La micro-segmentation est une architecture de sécurité qui divise les réseaux en zones de confiance granulaires et isolées, jusqu'aux charges de travail, utilisateurs ou appareils individuels, afin d'empêcher les attaquants de se déplacer latéralement après une brèche initiale. Au Royaume-Uni, 43 % des entreprises, soit environ 612 000 organisations, ont subi une violation ou une attaque de cybersécurité au cours des 12 mois précédents en 2025/2026, ce qui fait du confinement une exigence opérationnelle plutôt qu'une simple préférence de conception théorique (UK cyber security data).
La distinction essentielle est que la micro-segmentation ne consiste pas à ajouter "plus de VLAN". Elle applique des politiques d'accès à portée restreinte entre des systèmes qui partagent parfois déjà le même réseau, centre de données, infrastructure sans fil ou environnement cloud. Un ordinateur portable compromis peut toujours accéder aux services dont il a besoin, mais il ne doit pas pouvoir accéder automatiquement à un serveur financier, un contrôleur de gestion technique de bâtiment, un contrôleur de domaine ou l'appareil d'un autre utilisateur.
Cette différence est cruciale pour les parcs informatiques hérités et à confiance mixte au Royaume-Uni. Les organisations gèrent souvent des charges de travail cloud modernes aux côtés d'applications anciennes, d'appareils non gérés, de technologies opérationnelles, d'accès pour les prestataires et de WiFi invités. Un pare-feu périphérique peut contrôler ce qui entre dans le parc, mais il ne peut pas, à lui seul, régir chaque connexion est-ouest une fois qu'un attaquant a obtenu des identifiants valides ou compromis un point de terminaison interne.
Pourquoi la micro-segmentation est devenue essentielle pour les réseaux britanniques
La dernière enquête du gouvernement britannique sur les failles de sécurité estime que 43 % des entreprises, soit environ 612 000 organisations, ont subi une faille ou une attaque au cours des 12 derniers mois, tandis qu'environ 19 %, soit près de 267 000 entreprises, ont été victimes d'au moins un cyber crime (UK breach and attack figures). La même source enregistre des cyber crimes dans toutes les tailles d'entreprises, allant de 17 % des micro-entreprises à 48 % des grandes entreprises. Le confinement est désormais une exigence opérationnelle pour les organisations de toutes tailles, et non plus une préoccupation limitée aux institutions financières ou aux ministères.
Un modèle basé sur le périmètre concentre les décisions de sécurité à la périphérie. Les pare-feu, la détection des intrusions en périphérie, les passerelles d'accès à distance et les limites larges de VLAN ont toujours des rôles importants, mais ils ne peuvent pas inspecter ni régir chaque connexion de charge de travail à charge de travail au sein d'un parc informatique. Dès lors que le phishing, des identifiants volés, un service exposé ou un point de terminaison vulnérable permettent un accès initial, un réseau interne plat donne à un attaquant toute latitude pour explorer et pivoter.
Le problème de la zone d'impact
Les parcs informatiques hérités au Royaume-Uni sont souvent organisés par départements, bâtiments ou fonctions techniques. Ces zones larges restent utiles pour l'administration, mais leurs limites peuvent s'avérer trop imprécises pour un contrôle d'accès moderne. Un appareil situé sur un sous-réseau du personnel peut accéder à des services de fichiers, des systèmes d'impression, des interfaces de gestion, des serveurs d'applications et d'autres points de terminaison sans que chaque route ne bénéficie d'une justification métier spécifique.
La micro-segmentation crée des zones de confiance plus restreintes et applique des politiques aux relations au sein de celles-ci. Une règle peut autoriser un terminal de point de vente à contacter son service de paiement, un appareil clinique à joindre une plateforme de gestion désignée, ou un niveau d'application à interroger sa base de données. Les chemins non liés peuvent être refusés même lorsque les systèmes partagent la même infrastructure de commutation.
L'enquête britannique a également estimé à environ 8,58 millions le nombre de cybercrimes touchant les entreprises du Royaume-Uni au cours de l'année d'enquête la plus récente, tandis que la prévalence des violations signalées est restée stable à 43 % en 2024/2025 et 2025/2026, après avoir atteint 50 % en 2023/2024 (UK cyber security statistics). Cette exposition persistante fait des contrôles basés uniquement sur le périmètre une solution inadaptée aux environnements de confiance hybrides.
