De la bonne configuration du coupe-feu de l'entreprise dépend en grande partie la solidité de l'architecture de son réseau. C'est lui qui, correctement configuré, va permettre de définir les zones démilitarisées (DMZ) qui isolent les serveurs publics du réseau privé. Mais au sein des PME, c'est un concept encore lointain. « Lorsqu'une PME décide de mettre en oeuvre un coupe-feu, elle se contente bien souvent de sa configuration par défaut : tout le trafic venant de l'extérieur est certes interdit, mais celui qui provient de l'intérieur est autorisé sans restriction. Cette configuration se comprend de la part des fabricants, car elle est la plus passe-partout. Mais elle est dangereuse. Car il suffit, par exemple, qu'un virus trouve son chemin sur le réseau interne de l'entreprise, par le biais d'un ordinateur portable ou d'un Webmail, pour qu'il puisse se propager librement », explique Loïc Cuguen, consultant sécurité chez Idealx.

Le choix du produit, quant à lui, ne facilite pas forcément les choses non plus : du fait qu'elles ne savent pas configurer un coupe-feu, les PME ont du mal à choisir celui qui leur convient le mieux. « Elles optent souvent pour des produits d'entrée de gamme qui sont tout simplement incapables de gérer des DMZ [un coupe-feu doit avoir trois interfaces pour pouvoir gérer une DMZ, Ndlr]. Résultat : tous les serveurs et les postes de travail sont sur la même branche, qui n'est isolée que de l'extérieur », conclut Loïc Cuguen.