Pour l'utilisateur au quotidien.
Un câble réseau dont la gaine est tranchée ou dont le connecteur est cassé peut causer une interruption de service pour toute la zone. Ne pas tenter de le rebrancher avec des moyens de fortune : un mauvais raccord peut provoquer des conflits réseau invisibles. Signalez le problème au service informatique, qui interviendra avec le bon matériel.
Brancher un téléphone, une tablette personnelle ou une clé Wi-Fi sur le réseau de l'entreprise peut introduire des virus ou compromettre la sécurité du réseau. La politique de sécurité de la plupart des entreprises l'interdit. Si vous avez besoin d'accès internet pour un appareil personnel, demandez le mot de passe du réseau Wi-Fi invité.
Un switch ou routeur dont tous les voyants clignotent rapidement en rouge, ou qui émet un signal sonore, signale un problème (surcharge, panne de ventilateur, température excessive). Ne pas éteindre l'appareil vous-même : contactez le service informatique immédiatement pour éviter une interruption de réseau planifiée.
Pour le technicien qui intervient.
Les switches, routeurs et points d'accès sont livrés avec des identifiants par défaut publiquement documentés (admin/admin, cisco/cisco, ubnt/ubnt, etc.). Ces équipements sont activement scannés et exploités par des bots dans les heures suivant leur mise en ligne. Changer le mot de passe admin immédiatement à l'installation, désactiver le compte par défaut si possible, et stocker les identifiants dans un gestionnaire de mots de passe centralisé. Un routeur avec le mot de passe par défaut est une porte ouverte sur tout le réseau interne.
Le protocole WEP est crackable en moins d'une minute, WPA/TKIP en quelques heures. WPA2-Personal avec un mot de passe faible est vulnérable aux attaques par dictionnaire. Configurer tous les points d'accès en WPA3 si les clients le supportent, ou en WPA2-Enterprise avec authentification RADIUS (certificats ou LDAP) pour les réseaux d'entreprise. Le réseau Wi-Fi professionnel ne doit jamais partager le mot de passe par affichage ou dans les signatures d'e-mail.
Les équipements réseau sont des cibles prioritaires des attaquants : une vulnérabilité sur un switch coeur permet d'intercepter tout le trafic de l'entreprise. S'abonner aux bulletins de sécurité du constructeur (Cisco PSIRT, Fortinet PSIRT, Ubiquiti Security, etc.). Les correctifs critiques doivent être appliqués dans les 7 jours suivant leur publication, idéalement lors d'une fenêtre de maintenance planifiée. Ne jamais utiliser un équipement dont le firmware n'est plus maintenu par le constructeur.
Un réseau plat (sans VLAN) place les postes utilisateurs, les serveurs, les imprimantes, les cameras IP et les équipements IoT sur le même segment. Une infection sur un poste utilisateur peut ainsi atteindre directement les serveurs de production. Créer au minimum 3 VLAN : utilisateurs, serveurs/NAS, et IoT/invités. Le VLAN invités (Wi-Fi public) doit être strictement isolé du réseau interne par une règle de firewall. La segmentation est exigée par les normes PCI-DSS et recommandée par l'ANSSI.
La perte de configuration d'un switch coeur ou d'un firewall peut immobiliser l'entreprise pendant plusieurs heures, voire plusieurs jours. Exporter la configuration de chaque équipement réseau critique après chaque modification et stocker les fichiers dans un dépôt versionné (Git ou équivalent). La restauration d'une configuration sauvegardée prend 10 minutes ; sa reconstruction de mémoire peut prendre une journée. Automatiser l'export de configuration hebdomadaire via SNMP, SSH ou l'API du constructeur.
Pour le responsable / gestionnaire.
Les switches, routeurs et points d'accès sont livrés avec des identifiants par défaut publiquement documentés (admin/admin, cisco/cisco, ubnt/ubnt, etc.). Ces équipements sont activement scannés et exploités par des bots dans les heures suivant leur mise en ligne. Changer le mot de passe admin immédiatement à l'installation, désactiver le compte par défaut si possible, et stocker les identifiants dans un gestionnaire de mots de passe centralisé. Un routeur avec le mot de passe par défaut est une porte ouverte sur tout le réseau interne.
La loi pour la confiance dans l'économie numérique (LCEN, 2004) et le Code pénal imposent aux entreprises qui fournissent un accès internet (y compris Wi-Fi interne) de journaliser les connexions et de les conserver 12 mois. En cas d'incident de sécurité ou de réquisition judiciaire, l'absence de logs est une infraction. Le routeur ou le proxy doit logger les connexions sortantes avec horodatage, IP source et destination. Vérifier annuellement que les logs sont bien collectés et accessibles.
Un réseau plat (sans VLAN) place les postes utilisateurs, les serveurs, les imprimantes, les cameras IP et les équipements IoT sur le même segment. Une infection sur un poste utilisateur peut ainsi atteindre directement les serveurs de production. Créer au minimum 3 VLAN : utilisateurs, serveurs/NAS, et IoT/invités. Le VLAN invités (Wi-Fi public) doit être strictement isolé du réseau interne par une règle de firewall. La segmentation est exigée par les normes PCI-DSS et recommandée par l'ANSSI.
Pour l'auditeur et le contrôle de conformité.
La loi pour la confiance dans l'économie numérique (LCEN, 2004) et le Code pénal imposent aux entreprises qui fournissent un accès internet (y compris Wi-Fi interne) de journaliser les connexions et de les conserver 12 mois. En cas d'incident de sécurité ou de réquisition judiciaire, l'absence de logs est une infraction. Le routeur ou le proxy doit logger les connexions sortantes avec horodatage, IP source et destination. Vérifier annuellement que les logs sont bien collectés et accessibles.
Consignes courtes à afficher près de l'équipement.
Ce local contient des équipements informatiques critiques. Accès interdit aux personnes non autorisées. En cas de fumée ou d'alarme sonore, évacuez et appelez le 18.
Les équipements réseau de cette baie alimentent tous les postes informatiques du bâtiment. Toute manipulation non autorisée peut couper le réseau de l'ensemble du site. Contactez le service informatique.
En cas de perte de connexion réseau ou Wi-Fi, contacter le support informatique interne. Ne pas tenter de redémarrer vous-même les équipements de cette baie.