“ Nous avons un pare-feu. ” C'est la phrase que nous entendons dans presque toutes les premières réunions, et c'est presque toujours vrai : il y a un boîtier dans la baie avec le nom d'un fabricant de sécurité. Ce qui suit cette phrase décide si l'entreprise est protégée ou non : qui l'a configuré, quand a-t-il été mis à jour pour la dernière fois, qui lit les alertes et que se passe-t-il lorsqu'une d'entre elles est grave. Cet article compare les deux façons d'avoir un pare-feu — acheté et installé, ou géré comme un service — en termes de coût, de risque et de travail, sans supposer que l'une est toujours la bonne.
Ce que fait un pare-feu — et ce dont il a besoin pour le faire
Un pare-feu d'entreprise moderne filtre le trafic entre Internet et le réseau, inspecte les connexions à la recherche de menaces, bloqueille les sites et les catégories à risque, termine les connexions VPN et sépare les segments du réseau les uns des autres. Pour bien faire cela, il a besoin de quatre choses qui ne viennent pas dans la boîte : une configuration adaptée à l'entreprise (les règles par défaut sont génériques), des mises à jour régulières du système et des signatures de menaces, des abonnements de sécurité actifs (ils expirent et personne ne s'en aperçoit) et quelqu'un qui lit les journaux et réagit aux alertes. Sans ces quatre éléments, le pare-feu est un routeur coûteux.
Modèle 1 : pare-feu acheté
L'entreprise achète l'équipement et les abonnements, quelqu'un le configure lors de l'installation et à partir de là, il appartient à l'entreprise. Avantages : coût initial connu, propriété de l'équipement, pas de mensualité en dehors des abonnements. Problèmes que nous voyons fréquemment : configuration jamais révisée depuis l'installation, micrologiciel vieux de deux ou trois ans, abonnements de sécurité expirés depuis des mois (le pare-feu continue à laisser passer le trafic, il cesse seulement de l'inspecter), règles ajoutées “ pour résoudre un problème ” et jamais supprimées, et alertes arrivant dans une boîte e-mail que personne n'ouvre. Rien de tout cela n'est la faute de l'équipement ; c'est l'absence de gestion.
Modèle 2 : pare-feu géré
Un pare-feu — acheté par l'entreprise ou inclus dans le service — est configuré, mis à jour, surveillé et exploité par une équipe externe, moyennant un coût mensuel. Avantages : mises à jour et abonnements pris en charge, alertes lues par des personnes et pas seulement par des rapports, révision périodique des règles, réponse aux incidents avec des délais définis, et connaissances qui ne quittent pas l'entreprise lorsque le technicien interne s'en va. Inconvénients : coût mensuel et dépendance vis-à-vis d'un fournisseur — qui doit être gérée par contrat, avec un SLA et avec la garantie que les identifiants et la configuration appartiennent à l'entreprise.
Comparaison point par point
- Coût: achetée a un coût initial plus élevé et mensuel bas (abonnements) ; gérée a un mensuel plus élevé et initial plus bas. Au bout de trois ans, les totaux se rapprochent — la différence réside dans ce que l'on reçoit pour eux.
- Mises à jouracheté dépend de quelqu'un qui s'en souvient ; géré fait partie du service, avec des fenêtres programmées.
- Alertes: achetée les génère ; gérée les traite. Une alerte de tentative d'accès au VPN à 3h du matin ne sert à rien si quelqu'un ne la voit pas à 3h05.
- Configuration: achetée a tendance à rester telle qu'elle a été installée ; gérée, elle est révisée lorsque l'entreprise change (nouveau bureau, télétravail, nouveau logiciel).
- Gestion des incidentsachetée, elle dépend du fait de trouver quelqu'un qui sache s'en servir ce jour-là ; gérée, elle a des temps de réponse par écrit.
- Connaissance: achetée se concentre sur une personne ; gérée est documentée et dans une équipe.
Quand le pare-feu acheté a du sens
Lorsque l'entreprise dispose d'une équipe informatique interne compétente en matière de sécurité et ayant le temps de l'exercer — généralement au-dessus de 150-200 postes —, ou lorsque le pare-feu protège un environnement simple et stable, sans télétravail, sans VPN et sans services exposés. En dehors de ces cas, l'équipement acheté sans gestion donne un sentiment de sécurité que les journaux d'événements ne confirment pas.
Quand le pare-feu géré a du sens
Quand il n'y a personne dédié à la sécurité au sein de l'entreprise ; quand il y a du télétravail, un VPN ou des services publiés ; quand l'entreprise est couverte par NIS2 ou a une assurance cybersécurité avec des exigences de gestion continue ; ou quand un incident a déjà montré que les alertes n'étaient pas lues. Pour la majorité des PME portugaises entre 10 et 150 postes, c'est ce scénario.
Ce qu'il faut exiger d'un pare-feu géré
Que l'équipement et la configuration soient ceux de l'entreprise, avec des identifiants d'administration remis dans une enveloppe fermée ou un coffre-fort numérique. Rapport mensuel de ce qui a été bloqué, mis à jour et modifié. Temps de réponse aux incidents par écrit, avec priorité maximale pour les événements de sécurité. Révision des règles au moins deux fois par an. Et une clause claire sur ce qui se passe si le contrat se termine : le pare-feu continue de fonctionner et l'entreprise conserve tout. C'est ainsi que nous travaillons chez pare-feux gérés pour les entreprises: le pare-feu est installé, configuré et surveillé par nos soins, avec des alertes traitées par des personnes.
Un exemple publié
Chez FreshDesign, nous avons implémenté un pare-feu de nouvelle génération avec VPN SSL pour le télétravail, l'équilibrage de charge et la bascule de deux connexions Internet, la surveillance et les alarmes en temps réel, et nous avons pris en charge la maintenance et le support continu de l'infrastructure de sécurité — regardez le cas. Chez Ventask, avec plus de 350 postes, la gestion des pare-feu, des commutateurs et des points d'accès est intégrée au contrat IT Unlimited — regardez le cas.
Foire aux questions
J'ai déjà acheté un pare-feu. Puis-je le transformer en pare-feu géré ?
Oui, dans la plupart des cas. Nous évaluons l'équipement, le micrologiciel et les abonnements ; s'il se trouve dans le cycle de vie du fabricant, nous en assumons la gestion. S'il est en fin de vie, nous proposons le remplacement progressif.
Le routeur de l'opérateur ne sert-il pas de pare-feu ?
Il fait la fonction de base de séparer le réseau de l'Internet, mais n'inspecte pas le trafic, ne filtre pas les catégories, ne gère pas de VPN avec MFA et ne segmente pas le réseau. Dans une entreprise, c'est la première chose à remplacer.
Combien coûte un pare-feu géré ?
Cela dépend du débit Internet, du nombre d'utilisateurs et des services (VPN, filtrage, inspection). Dans les contrats IT Unlimited, la gestion du pare-feu est incluse dans le montant mensuel par poste ; en tant que service isolé, nous établissons un devis après une visite.
Un pare-feu géré suffit-il pour la NIS2 ?
C'est l'une des mesures, pas la seule. NIS2 exige également la gestion des accès, les sauvegardes, la réponse aux incidents et la formation. Voir notre page sur la NIS2 au Portugal pour le tableau complet.
Voulez-vous savoir dans quel état se trouve votre pare-feu ?
Nous vérifions le micrologiciel, les abonnements, les règles et les alertes, et nous vous indiquons par écrit ce qui est exposé. Consultez nos pare-feux gérés pour les entreprises ou composez le 211 459 950.
