Cloisonnement réseau

Définition

Le cloisonnement réseau, aussi appelé segmentation réseau, est une architecture de sécurité consistant à diviser un système d'information en zones distinctes, isolées les unes des autres par des équipements de filtrage comme des pare-feux, des VLAN ou des listes de contrôle d'accès. L'objectif principal est de limiter les mouvements latéraux d'un attaquant ayant compromis un premier système, en l'empêchant d'atteindre directement des ressources critiques comme les serveurs de données, les systèmes de paiement ou les environnements industriels. Une architecture cloisonnée typique sépare par exemple le réseau bureautique, la zone démilitarisée (DMZ) exposée à Internet, les environnements de production, et dans les contextes industriels, le réseau OT (technologies opérationnelles) selon le modèle Purdue. Le cloisonnement peut être renforcé par une approche de micro-segmentation, plus granulaire, appliquée jusqu'au niveau des charges de travail individuelles, souvent utilisée dans les architectures cloud et les stratégies Zero Trust. Cette pratique correspond à la tactique de défense en profondeur et contre directement les techniques de mouvement latéral répertoriées dans la tactique Lateral Movement (TA0008) de MITRE ATT&CK. Le cloisonnement réseau est une exigence explicite de nombreux référentiels, dont ISO 27001, PCI DSS et les recommandations de l'ANSSI pour les systèmes industriels et les infrastructures critiques.