dédiés, conformément aux recommandations de l’ANSSI relatives à l’administration sécurisée des systèmes d’information. La zone sauvegarde est isolée dans les deux sens, car une sauvegarde joignable depuis la production est une sauvegarde chiffrable par un rançongiciel. Les zones industrielle, invités, prestataires et équipements non gérés complètent le tableau.
Trois critères de découpage doivent être écartés d’emblée, car ils reviennent systématiquement en atelier et produisent des architectures ingérables. Le découpage par bâtiment ou par étage reproduit une géographie sans rapport avec la sensibilité des données. Le découpage par direction métier crée autant de zones que d’entités et multiplie les règles sans réduire l’exposition. Le découpage par technologie, où l’on isole « les serveurs Windows » et « les serveurs Linux », mélange dans une même zone des systèmes dont la criticité n’a rien de comparable.
Le guide d’hygiène informatique de l’ANSSI formule cette exigence de façon directe dans sa mesure consacrée à la segmentation : concevoir des zones composées de systèmes ayant des besoins de sécurité homogènes, et mettre en place un cloisonnement entre elles. La formulation paraît évidente, elle est rarement appliquée, et c’est le premier point qu’un auditeur vérifie.
La micro-segmentation : promesse réelle, coût réel
La micro-segmentation apporte un gain de sécurité qui n’est pas contestable, à condition d’accepter la charge de travail qu’elle impose. Elle mérite d’être engagée sur un périmètre restreint et à forte valeur, jamais sur l’ensemble du parc en première intention.
Son intérêt tient à la disparition de la notion de zone de confiance interne. Dans un modèle classique, deux serveurs de la même zone communiquent librement, ce qui suffit à un attaquant pour rebondir de l’un vers l’autre. En micro-segmentation, chaque flux est autorisé nommément, ce qui réduit le mouvement latéral à ce qui a été explicitement prévu. C’est la traduction opérationnelle du principe formulé par le NIST SP 800-207 sur l’architecture Zero Trust, dont la démarche Zero Trust en cinq étapes décrit la mise en oeuvre progressive.
Son coût tient à trois postes que les estimations initiales sous-évaluent presque toujours. Le premier est la cartographie des flux : personne dans l’organisation ne sait qui parle à qui, et cette connaissance doit être reconstruite par observation, sur plusieurs semaines au minimum, afin de capturer les traitements mensuels, les clôtures comptables et les sauvegardes annuelles. Le deuxième est la maintenance de la politique : chaque évolution applicative devient une demande de règle, ce qui suppose un processus outillé, faute de quoi les équipes finissent par ouvrir large pour ne pas bloquer la production. Le troisième est la couverture : les systèmes anciens, les appliances propriétaires et les équipements industriels n’acceptent pas d’agent, et restent donc traités par segmentation classique.
La méthode qui fonctionne reproduit celle d’un déploiement NAC. On observe sans bloquer pendant une durée suffisante, on construit la politique à partir des flux réellement constatés et non de la documentation d’architecture, on simule le blocage pour mesurer ce qui serait cassé, puis on applique le refus par défaut zone par zone. Vouloir raccourcir la phase d’observation est la cause la plus fréquente d’incident de production sur ce type de projet.
Cas particuliers : industriel, cloud, conteneurs, sauvegarde
Quatre contextes appellent des règles spécifiques, car la segmentation générique y produit des résultats trompeurs.
Les systèmes industriels imposent le cloisonnement le plus strict, avec des automates dont la durée de vie dépasse la décennie et qui ne supportent souvent ni correctif ni agent. La séparation entre réseau de gestion et réseau de production, appuyée sur des points de passage contrôlés, y est la seule mesure réellement efficace, comme le détaille notre guide sur la sécurité des systèmes OT et ICS. Le principe à retenir est qu’un flux entrant vers l’industriel doit être l’exception documentée, jamais la commodité d’exploitation.
