Sécuriser les objets connectés en entreprise : guide 2026

Les caméras, imprimantes Wi-Fi, thermostats intelligents, badges d'accès et assistants vocaux sont souvent installés pour gagner du temps, puis oubliés. C'est précisément ce qui en fait des portes d'entrée utiles aux attaquants. Pour une PME, la priorité en 2026 est simple : recenser chaque objet connecté, supprimer les mots de passe par défaut, appliquer les mises à jour de firmware et isoler ces équipements du réseau qui héberge les postes de travail et les données métier. Ces mesures sont accessibles sans transformer un bureau en centre opérationnel de cybersécurité.

Les objets connectés du quotidien ne relèvent pas forcément de l'IoT industriel lourd, des automates ou des systèmes SCADA. Ils peuvent néanmoins compromettre la messagerie, les fichiers comptables, les accès cloud ou les données personnelles si leur sécurité est négligée.

Pourquoi les objets connectés sont devenus un point d'entrée discret

Un objet connecté professionnel est un appareil qui communique sur le réseau local ou Internet pour être piloté, supervisé ou mis à jour. Dans un bureau, cela peut inclure :

• Des caméras IP et enregistreurs vidéo ;
• Des imprimantes et copieurs multifonctions ;
• Des systèmes de contrôle d'accès par badge ;
• Des interphones vidéo ;
• Des bornes Wi-Fi et écrans de réunion ;
• Des thermostats, éclairages et prises connectées ;
• Des assistants vocaux de salle de réunion ;
• Des systèmes de réservation de salles ou de gestion de visiteurs.

Le problème n'est pas qu'un thermostat puisse être piraté pour changer la température. Le risque réel est qu'il serve de relais vers le reste du réseau. Un appareil mal protégé peut être utilisé pour scanner les autres machines, tenter des connexions avec des identifiants volés, rejoindre un botnet ou exfiltrer des données.

Ces équipements échappent souvent aux routines IT habituelles. Un ordinateur est généralement inventorié, protégé par antivirus ou EDR, rattaché à un utilisateur et remplacé périodiquement. Une caméra est parfois installée par un prestataire, connectée à la box Internet puis laissée en fonctionnement pendant plusieurs années. Personne ne sait alors qui en est administrateur, où se trouvent ses mises à jour ou si son compte par défaut est encore actif.

C'est aussi une question de responsabilité organisationnelle. La caméra peut dépendre des services généraux, l'imprimante de l'administration, le contrôle d'accès de la direction et le Wi-Fi de l'infogérant. Sans responsable clairement désigné, les failles restent en place.

Pour les environnements industriels, les enjeux et méthodes diffèrent : réseaux OT, automates et contraintes de disponibilité imposent des précautions spécifiques. Ce sujet est détaillé dans notre guide sur l'industrie 4.0 et l'IoT. Dans des bureaux, les mesures de base restent plus simples à déployer, à condition de les appliquer.

Firmware obsolète : le risque invisible qui s'accumule

Le firmware est le logiciel interne qui fait fonctionner une caméra, une imprimante, une serrure connectée ou une passerelle domotique. Il gère notamment les communications réseau, l'interface d'administration et parfois le chiffrement des données.

Lorsqu'un fabricant corrige une vulnérabilité, il publie généralement une nouvelle version de firmware. Pourtant, ces mises à jour sont souvent oubliées parce que l'appareil « fonctionne encore ». C'est une erreur fréquente : une faille de sécurité peut être exploitée sans provoquer de panne visible.

Selon une étude de Palo Alto Networks, 57 % des objets connectés utilisés en entreprise fonctionnent avec des versions de firmware obsolètes. Ce chiffre illustre un problème très concret : l'appareil reste connecté, mais sa sécurité ne suit plus l'évolution des menaces.

Une PME ne doit pas chercher à tout mettre à jour aveuglément pendant les heures de travail. Il faut organiser la démarche :

1. Identifier le modèle exact de l'appareil et sa version de firmware ;
2. Vérifier sur le site officiel du fabricant l'existence d'une version plus récente ;
3. Lire les notes de version et les éventuelles consignes de sauvegarde ;
4. Planifier une mise à jour hors des heures critiques ;
5. Tester ensuite les fonctions essentielles : impression, accès badge, enregistrement vidéo, notifications ;
6. Consigner la date, la version installée et la personne responsable.

Si le fabricant ne fournit plus de correctifs, l'équipement doit être considéré comme un risque. Il n'est pas forcément nécessaire de le remplacer le lendemain, mais il faut au minimum l'isoler sur un réseau dédié, limiter ses accès Internet et préparer son renouvellement.

Les mots de passe par défaut restent une faille très rentable

De nombreux objets connectés arrivent avec un couple identifiant-mot de passe connu : admin/admin, admin/1234, un code imprimé sur l'étiquette ou un mot de passe identique pour toute une série d'appareils. Ces informations circulent facilement dans les documentations, forums et bases de données utilisées par les attaquants.