Règle pratique : Partez du principe qu'un attaquant finira par obtenir un point d'ancrage interne. Définissez la part du parc informatique que ce point d'ancrage peut atteindre, puis réduisez cette portée grâce à des politiques testées.
Le zero-trust fournit le principe stratégique selon lequel l'accès doit être vérifié et limité plutôt qu'hérité de l'emplacement réseau. La micro-segmentation est la couche d'application qui convertit ce principe en décisions de trafic. Les directives sur les réseaux du secteur public britannique exigent des zones granulaires et isolées en fonction de la fonction, de la sensibilité des données, des groupes d'utilisateurs et de la criticité du service, y compris la séparation entre les environnements de production, de développement, de test et de formation (Directives réseau zero-trust du Royaume-Uni).
Le déploiement réussit lorsque les équipes cartographient les dépendances avant l'application des règles. Dans les environnements existants, un appel de service ou une connexion de gestion non documentés peuvent soutenir un processus critique. Les politiques doivent donc commencer en mode observation, se poursuivre par un projet pilote limité, puis s'étendre au fur et à mesure de la vérification des exceptions. Pour un contexte architectural global, network segmentation for UK businesses explique les limites plus larges avant d'introduire des contrôles au niveau des charges de travail.
L'accès sans fil s'inscrit dans cette même approche de conception. Les employés, les prestataires et les invités utilisent parfois la même infrastructure physique, mais les plateformes WiFi basées sur l'identité - comme décrit dans notre enterprise WiFi security guide - peuvent injecter le contexte de l'utilisateur et de l'appareil dans les décisions de segmentation, aidant ainsi à appliquer des politiques d'accès distinctes sans traiter le WiFi comme un domaine de sécurité à part.
Comment fonctionne réellement la micro-segmentation
Une analogie utile est celle d'un immeuble de bureaux sécurisé. Le pare-feu périphérique est la porte d'entrée. Il contrôle qui entre dans le bâtiment depuis l'extérieur. Les VLANs sont les étages, séparant les grands groupes tels que le personnel, les invités, les serveurs ou les équipements techniques. Les micro-segments sont les pièces individuelles, chacune disposant de sa propre serrure et d'une politique décrivant qui ou quoi peut y entrer.
Cette politique commence généralement par une position de refus par défaut. La plateforme observe une connexion entre deux charges de travail, utilisateurs ou appareils, puis ne l'autorise que lorsqu'un besoin commercial défini existe. Le détail important est que le contrôle s'opère entre entités internes, et pas seulement entre le réseau de l'entreprise et internet.
Où la politique est appliquée
Le point d'application détermine ce que le système peut voir et avec quelle précision il peut agir.
- Un hyperviseur ou commutateur virtuel peut inspecter le trafic entre les machines virtuelles sans envoyer chaque flux à un pare-feu physique. Cela convient parfaitement aux parcs d'applications virtualisées.
- Un pare-feu de système d'exploitation hôte applique des contrôles au plus près de la charge de travail et peut protéger les systèmes répartis sur différents emplacements réseau.
- Une structure réseau ou un réseau défini par logiciel applique les politiques au niveau des commutateurs, des routeurs ou des passerelles. Cela évite de modifier les terminaux mais fonctionne généralement avec des attributs réseau plus larges.
- Une plateforme d'accès basée sur l'identité peut associer une décision à une personne, un appareil, un rôle ou un résultat d'authentification plutôt que de s'appuyer uniquement sur une adresse.
Ce dernier point est important car les adresses IP changent. Les machines virtuelles migrent, les baux DHCP expirent, les appareils se déplacent entre les points d'accès et les ressources cloud sont recréées. Une règle liée uniquement à une adresse peut devenir inexacte. Une règle liée à l'identité de la charge de travail, au rôle de l'application, à l'état de l'appareil ou au contexte de l'utilisateur authentifié a plus de chances de suivre l'élément qu'elle est censée protéger.
Le trafic est-ouest est le facteur de différenciation
Le trafic nord-ouest traverse le périmètre, comme un utilisateur naviguant sur internet ou un client externe accédant à une application publiée. Le trafic est-ouest se déplace à l'intérieur du parc, comme une application appelant une base de données ou un point de terminaison contactant un serveur de fichiers. Les attaquants dépendent des chemins est-ouest après avoir obtenu l'accès.
