Wi-Fi invité au bureau : gardez les visiteurs hors de votre réseau
Visiteurs, téléphones personnels et téléviseurs connectés n’ont rien à faire sur le réseau de vos fichiers. Ce que fait un bon Wi-Fi invité et comment le tester.
Dans beaucoup de petits bureaux, il n’existe qu’un seul réseau Wi-Fi et un seul mot de passe, noté sur un post-it à l’accueil. Les portables des salariés, le serveur de fichiers, le poste de la comptabilité, les téléphones des visiteurs, la télévision de la salle de réunion et les caméras de surveillance le partagent. Cela fonctionne, jusqu’au jour où le portable infecté d’un visiteur, un objet connecté bon marché ou le téléphone d’un ancien salarié se retrouve sur le même réseau que vos fichiers les plus importants. Mettre en place un vrai Wi-Fi invité est l’un des moyens les plus simples de réduire ce risque.
Qui ne devrait pas être sur le réseau de l’entreprise
Le réseau de l’entreprise accueille vos ordinateurs, le serveur ou le NAS, les imprimantes qui sortent des documents sensibles et tout ce qui contient des données de l’entreprise. Le reste est un invité, y compris des appareils auxquels on ne pense pas :
- les visiteurs et clients qui ont besoin d’internet pendant une réunion ;
- les téléphones, tablettes et montres personnels des salariés, que vous ne gérez pas et ne pouvez pas mettre à jour ;
- les téléviseurs connectés, clés de streaming, enceintes et équipements de salle de réunion, qui reçoivent souvent peu de mises à jour de sécurité ;
- les prestataires présents sur place pour un jour ou une semaine.
Les caméras de surveillance, interphones et appareils similaires sont un cas à part : ils ne doivent pas non plus partager le réseau invité avec les visiteurs. Idéalement, ils ont leur propre réseau.
Ce que fait un bon réseau invité
- Internet uniquement. Les invités naviguent, mais ne peuvent atteindre aucun ordinateur, dossier partagé, imprimante ou page d’administration du réseau de l’entreprise. C’est tout l’intérêt, et il faut le tester plutôt que le supposer.
- L’isolation des clients. Les appareils du réseau invité ne se voient pas entre eux : un téléphone infecté ne peut pas sonder le portable du visiteur suivant.
- Un mot de passe à part, différent de celui des salariés et changé régulièrement, par exemple chaque trimestre, et dès qu’une personne qui le connaissait part en mauvais termes.
- Des limites raisonnables. Un plafond de débit évite qu’un téléchargement ou une visio d’invité ralentisse le bureau, et de nombreux systèmes peuvent couper l’accès invité en dehors des heures d’ouverture.
Le bouton « invité » de ma box suffit-il ?
C’est souvent un bon début, mais vérifiez ce qu’il fait vraiment. Sur beaucoup de box et routeurs grand public, le réseau invité est un second nom de Wi-Fi avec accès internet, et l’isolation vis-à-vis du réseau principal est une option parfois désactivée, voire absente. Un test rapide : connectez un téléphone au réseau invité et essayez d’ouvrir la page d’administration du routeur, un dossier partagé ou la page web de l’imprimante. Si l’une d’elles s’affiche, les invités peuvent atteindre votre réseau.
Les points d’accès et pare-feu professionnels gèrent cela avec des segments de réseau séparés (souvent appelés VLAN), afin que invités, salariés et appareils comme les caméras aient chacun leur espace, avec des règles claires entre eux. Si votre bureau a grandi au point que ce soit difficile avec votre matériel actuel, notre article pour savoir si votre bureau a dépassé son routeur grand public décrit les signes.
Une configuration simple pour la plupart des petits bureaux
- Réseau salariés : uniquement les appareils gérés par l’entreprise, avec un mot de passe solide jamais donné aux visiteurs, ou une connexion individuelle si votre matériel le permet.
- Réseau invité : internet uniquement, isolation activée, mot de passe dédié affiché pour les visiteurs.
- Réseau appareils (si vous avez des caméras, téléviseurs ou autres objets connectés) : séparé des deux autres, avec seulement les accès dont ces appareils ont besoin.
Donnez des noms clairs aux réseaux pour que personne ne branche par erreur un portable professionnel sur le réseau invité, et ne laissez pas les téléphones personnels sur le réseau salariés sous prétexte que « c’est plus rapide ».
N’oubliez pas les prises réseau
Une prise réseau à l’accueil ou en salle de réunion est reliée directement au réseau de l’entreprise, sauf configuration contraire. Si des visiteurs peuvent s’y brancher, débranchez les prises inutilisées ou placez-les sur le segment invité.
Bien faire les choses
Séparer les réseaux est un petit chantier pour un technicien et un vrai gain de sécurité. Notre service d’installation et gestion de réseaux peut concevoir et configurer les réseaux salariés, invités et appareils, en réutilisant votre matériel quand il en est capable, puis vérifier que la séparation tient. Cela s’inscrit dans notre travail de cybersécurité pour les PME. Appelez le (213) 986-4855.