Dans cet article
Un pare-feu acheté est un équipement que l'entreprise installe et gère ensuite seule ; un pare-feu géré est le même type d'équipement configuré, mis à jour, surveillé et exploité par une équipe externe, avec un montant mensuel et un SLA. La différence ne tient pas au boîtier : elle tient à qui lit les alertes et réagit quand l'une d'elles est grave. Nous comparons les deux modèles sans présumer que l'un convient à tous.
« Nous avons un pare-feu » — et ensuite ?
C'est la phrase de presque toutes les premières réunions, et elle est généralement vraie : il y a un équipement d'un fabricant de sécurité dans la baie. Ce qui compte, c'est la suite. Qui l'a configuré ? Quand a-t-il été mis à jour ? Qui reçoit les alertes ?
Quatre choses qui ne sont pas livrées dans le carton
Un pare-feu d'entreprise filtre le trafic entre internet et le réseau, inspecte les connexions, bloque des catégories à risque, termine les VPN et sépare les segments. Pour bien le faire, il lui faut :
- Une configuration sur mesure Les règles d'usine sont génériques.
- Des mises à jour Du système et des signatures de menaces, régulièrement.
- Des abonnements actifs Ils expirent sans avertissement visible et l'inspection s'arrête.
- Quelqu'un d'attentif Qui lise les journaux et réagisse aux alertes.
Sans ces quatre éléments, le pare-feu n'est qu'un routeur cher.
Le portrait du pare-feu acheté
L'entreprise paie l'équipement et les abonnements, quelqu'un le configure à l'installation et la responsabilité devient interne. Les avantages : un coût initial connu, la propriété et l'absence de mensualité en dehors des abonnements.
Ce que nous trouvons fréquemment : une configuration jamais revue, un firmware de deux ou trois ans, des abonnements expirés depuis des mois (le trafic passe, mais n'est plus inspecté), des règles ajoutées « pour régler un problème » et jamais retirées, et des alertes dans une boîte e-mail que personne n'ouvre. L'équipement n'y est pour rien ; c'est la gestion qui manque.
Le portrait du pare-feu géré
L'équipement — appartenant à l'entreprise ou inclus dans le service — est exploité par une équipe externe. Mises à jour et abonnements sont pris en charge, les alertes sont lues par des personnes, les règles sont revues et la réponse aux incidents suit des délais définis. Les connaissances ne disparaissent pas quand un technicien s'en va.
Les inconvénients sont le coût mensuel et la dépendance au prestataire, qui se maîtrise par contrat : SLA écrit, identifiants et configuration propriété de l'entreprise.
Six critères comparés
| Critère | Acheté | Géré |
|---|---|---|
| Coût | Initial élevé, mensuel faible | Initial faible, mensuel plus élevé ; au bout de trois ans, les totaux se rapprochent |
| Mises à jour | Dépendent de la mémoire de quelqu'un | Incluses, dans des créneaux planifiés |
| Alertes | Elles sont générées | Elles sont traitées — une alerte VPN à 3 h ne vaut que si quelqu'un la voit à 3 h 05 |
| Configuration | Reste telle qu'installée | Revue quand l'entreprise évolue |
| Incidents | Dépend de trouver quelqu'un de compétent | Délais de réponse écrits |
| Connaissances | Chez une seule personne | Documentées et partagées par une équipe |
Lequel choisir
- Acheté — quand il existe une équipe interne compétente et disponible pour la sécurité, généralement au-delà de 150 à 200 postes, ou un environnement simple et stable, sans télétravail, VPN ni services exposés.
- Géré — quand personne dans l'entreprise ne se consacre à la sécurité, quand il y a du télétravail, du VPN ou des services publiés, quand la NIS2 ou une assurance cyber exigent une gestion continue, ou quand un incident a déjà montré que les alertes n'étaient pas lues. C'est le cas de la plupart des PME portugaises de 10 à 150 postes.
Ce qu'il faut exiger dans un contrat de pare-feu géré
- Propriété Équipement et configuration appartenant à l'entreprise, avec les identifiants d'administration sous pli scellé ou dans un coffre-fort numérique.
- Rapport mensuel Ce qui a été bloqué, mis à jour et modifié.
- Priorité maximale Pour les événements de sécurité, avec des délais écrits.
- Revue des règles Au moins deux fois par an.
- Sortie propre Si le contrat prend fin, le pare-feu continue de fonctionner et l'entreprise conserve tout.
Ce sont les règles de nos pare-feu gérés : installation, configuration et surveillance par DataRoad, avec des alertes traitées par des personnes.
Deux projets publiés
FreshDesign — pare-feu nouvelle génération avec VPN SSL pour le télétravail, équilibrage et bascule entre deux connexions internet, alertes en temps réel et maintenance continue. Lire le projet FreshDesign.
Ventask — plus de 350 postes, avec pare-feu, switches et points d'accès gérés dans le cadre d'IT Unlimited. Lire le cas Ventask.
Questions fréquentes
Nous avons déjà acheté un pare-feu. Peut-il passer en gestion ?
Dans la plupart des cas, oui. Nous évaluons l'équipement, le firmware et les abonnements ; s'il est dans son cycle de vie fabricant, nous en prenons la gestion. S'il est en fin de vie, nous proposons un remplacement progressif.
Le routeur de l'opérateur ne suffit-il pas ?
Il sépare le réseau d'internet, mais n'inspecte pas le trafic, ne filtre pas par catégorie, ne gère pas de VPN avec MFA et ne segmente pas. En entreprise, c'est le premier équipement à remplacer.
Combien cela coûte-t-il ?
Cela dépend du débit, du nombre d'utilisateurs et des services actifs. Dans les contrats IT Unlimited, la gestion du pare-feu est incluse dans le montant mensuel ; nous ne la proposons pas comme service ponctuel hors contrat.
Est-ce suffisant pour se conformer à la NIS2 ?
C'est l'une des mesures. La NIS2 exige aussi la gestion des accès, des sauvegardes, la réponse aux incidents et la formation ; voir ce qu'exige la NIS2 au Portugal.
Prochaine étape : l'état réel de votre pare-feu
Nous vérifions firmware, abonnements, règles et alertes et vous indiquons par écrit ce qui est exposé, sans engagement.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950* ou écrivez à sales@dataroad.pt.
*Appel vers un fixe portugais.