Dans le cloud, la segmentation change de vocabulaire mais pas de logique : groupes de sécurité, réseaux virtuels, points de terminaison privés et politiques d’identité remplacent les VLAN et les pare-feu. Le piège classique consiste à segmenter rigoureusement le centre de données historique et à laisser un environnement cloud entièrement ouvert en interne, au motif qu’il est récent. Le prolongement naturel côté accès distant et interconnexion de sites relève des architectures décrites dans notre analyse SASE et SD-WAN.
Dans les clusters de conteneurs, la configuration par défaut autorise toute communication entre pods. Activer un refus par défaut puis autoriser les flux nécessaires est l’une des mesures de durcissement les plus rentables, traitée dans notre guide sur Kubernetes en production. Beaucoup d’organisations qui investissent dans la micro-segmentation de leurs machines virtuelles laissent leurs clusters totalement plats.
La zone de sauvegarde mérite un traitement à part. Elle doit être inaccessible depuis la production, disposer de son propre plan d’authentification, et n’exposer que le strict nécessaire. C’est le complément indispensable des mécanismes décrits dans notre article sur la sauvegarde immuable anti-rançongiciel : l’immuabilité protège le contenu, la segmentation protège l’accès au système qui l’héberge.
Segmentation et conformité : NIS2, DORA, PCI DSS
Aucun de ces textes n’impose une technologie de segmentation. Tous attendent en revanche une politique de cloisonnement documentée, justifiée par une analyse de risque, et vérifiable par un auditeur.
La directive NIS2 énumère parmi les mesures de gestion des risques attendues des entités essentielles et importantes la sécurité des réseaux et des systèmes d’information, le contrôle d’accès et la gestion des actifs. La segmentation est le moyen technique par lequel une organisation démontre concrètement ces trois points sur la couche réseau, et la matrice des flux autorisés constitue la preuve la plus lisible qu’un auditeur puisse examiner. Le contexte français de mise en conformité est détaillé dans notre guide NIS2 pour l’entreprise.
Pour le secteur financier, DORA va plus loin en attendant une séparation explicite des environnements de production, de test et de développement, ainsi qu’une capacité démontrée à isoler un système compromis sans interrompre l’ensemble de l’activité. Cette exigence d’isolement en situation d’incident se prépare en amont : une organisation qui ne peut pas couper une zone sans couper tout le reste ne la satisfait pas.
Du côté des paiements, la segmentation détermine directement la portée de l’audit et donc son coût. Un environnement de données de carte correctement isolé réduit le périmètre à quelques systèmes, tandis qu’une architecture plate y fait entrer l’intégralité du réseau. La segmentation n’y est pas formellement obligatoire, ce qui pousse certaines organisations à la repousser, alors qu’elle est en pratique le seul levier de maîtrise du budget de conformité.
Enfin, la journalisation des refus aux frontières de zones alimente la détection. Un flux bloqué entre bureautique et administration est un signal à forte valeur, bien plus exploitable qu’une alerte générique, à condition d’être remonté vers la supervision décrite dans notre article sur le SIEM et la journalisation.
Feuille de route en sept étapes
Un projet de segmentation se conduit dans l’ordre suivant, et l’inversion de deux étapes suffit à le faire échouer.
- Inventorier les actifs et les classer par sensibilité. Sans inventaire fiable, tout découpage est arbitraire. Cette étape révèle presque toujours des systèmes oubliés, dont personne ne connaît l’usage ni le propriétaire.
- Cartographier les flux réels. Instrumenter le réseau et collecter les échanges observés sur plusieurs semaines. La documentation d’architecture existante sert de point de départ, jamais de référence.
- Définir les zones cibles et la matrice d’autorisation. Produire un document qui indique, pour chaque paire de zones, ce qui est autorisé et pourquoi. Ce document est le livrable central du projet.
- Traiter d’abord la zone d’administration et la zone de sauvegarde. Ce sont les deux qui apportent le gain le plus élevé pour l’effort le plus faible, et elles concentrent le risque d’escalade.