La micro-segmentation régit directement ces flux internes. Elle peut autoriser le flux de l'application vers la base de données tout en bloquant l'accès du terminal à la base de données, même si les deux systèmes se trouvent au sein d'une même zone de serveurs ou de campus. Dans les parcs de terminaux WiFi, la conception axée sur l'identité aide également à traduire l'authentification en placement réseau. Des outils tels qu'un iPSK subnet designer peuvent aider à une séparation délibérée pour les appareils qui ne peuvent pas utiliser l'authentification utilisateur moderne.
Le défi opérationnel consiste à choisir le bon niveau de granularité des politiques. Une règle trop large recrée une confiance implicite. Une règle trop étroite peut bloquer des dépendances légitimes. Les déploiements efficaces commencent par l'observation des communications réelles, puis affinent les parcours autorisés.
Comparatif des approches basées sur les agents, sur le réseau et sur l'hôte
Les modèles de mise en œuvre varient selon le parc informatique. Le bon choix dépend des systèmes d'exploitation, des limites de propriété, des exigences de visibilité et de la tolérance aux modifications des terminaux. Dans un environnement britannique à confiance mixte, ces contraintes importent souvent plus que l'architecture idéale sur le papier.
Les contrôles basés sur des agents installent un composant léger sur chaque charge de travail protégée. L'agent peut identifier les communications au niveau des processus et appliquer des politiques au plus près du système d'exploitation. Cela convient particulièrement aux charges de travail cloud et virtualisées, où l'identité de la charge de travail peut changer plus souvent que son emplacement réseau physique. Cela fournit également aux équipes de sécurité des preuves plus claires sur le processus qui a initié une connexion.
Le compromis réside dans l'effort de déploiement. Les systèmes d'exploitation existants, les équipements non pris en charge, les serveurs de production étroitement contrôlés et les appareils non gérés peuvent ne pas accepter d'agent. Les équipes ont besoin de processus pour la gestion des versions, la surveillance de l'état de santé, la gestion des exceptions et l'approbation formelle là où l'installation de logiciels affecte la production.
Les contrôles basés sur le réseau appliquent des politiques au niveau des commutateurs, des routeurs, des passerelles ou d'une infrastructure logicielle (software-defined fabric). Ils évitent d'avoir à modifier chaque point de terminaison, ce qui les rend pratiques pour les réseaux de campus, l'IoT, les infrastructures invités et les équipements ne pouvant pas exécuter d'agent. Leur limite réside dans le contexte. Ils peuvent classer le trafic par adresse, port, segment ou catégorie d'appareil, sans pour autant identifier le processus à l'origine d'un flux est - ouest chiffré.
Les contrôles basés sur l'hôte utilisent les pare-feux natifs du système d'exploitation et une gestion centralisée des configurations. Pour un parc à confiance mixte, cela peut constituer un point de départ pratique sans ajouter de plateforme d'application supplémentaire. Le contrôle dépend toujours d'un déploiement rigoureux, d'audits et de suppressions lorsque les systèmes changent. Une configuration incohérente crée des dérives de politique et complique la résolution ultérieure des problèmes.
| Critères | Basé sur un agent | Basé sur le réseau | Basé sur l'hôte |
|---|---|---|---|
| Lieu d'application | Charge de travail ou terminal | Commutateur, routeur, passerelle ou matrice | Pare-feu natif du système d'exploitation |
| Visibilité | Souvent axé sur les processus et la charge de travail | Généralement axé sur le réseau et les flux | Forte sur l'hôte protégé |
| Compatibilité héritée | Peut être limitée par le système d'exploitation ou l'appareil | Adapté aux appareils ne pouvant pas exécuter d'agents | Dépend de la capacité du système d'exploitation |
| Charge opérationnelle | Déploiement, mises à niveau et vérifications de l'état des agents | Conception de la matrice, intégration et gestion des règles | Contrôle de la configuration et cohérence des politiques |
| Idéal pour | Charges de travail de centre de données et cloud | Campus, IoT, invités et parcs non gérés | Parcs mixtes et programmes incrémentiels |
| Principale faiblesse | Lacunes de couverture là où les agents ne peuvent pas être installés | Contexte d'identité et de processus plus imprécis | Complexité de gestion à grande échelle |
Les déploiements hybrides reflètent la réalité des parcs d'équipements. Une entreprise peut appliquer des politiques par le biais d'agents pour les charges de travail applicatives, de contrôles réseau pour les caméras et les systèmes du bâtiment, et de pare-feux d'hôtes pour les serveurs situés entre ces deux groupes. La conception doit suivre une cartographie des dépendances et une application progressive, plutôt que de contraindre chaque appareil à s'adapter à un modèle unique.
