Le Blog.

Par où commencer ? Par un état des lieux honnête de ce que vous avez, puis par quatre gestes simples qui bloquent la grande majorité des attaques : une vraie sauvegarde testée, la double authentification sur vos comptes, des mots de passe sérieux, et des collaborateurs qui savent reconnaître un courriel piégé. La cybersécurité d’une PME en Nouvelle-Calédonie ne commence pas par un gros budget ni par du matériel exotique. Elle commence par de l’ordre, de la méthode, et quelques décisions de dirigeant.

Vous n’êtes pas informaticien, et c’est très bien. Votre métier, c’est de diriger. Le mien, depuis quinze ans à dépanner et sécuriser des entreprises calédoniennes, c’est de traduire ce sujet en décisions claires. Voici la feuille de route, sans jargon inutile, pensée pour le Caillou.

Pourquoi une PME calédonienne est une cible

Parce qu’une PME d’ici est souvent moins défendue qu’une grande structure, et que les attaquants le savent. Ils ne vous visent pas vous personnellement. Leurs robots balaient internet en continu, à la recherche d’une porte mal fermée, où qu’elle soit dans le monde, Nouméa compris.

La plupart des entreprises calédoniennes de moins de cent personnes n’ont ni responsable sécurité dédié, ni programme structuré. Ajoutez l’éloignement, qui rend les incidents discrets et donc peu médiatisés, et un tissu économique dense où circulent des données qui valent de l’argent : santé, banque, BTP, hôtellerie, transport. Depuis 2024, plusieurs entreprises du territoire ont vécu un rançongiciel, c’est-à-dire un logiciel qui chiffre tous leurs fichiers et réclame une rançon pour les rendre. D’autres ont subi une fraude au virement, ou la prise de contrôle d’une boîte mail professionnelle servant ensuite à piéger leurs clients.

Imaginez un cabinet de Nouméa qui arrive un lundi matin et trouve tous ses dossiers verrouillés, illisibles. Plus rien ne tourne. Voilà ce qu’on cherche à éviter, et la bonne nouvelle, c’est que l’essentiel se joue en amont, avec des mesures à votre portée.

L’étape zéro : savoir ce que vous avez à protéger

Avant de poser le moindre verrou, faites l’inventaire. On ne protège bien que ce qu’on a cartographié : vos ordinateurs, vos serveurs, vos logiciels métier, vos boîtes mail, et surtout vos données les plus précieuses.

Posez-vous trois questions de dirigeant. Quelles données feraient le plus mal si elles disparaissaient ou fuyaient demain ? Qui a accès à quoi, et depuis quand ? Et si votre serveur principal tombait ce soir, combien de temps tiendriez-vous ? Ces réponses dessinent vos priorités. Un audit de cybersécurité structuré, c’est exactement cela, en plus complet : un état des lieux qui note chaque point en rouge, orange ou vert, et qui débouche sur un plan d’action classé par urgence. C’est le point de départ que nous recommandons, parce qu’il évite de dépenser au mauvais endroit.

Les quatre gestes qui arrêtent la majorité des attaques

Quatre mesures, peu coûteuses, couvrent l’essentiel du risque pour une PME. Une sauvegarde testée, la double authentification, une hygiène de mots de passe, et des équipes sensibilisées. Aucune n’exige d’être ingénieur. Toutes exigent une décision et un peu de suivi.

1. Une sauvegarde que vous avez vraiment testée

Une sauvegarde, c’est une copie de vos données conservée à part. La question n’est pas « est-ce que je sauvegarde ? » mais « suis-je certain de pouvoir tout restaurer demain matin ? ». Beaucoup de dirigeants découvrent le problème le pire jour : celui où la restauration échoue.

La règle de référence, recommandée par l’agence française de sécurité, tient en trois chiffres, le 3-2-1 : trois copies de vos données, sur deux supports différents, dont une copie hors site. Un détail capital ici. Les rançongiciels modernes cherchent activement vos sauvegardes pour les chiffrer aussi, en passant par le réseau. Il vous faut donc au moins une copie hors ligne ou « immuable », c’est-à-dire impossible à modifier une fois écrite. Et testez la restauration pour de vrai, au moins une fois, pas seulement la sauvegarde.

2. La double authentification, partout où c’est possible

La double authentification, souvent abrégée MFA, ajoute une seconde preuve d’identité au mot de passe : un code reçu sur votre téléphone, par exemple. Même si un mot de passe est volé, l’attaquant reste à la porte. C’est le geste au meilleur rapport effort-protection qui existe.

Activez-la en priorité sur vos comptes de messagerie professionnelle, sur vos accès bancaires et sur tout outil contenant des données clients. La compromission d’une boîte mail Microsoft 365 par hameçonnage, ce courriel piégé qui imite un expéditeur de confiance pour vous soutirer vos identifiants, c’est l’incident que nous traitons le plus souvent. Dans presque tous les cas, la double authentification l’aurait évité.

3. Des mots de passe sérieux, gérés sans post-it

Un mot de passe long et unique par service vaut mieux que dix mots de passe courts recyclés partout. Le recyclage est le talon d’Achille : une fuite sur un site, et c’est tout le reste qui tombe.