- Appliquer en mode observation. Activer les règles en journalisation seule, mesurer les flux qui seraient refusés, corriger la matrice.
- Basculer en refus par défaut, frontière par frontière. Jamais globalement, jamais un vendredi, toujours avec une procédure de retour arrière testée.
- Instituer la revue périodique. Une matrice de flux non révisée se dégrade en quelques mois sous l’effet des demandes d’exception. Sans revue, la segmentation redevient progressivement un réseau plat documenté.
Cette trajectoire s’articule avec le durcissement de l’infrastructure d’identité, en particulier la sécurisation de l’Active Directory, car l’annuaire est le service que tout le monde doit joindre et qui devient de ce fait le pivot privilégié d’une latéralisation.
Les erreurs qui ruinent un projet de segmentation
Les échecs observés se ramènent à un petit nombre de causes, remarquablement stables d’une organisation à l’autre.
- Confondre VLAN et segmentation. Le découpage logique sans politique de filtrage donne une illusion de cloisonnement et une fausse assurance en comité de sécurité.
- Segmenter sans cartographier. Les règles construites à partir de la documentation théorique cassent des flux légitimes dès la bascule, ce qui discrédite durablement le projet auprès des métiers.
- Oublier les chemins de contournement. Une zone rigoureusement filtrée mais joignable par un accès distant, un poste à double raccordement ou une console d’administration hébergée du mauvais côté n’est pas segmentée.
- Laisser l’exception devenir la règle. Chaque ouverture accordée en urgence sans date de fin ni justification transforme lentement la matrice en autorisation générale.
- Négliger la résolution de noms. Un service de résolution accessible sans contrôle depuis toutes les zones offre un canal de contournement discret, comme le détaille notre article sur le DNS protecteur en entreprise.
- Ne pas exploiter les refus. Les journaux de blocage sont le meilleur capteur de mouvement latéral disponible dans un système d’information. Les produire sans les analyser revient à installer une alarme sans la brancher.
Mesurer l’efficacité d’une segmentation
Une segmentation ne se déclare pas efficace, elle se vérifie. Quatre indicateurs permettent de suivre la démarche sans se payer de mots.
Le premier est le nombre de zones et le nombre de règles par frontière. Une croissance continue du nombre de règles sans augmentation du nombre de zones signale une érosion : la politique s’ouvre progressivement. Le deuxième est le taux de flux non identifiés, c’est-à-dire la part du trafic inter-zones qui ne correspond à aucune règle documentée. Le troisième est le délai moyen d’isolement, mesuré lors d’un exercice : combien de temps faut-il pour couper une zone compromise du reste du système d’information. Le quatrième est le résultat des tests de propagation, réalisés lors d’un audit d’intrusion interne dont l’objectif est explicitement de franchir les frontières de zones.
Ce dernier point mérite d’être précisé, car il est souvent mal commandé. Un test d’intrusion classique cherche l’accès initial ; un test dédié à la segmentation part d’un accès déjà obtenu dans une zone donnée et mesure jusqu’où il permet d’aller. C’est ce second scénario qui valide ou invalide l’architecture, et c’est celui qui reproduit le déroulement réel des attaques décrites dans notre analyse des vecteurs d’attaque des rançongiciels.
La segmentation n’est donc pas un chantier que l’on termine. C’est une propriété du système d’information qui se maintient, se mesure et se dégrade si on cesse de s’en occuper. Sa valeur ne se lit jamais dans un tableau de bord en période calme, elle se lit le jour de l’incident, dans l’écart entre une zone perdue et une activité arrêtée.
Questions fréquentes
Quelle différence entre segmentation réseau et micro-segmentation ?
Les deux appliquent le même principe à des échelles différentes. La segmentation réseau découpe le système d’information en zones larges, de l’ordre de quelques dizaines, avec un point de contrôle placé sur le réseau, typiquement un pare-feu ou un routeur filtrant. La micro-segmentation descend au grain de la charge de travail individuelle, machine virtuelle, conteneur ou service, avec un point de contrôle placé sur l’hôte lui-même. La segmentation de zones réduit le mouvement latéral entre grands ensembles, la micro-segmentation le réduit également à l’intérieur d’un ensemble. La seconde offre une protection nettement supérieure mais exige une cartographie de flux exhaustive et un processus de gestion des règles outillé, ce qui la réserve en pratique aux périmètres à forte valeur.