Les services d'identité ajoutent une entrée de contrôle distincte. Un fournisseur cloud RADIUS peut associer les événements d'authentification à un accès réseau basé sur les rôles, ce qui permet d'attribuer des politiques aux utilisateurs ou aux identités d'appareils au niveau de la couche d'accès. Cela facilite la segmentation pour le WiFi et les autres infrastructures partagées, mais ne remplace pas les contrôles au niveau des charges de travail ni les pare-feux des hôtes.
La conception la plus solide accepte généralement les contraintes du parc existant au lieu de traiter chaque appareil comme une charge de travail cloud moderne.
Cas d'usage réels - du WiFi aux environnements multi-locataires
La micro-segmentation devient plus facile à justifier lorsqu'elle résout un problème d'accès visible. Le WiFi invité en est l'exemple le plus simple. Un visiteur a besoin d'un accès internet, mais ne doit pas hériter d'une route vers les applications du personnel sous prétexte que les deux réseaux utilisent les mêmes points d'accès et le même parc de commutateurs.
Une plateforme basée sur l'identité peut affecter les utilisateurs à différents VLANs ou zones de confiance après l'authentification. Les identifiants du personnel peuvent produire un profil d'accès, les sous-traitants un autre, et les invités un profil restreint. C'est plus sûr que de s'en remettre à un mot de passe invité partagé, car un mot de passe divulgué ne devient pas automatiquement une clé pour le réseau interne.
Environnements IoT et de santé
Les appareils IoT méritent un modèle de politique distinct car ils ont souvent des capacités de sécurité limitées et de longs cycles de remplacement. Une caméra de vidéosurveillance peut avoir besoin de se connecter à une plateforme d'enregistrement et à un service de gestion, mais elle ne doit pas initier de connexions vers les ordinateurs portables des utilisateurs. Un contrôleur CVC peut nécessiter un accès à la gestion technique des bâtiments, tandis qu'un terminal de paiement ne doit communiquer qu'avec ses services de paiement et de gestion approuvés.
Les parcs d'équipements de santé ajoutent une sensibilité opérationnelle. Les équipements cliniques, les terminaux administratifs, les services destinés aux patients et les systèmes techniques du bâtiment peuvent avoir des exigences de propriété et de disponibilité différentes. L'approche la plus judicieuse consiste à définir les flux requis, à isoler les groupes d'appareils et à surveiller les exceptions plutôt que de placer chaque appareil dans un réseau unique « de confiance » et permissif.
Immobilier commercial multi-locataire
Les bâtiments multi-locataires introduisent un problème de délimitation différent. Un propriétaire peut fournir une connectivité physique partagée tandis que chaque locataire s'attend à une isolation logique par rapport à tous les autres. Chaque locataire a besoin de sa propre politique d'accès, de sa propre limite administrative et de son propre chemin d'accès vers les services partagés approuvés, comme l'accès internet ou les commodités du bâtiment.
La politique en tant que code (policy-as-code) permet de rendre l'intégration reproductible. Au lieu de modifier manuellement les configurations des commutateurs pour chaque nouvel occupant, l'opérateur définit un profil de locataire et l'applique via les systèmes de réseau et d'identité. Le résultat est une séparation qui peut s'étendre à l'accès filaire, à l'accès sans fil et aux bordures SD-WAN.
Les équipes qui évaluent ce modèle doivent comprendre la différence entre des locataires isolés et de simples comptes distincts. Une explication pratique pour comprendre les locataires SaaS est utile car le même principe s'applique aux services réseau, à savoir qu'une infrastructure partagée ne signifie pas nécessairement une confiance partagée.