Pour ne pas transformer cela en cauchemar, un gestionnaire de mots de passe retient tout à la place de vos équipes, derrière un seul mot de passe maître. Plus de carnet sous le clavier, plus de fichier Excel partagé. C’est simple à déployer et cela change la vie au quotidien.

4. Des équipes qui savent flairer le piège

La porte d’entrée la plus fréquente n’est pas technique, elle est humaine. Un clic sur un faux courriel, un mot de passe partagé, une clé USB inconnue branchée. La majorité des attaques réussies passent par là.

Former vos collaborateurs n’a rien d’un cours magistral. Quelques modules courts, et de temps en temps une fausse campagne d’hameçonnage envoyée en interne pour mesurer qui clique, sans punir personne, juste pour progresser. Les dirigeants et les services financiers méritent une attention particulière : ce sont les cibles de la « fraude au président », ce courriel qui imite un patron pour réclamer un virement urgent.

Au-delà des bases : protéger en continu

Une fois ces fondations posées, on passe à la surveillance permanente. C’est là qu’un partenaire local prend tout son sens, parce que ces outils demandent à être exploités, pas seulement installés.

Le premier est l’EDR, pour « Endpoint Detection and Response », autrement dit la détection et la réponse sur les postes de travail. Là où un antivirus classique reconnaît les menaces déjà connues, par signature, l’EDR observe les comportements suspects sur vos machines : un programme qui se propage anormalement, qui tente d’aspirer des données, qui s’octroie des droits qu’il ne devrait pas avoir. Il peut isoler tout seul une machine compromise avant que le mal ne s’étende. En 2026, c’est devenu le minimum sérieux. Pour les organisations les plus exposées, santé, finance, marchés publics, on ajoute une supervision de sécurité : des analystes qui regardent les alertes en continu, font le tri entre vraie et fausse alerte, et interviennent. Chez Stratos, cette surveillance est assurée depuis Nouméa, par une équipe francophone au bon fuseau horaire, pas par un support à 16 000 km.

Et la conformité : RGPD, loi du pays, NIS2

En clair : si vous manipulez des données personnelles, vous avez des obligations légales, et elles s’appliquent bel et bien en Nouvelle-Calédonie. La loi Informatique et Libertés et la loi du pays sur la protection des données encadrent le traitement des données des résidents calédoniens. Le RGPD, le règlement général européen sur la protection des données, s’ajoute dès que votre activité touche des résidents de l’Union.

Concrètement, cela veut dire tenir un registre de vos traitements, informer les personnes concernées, sécuriser les données et signaler les incidents. À cela s’ajoute une directive européenne, NIS2, en cours de transposition. Elle peut vous concerner si vous exportez vers l’Union, si vous êtes filiale d’un groupe européen, ou si vous fournissez une entreprise déjà soumise à ces règles, qui vous les répercutera par contrat. Le sujet paraît lourd ; il se traite par étapes, et un accompagnement local vous dit d’abord, simplement, si vous êtes concerné et sous quels délais.

Foire aux questions

Suis-je vraiment une cible alors que je suis une petite entreprise à Nouméa ?

Oui, davantage que vous ne l’imaginez. Les attaquants ne vous ciblent pas nommément, mais leurs robots cherchent en permanence des systèmes mal protégés, partout. Sans double authentification sur vos comptes, avec un site web jamais mis à jour ou des sauvegardes jamais testées, vous devenez un fruit mûr, quelle que soit votre taille.

Combien faut-il dépenser pour se protéger correctement ?

Moins que vous ne le craignez pour les fondations. La double authentification, une bonne hygiène de mots de passe et la sensibilisation coûtent surtout du temps et de la méthode, pas un gros budget. Les coûts montent quand on ajoute la surveillance continue et la mise en conformité, qui s’adaptent à votre taille. À l’inverse, une seule attaque réussie peut représenter une part lourde du chiffre d’affaires annuel d’une PME.

Mes sauvegardes actuelles me protègent-elles d’un rançongiciel ?

Pas forcément. Les rançongiciels récents cherchent à chiffrer aussi vos sauvegardes dès qu’ils y accèdent par le réseau. Il vous faut au moins une copie hors ligne ou immuable, et une restauration testée pour de vrai. Une sauvegarde qu’on n’a jamais essayé de restaurer est une promesse, pas une garantie.

Quelle est la différence entre un antivirus et un EDR ?

L’antivirus reconnaît les menaces déjà connues, par signature. L’EDR, lui, repère les comportements anormaux même sans signature connue, et peut isoler automatiquement un poste compromis. C’est aujourd’hui le standard minimum dès qu’une entreprise a des données à protéger.

Le premier pas, concrètement

Si vous ne deviez retenir qu’une action après cette lecture : faites l’état des lieux, honnêtement, et activez la double authentification sur vos messageries dès cette semaine. Le reste se construit ensuite, sereinement, par ordre de priorité.

C’est exactement ce travail que nous menons avec les entreprises calédoniennes : un audit clair, un plan d’action classé par urgence, et un seul interlocuteur pour le mettre en œuvre, sur le territoire. Si vous voulez savoir où vous en êtes vraiment, le plus simple reste un échange avec Stratos pour faire le point sur votre situation.