Le premier paramétrage doit donc inclure un changement immédiat des identifiants d'administration. Les recommandations de sécurité IoT 2026 rappellent une règle de base : utiliser dès l'installation un mot de passe d'au moins 12 caractères. Dans les faits, mieux vaut privilégier une phrase de passe longue et unique, par exemple une combinaison de mots sans lien direct avec l'entreprise ou le matériel.

À appliquer sans exception :

• Changer le mot de passe administrateur de chaque objet ;
• Créer un compte nominatif quand l'équipement le permet ;
• Désactiver ou renommer les comptes par défaut inutiles ;
• Ne jamais réutiliser le mot de passe du Wi-Fi, de Microsoft 365 ou de la messagerie ;
• Stocker les accès dans un gestionnaire de mots de passe d'entreprise ;
• Activer l'authentification multifacteur si le portail cloud du fournisseur la propose.

Le sujet ne concerne pas seulement les mots de passe complexes. Il faut aussi savoir qui les détient. Une caméra installée par un prestataire ne doit pas rester administrée uniquement avec un compte connu de ce prestataire. L'entreprise doit posséder les accès, documenter la procédure de récupération et retirer les comptes externes lorsqu'une mission se termine.

Pour mettre en place une politique cohérente, consultez notre dossier sur la gestion des mots de passe en entreprise. Un coffre-fort partagé avec droits limités évite que les identifiants critiques soient conservés dans une boîte mail ou un tableur non protégé.

Faire un inventaire simple, sans outil complexe

L'inventaire est la première mesure recommandée par Bpifrance dans ses bonnes pratiques de sécurisation des objets connectés en entreprise. Bpifrance cite notamment l'inventaire rigoureux, l'authentification forte et la mise à jour des firmwares parmi les pratiques prioritaires.

Une PME peut commencer avec un tableur partagé, à condition qu'il soit tenu à jour. L'objectif n'est pas de produire un document technique parfait. Il s'agit de répondre rapidement à des questions basiques : quels objets sont connectés ? Qui les gère ? Sont-ils à jour ? Sur quel réseau sont-ils branchés ?

Pour constituer cette liste, commencez par trois sources : les factures d'achat, les contrats des prestataires et l'interface de votre routeur ou pare-feu. Cette dernière affiche souvent les appareils connectés au réseau, y compris ceux que l'entreprise a oubliés.

Attention aux équipements « personnels » : enceinte connectée apportée par un salarié, caméra installée dans un local, montre connectée associée à une salle de sport interne, téléviseur connecté utilisé pour les réunions. Une règle claire doit interdire la connexion d'équipements non validés sur le réseau professionnel.

Segmenter le réseau sans devenir expert en cybersécurité

La segmentation réseau consiste à séparer les équipements en groupes pour éviter qu'un incident sur l'un d'eux donne accès à tout le système d'information. C'est l'une des protections les plus efficaces pour une PME, car elle limite les mouvements latéraux d'un attaquant.

Le principe peut être très simple : les ordinateurs et serveurs métier ne doivent pas être sur le même réseau que les caméras, imprimantes ou objets domotiques. Les visiteurs ne doivent pas non plus utiliser le Wi-Fi interne.

Une architecture pragmatique peut comporter :

• Un réseau « Bureaux » pour les postes de travail, téléphones professionnels et services internes ;
• Un réseau « IoT » pour caméras, imprimantes, badges, éclairage et thermostats ;
• Un réseau « Invités » isolé pour les visiteurs et appareils personnels ;
• Éventuellement un réseau « Administration » réservé aux personnes qui gèrent les équipements.

Dans beaucoup de PME, cette séparation peut être configurée sur un pare-feu moderne, une box professionnelle ou des points d'accès Wi-Fi compatibles VLAN. L'infogérant peut le faire en quelques heures si les équipements le permettent. Le coût est souvent inférieur à celui d'un incident de sécurité ou d'une interruption de service.

La règle à demander au prestataire est claire : le réseau IoT doit pouvoir accéder uniquement à ce qui est nécessaire. Une caméra peut avoir besoin d'atteindre son enregistreur vidéo ou son service cloud, mais elle n'a aucune raison de communiquer librement avec les ordinateurs de la comptabilité. Une imprimante peut recevoir des travaux d'impression depuis certains postes, sans pouvoir initier des connexions vers tout le réseau.

N'ouvrez pas d'accès distant direct vers Internet pour administrer une caméra ou une serrure. Désactivez l'UPnP si vous n'en avez pas besoin, évitez les redirections de ports et privilégiez un VPN ou une solution d'accès sécurisée fournie par votre prestataire. Ces précautions complètent les fondamentaux présentés dans notre guide de cybersécurité pour les entreprises.