Les VLAN suffisent-ils à segmenter un réseau ?
Non, pas en eux-mêmes. Un VLAN sépare les domaines de diffusion de niveau 2, ce qui est un prérequis technique utile, mais il n’empêche aucune communication dès lors que les VLAN se routent entre eux, ce qui est le cas par défaut dans la quasi-totalité des réseaux d’entreprise. La segmentation n’existe qu’à partir du moment où un point de contrôle applique une politique de refus par défaut entre les VLAN et n’autorise que les flux justifiés. Beaucoup d’organisations disposent d’un découpage en VLAN élaboré et d’aucune segmentation de sécurité réelle, ce qui est l’un des écarts les plus fréquemment relevés en audit.
Par quelle zone faut-il commencer un projet de segmentation ?
Par la zone d’administration et par la zone de sauvegarde, dans cet ordre. Ce sont les deux périmètres où le rapport entre gain de sécurité et effort d’implémentation est le plus favorable. Isoler les consoles, les bastions et les outils de déploiement derrière un point de passage contrôlé, accessible uniquement depuis des postes d’administration dédiés, supprime le chemin d’escalade que suivent la plupart des attaques abouties. Isoler la sauvegarde de la production empêche un rançongiciel de détruire les copies de secours après avoir chiffré les données. Ces deux zones concernent peu de systèmes, impliquent peu d’utilisateurs et produisent un effet immédiat, alors que la segmentation de la bureautique est beaucoup plus longue et plus conflictuelle.
Combien de temps prend une segmentation en entreprise ?
Pour une organisation de taille intermédiaire, comptez douze à vingt-quatre mois pour atteindre une segmentation de zones réellement appliquée, sans compter la micro-segmentation. La répartition de l’effort est contre-intuitive : la conception du découpage et la cartographie des flux représentent la majeure partie du calendrier, tandis que la configuration des équipements est rapide. La phase d’observation, pendant laquelle les règles sont journalisées mais non appliquées, doit couvrir au moins un cycle complet d’activité afin d’inclure les traitements mensuels, les clôtures et les opérations exceptionnelles. Les projets qui annoncent six mois se terminent presque toujours par un mode permissif jamais refermé.
La segmentation est-elle obligatoire au titre de NIS2 ?
La directive NIS2 ne cite pas la segmentation comme une obligation nommée. Elle impose aux entités essentielles et importantes des mesures techniques et organisationnelles appropriées au risque, incluant la sécurité des réseaux, le contrôle d’accès et la gestion des actifs. En pratique, une entité soumise à NIS2 qui exploite un réseau plat aura beaucoup de mal à démontrer l’adéquation de ses mesures, en particulier après un incident dont la propagation aura été facilitée par cette absence de cloisonnement. L’attendu réel est donc une politique de cloisonnement documentée, appuyée sur une analyse de risque, avec une matrice de flux tenue à jour et des preuves de revue périodique.
La segmentation remplace-t-elle un EDR ou un SOC ?
Non, ces dispositifs répondent à des questions différentes et se renforcent mutuellement. La détection sur les postes et serveurs identifie un comportement malveillant sur une machine, la supervision centralisée corrèle les signaux à l’échelle du système d’information, et la segmentation limite ce qu’un attaquant peut atteindre pendant le temps qui sépare l’intrusion de sa détection. Ce délai reste de plusieurs jours dans la plupart des organisations, et c’est précisément la fenêtre pendant laquelle le cloisonnement travaille seul. Une segmentation bien conçue améliore d’ailleurs la détection, car les tentatives de franchissement de frontières produisent des refus journalisés qui figurent parmi les signaux de mouvement latéral les plus fiables.