Purple peut s'intégrer aux fournisseurs d'identité et à RADIUS pour attribuer des accès réseau en fonction de l'identité de l'utilisateur ou de l'appareil, incluant l'attribution dynamique de rôles et l'isolation pour le WiFi multi-locataire. En pratique, cela en fait l'un des composants d'une architecture de segmentation plus large. La plateforme d'accès détermine à quel segment appartient une connexion, tandis que les pare-feu, les commutateurs, les hôtes et les contrôles de charge de travail définissent ce que cette connexion est autorisée à atteindre.
Là où la micro-segmentation réduit le plus les risques
La micro-segmentation n'est pas principalement un exercice de conformité pour centre de données. Elle offre la plus grande valeur là où un compromis dans un groupe de confiance pourrait exposer des systèmes ayant un rôle opérationnel très différent.
Les directives de la NCSC sur les technologies opérationnelles décrivent la microsegmentation comme la division de zones en unités plus petites en fonction des charges de travail, des applications ou des fonctions des appareils, potentiellement jusqu'aux appareils, services ou protocoles individuels (NCSC OT micro-segmentation guidance). Cette approche est plus utile que de traiter chaque environnement comme un réseau IP générique. Un contrôleur industriel, un système de gestion technique du bâtiment et un ordinateur portable d'entreprise nécessitent des protections et des règles de communication différentes.
Prioriser les chemins de défaillance coûteux
Un réseau de campus plat crée des chemins inutiles entre les points de terminaison, les services de fichiers, les systèmes d'impression, les plateformes vocales et les interfaces d'administration. La solution n'est pas toujours une refonte complète. Une politique ciblée autour de l'administration privilégiée, des serveurs sensibles, de l'accès des tiers et des classes d'appareils peut éliminer les chemins les plus dangereux en premier.
| Point chaud de risque | Stratégie de segmentation | Réduction de la zone d'impact |
|---|---|---|
| Accès invité | Séparer l'identité et le trafic des invités des services d'entreprise, avec une politique d'accès internet uniquement si nécessaire | Une compromission d'invité reste confinée à la zone de confiance invité |
| Appareils IoT | Autoriser uniquement les flux de gestion et de service requis | Un appareil vulnérable ne peut pas sonder librement les réseaux d'utilisateurs ou de serveurs |
| Accès prestataire | Attribuer une zone limitée dans le temps ou spécifique à un rôle avec des itinéraires restreints | Les identifiants tiers ne donnent pas d'accès général en interne |
| Serveurs d'applications hérités | Utiliser des contrôles hôtes ou réseau lorsque les agents ne sont pas viables, puis autoriser les dépendances documentées | Une charge de travail héritée compromise dispose de moins de chemins vers les systèmes adjacents |
| Systèmes OT et techniques | Séparer les zones opérationnelles de l'IT d'entreprise et examiner les communications inter-zones | Un ransomware dans l'IT a un accès plus difficile vers les systèmes sensibles pour la sécurité ou la disponibilité |
Le NCSC conseille de baser les décisions de segmentation sur la protection requise par les actifs, leur besoin d'interagir avec d'autres actifs et le niveau de confiance accordé à leur intégrité. Cela rend une priorisation axée sur les risques bien plus justifiable qu'une segmentation basée sur les tendances organisationnelles.
Les préoccupations de performance méritent toujours d'être testées. Le placement des politiques, le chiffrement, la méthode d'inspection et la capacité des appareils affectent tous le résultat, de sorte qu'une affirmation générique de performance d'un fournisseur ne remplace pas un projet pilote dans le parc cible. La surcharge opérationnelle est réelle, mais le coût de laisser des chemins à haute valeur implicites l'est tout autant.
Mettre en œuvre la micro-segmentation sans perturber les systèmes hérités
Le programme le plus sûr commence par l'observation, et non par le blocage. En mode surveillance uniquement, collectez les enregistrements de flux et les informations sur les terminaux sans modifier le trafic de production. Les TAPs réseau, les collecteurs NetFlow, la télémétrie des commutateurs et la découverte basée sur des agents peuvent révéler quels systèmes communiquent, quelles connexions sont persistantes et quelles exceptions « temporaires » sont devenues des dépendances critiques.