Sécuriser les usages concrets : caméras, imprimantes et salles de réunion

Tous les objets connectés ne présentent pas le même niveau de risque. Il est utile de prioriser ceux qui captent des images, ouvrent des portes, stockent des documents ou disposent d'un accès cloud.

Pour les caméras et enregistreurs vidéo, désactivez l'accès à distance non nécessaire, changez les comptes par défaut et limitez le nombre d'administrateurs. Vérifiez aussi la durée de conservation des images et les obligations RGPD : filmer l'entrée d'un bâtiment n'autorise pas à surveiller en permanence les salariés sans cadre légal.

Pour les imprimantes multifonctions, activez l'impression sécurisée par code ou badge, effacez les documents stockés sur le disque interne lors d'un remplacement et désactivez les services non utilisés. Une imprimante peut conserver des scans, des contrats ou des bulletins de paie. Son interface d'administration ne doit pas être accessible avec un mot de passe générique.

Pour les contrôles d'accès et badges, prévoyez une procédure de désactivation immédiate lors du départ d'un salarié. Vérifiez également que le prestataire peut exporter les journaux d'accès en cas d'incident et que les droits des anciens prestataires sont supprimés.

Pour les assistants vocaux et équipements de réunion, coupez les fonctions d'écoute permanente lorsqu'elles ne sont pas nécessaires. Évitez de les utiliser lors de discussions sensibles : négociation commerciale, données RH, stratégie, résultats financiers ou informations clients. Les mises à jour et la politique de confidentialité du fournisseur doivent être vérifiées avant le déploiement.

Une semaine pour réduire fortement le risque

Une PME peut améliorer rapidement son niveau de sécurité avec une action courte, pilotée par un responsable désigné. L'objectif n'est pas d'atteindre une perfection théorique, mais d'éliminer les vulnérabilités les plus évidentes.

Checklist prioritaire sur sept jours

• Jour 1 : nommer un responsable interne et lister les objets connectés visibles dans les bureaux ;
• Jour 2 : consulter le routeur, le pare-feu ou la console Wi-Fi pour repérer les appareils inconnus ;
• Jour 3 : changer tous les mots de passe par défaut, supprimer les comptes inutiles et consigner les accès dans un gestionnaire sécurisé ;
• Jour 4 : vérifier les mises à jour de firmware des équipements les plus sensibles : caméras, enregistreurs, imprimantes, contrôle d'accès ;
• Jour 5 : isoler le Wi-Fi invités et créer, si possible, un réseau distinct pour les objets connectés ;
• Jour 6 : désactiver les accès distants inutiles, les redirections de ports et les services non utilisés ;
• Jour 7 : formaliser une règle d'achat et d'installation pour tout nouvel équipement connecté.

Ajoutez une vérification trimestrielle. Elle peut être courte : relire l'inventaire, vérifier les mises à jour publiées, contrôler les comptes d'administration et examiner les nouveaux appareils connectés.

Les attaques par hameçonnage restent parallèlement un vecteur majeur d'intrusion, notamment pour voler les identifiants qui donnent accès aux consoles cloud des objets connectés. Sensibilisez les équipes avec notre guide sur le phishing et les arnaques en entreprise.

Enfin, les exigences réglementaires et contractuelles renforcent progressivement la nécessité de maîtriser les équipements connectés. Les entreprises concernées directement ou indirectement par la directive NIS2 doivent notamment regarder leurs pratiques de gestion des actifs et des risques fournisseurs. Notre article sur NIS2 et la conformité des PME aide à situer les premières obligations.

Choisir et remplacer les équipements avec de bons critères

La sécurité ne se joue pas uniquement après l'achat. Lors du renouvellement d'une caméra, d'une imprimante ou d'une solution de contrôle d'accès, le prix et les fonctions visibles ne doivent pas être les seuls critères.

Demandez au fournisseur :

• Quelle est la durée annoncée de support logiciel et de mises à jour de sécurité ?
• Les mises à jour peuvent-elles être installées facilement et sans abonnement caché ?
• L'authentification multifacteur est-elle disponible pour le portail d'administration ?
• Peut-on désactiver les services cloud non nécessaires ?
• L'équipement accepte-t-il des comptes distincts avec des droits limités ?
• Les données sont-elles chiffrées en transit ?
• Existe-t-il une procédure documentée de réinitialisation et de suppression des données avant revente ou mise au rebut ?

Un équipement bon marché sans support de sécurité peut devenir plus coûteux qu'un modèle professionnel mieux suivi. Pour un bureau, il vaut généralement mieux acheter moins d'objets connectés, mais choisir des produits maintenus, documentés et administrables.

La règle à retenir est simple : tout appareil relié au réseau doit être traité comme un ordinateur spécialisé. Il a besoin d'un propriétaire identifié, d'un mot de passe unique, de mises à jour et d'un périmètre réseau limité. C'est cette discipline, plus que l'achat d'une solution complexe, qui protège réellement une PME.