Découvrir le parc informatique avant de rédiger des règles
L'inventaire à lui seul ne suffit pas. Cartographiez chaque application avec ses services associés, ses propriétaires, la sensibilité de ses données et son importance opérationnelle. Consignez les appels de service non documentés, les chemins d'accès administratifs, le trafic de sauvegarde, les connexions de surveillance et les accès des fournisseurs. Une politique basée sur un schéma d'architecture datant de plusieurs années échouera dès sa mise en confrontation avec la réalité du parc informatique.
Le NCSC recommande de documenter la manière dont la segmentation sera planifiée, conçue, appliquée et surveillée afin qu'une compromission reste confinée au segment touché (NCSC segmentation planning guidance). Cette documentation doit être un registre opérationnel vivant, et non un document de conception unique.
Passer à une application contrôlée
Utilisez un parcours par étapes :
- Découvrir : Capturer les flux est-ouest et identifier les propriétaires d'actifs, les applications, les protocoles et les appareils inconnus.
- Planifier : Regrouper les actifs par fonction métier, sensibilité, confiance et dépendance. Rédiger des politiques d'autorisation à partir des besoins observés.
- Piloter : Tester les politiques sur un groupe de charges de travail représentatif, de préférence en mode fantôme ou de pré-production. Confirmer que les flux de surveillance, de sauvegarde, d'administration et d'assistance continuent de fonctionner.
- Appliquer : Commencer par des restrictions à haut niveau de confiance, telles que l'accès des invités au réseau d'entreprise ou les liaisons IoT vers le contrôleur de domaine. N'élargir qu'après validation du résultat par les propriétaires des services.
Conservez des procédures de retour en arrière pratiques. Définissez qui peut désactiver une politique, quelle fenêtre de modification s'applique, quelles preuves déclenchent le retour en arrière et comment la décision est enregistrée. Tenez un registre des exceptions pour les systèmes existants qui ne peuvent pas supporter d'agents ou de contrôles modernes, incluant un responsable, un contrôle compensatoire, une date de révision et une condition de retrait.
Discipline de déploiement : Si personne n'est propriétaire d'une exception, ce n'est pas une exception. C'est un accès permanent non documenté.
L'étude britannique sur le zero-trust citée par le secteur rapporte que 92 % des organisations segmentent actuellement leurs réseaux, mais distingue cette segmentation large de la micro-segmentation au niveau de la charge de travail (UK zero-trust adoption data). Cette distinction doit orienter les rapports de programme. Un réseau segmenté n'est pas nécessairement un réseau à moindres privilèges.
Connecter la micro-segmentation à votre stratégie Zero Trust
Le modèle zero trust devient applicable lorsque la microsegmentation applique l'identité, le contexte de l'appareil, la propriété de l'application et les décisions de moindre privilège au trafic interne. Sans ce point d'application, la vérification s'arrête souvent à la connexion.
Connectez les services d'annuaire, RADIUS, les signaux des points de terminaison, l'identité des charges de travail et les moteurs de politiques afin que les décisions d'accès affectent les environnements sans fil, câblés, cloud et SD-WAN. Dans les parcs du secteur public britannique, cela permet de séparer la production, le développement, les tests et la formation tout en s'adaptant aux réseaux de confiance mixte.
Considérez ces contrôles comme une discipline opérationnelle. Examinez les dépendances, supprimez les exceptions obsolètes, testez les modifications de politiques et réévaluez les zones à mesure que les applications ou les propriétaires changent. Commencez par un parcours à forte valeur ajoutée dont la responsabilité métier est claire, puis étendez-le une fois ses dépendances comprises.
Auditez d'abord l'accès des invités, l'administration privilégiée, les appareils IoT et de gestion des bâtiments, ainsi que les dépendances des applications existantes. Sélectionnez une méthode d'application que chaque domaine peut prendre en charge, documentez les flux requis et échelonnez les contrôles en fonction du risque opérationnel. Cela rend la question de savoir ce qu'est la microsegmentation utile en tant que question de conception et de gouvernance.
Purple connecte l'accès WiFi basé sur l'identité avec l'isolation des rôles et des locataires grâce à un placement réseau piloté par RADIUS et à des politiques pour les utilisateurs ou les appareils. Visitez Purple pour évaluer comment sa plateforme réseau peut s'intégrer dans un programme plus large de micro-segmentation et de zero-trust au sein des environnements invités, du personnel et multi-locataires.
