Comment faire un audit de cybersécurité en Nouvelle-Calédonie ?
Les étapes en un coup d'œil
Prestataires d'audit de cybersécurité vérifiés
Chaque offre ci-dessous est attestée par le site officiel du prestataire, relu le 30 septembre 2026. L'ordre n'est pas un classement : les prestataires qui couvrent le plus de types d'audit passent en premier, à égalité l'ordre est alphabétique. Aucun prestataire n'a payé pour figurer ici.
-
ADDONouméa
- Audit technique
- Conseil en gouvernance
« Analyse de votre système d'information pour identifier vulnérabilités et faiblesses. »
- Pour
- Organisations publiques et privées
- Prestations
- Analyse des vulnérabilités du système d'information, Tests d'intrusion (posture de hacker), Gouvernance SSI, politiques de sécurité, plans de continuité, Formations à la gestion d'incidents
-
BARRAU BUREAU (BBS)Nouméa
- Audit technique
- Conseil
« Analyse de risque et de vulnérabilités »
- Pour
- Organisations de toutes tailles
- Prestations
- Analyse de risque et de vulnérabilités, Conseil, audit, accompagnement, Label ExpertCyber (Cybermalveillance.gouv.fr)
-
CYBERCALNouméa
- Conseil en gouvernance
- RSSI délégué
« Rédaction de politiques et procédures de sécurité »
- Pour
- Entreprises
- Prestations
- RSSI délégué, DPO délégué (RGPD), Rédaction de politiques et procédures de sécurité
-
NOVATECHNouméa
- Audit humain
- Protection
« Simulations de Phishing réalistes et locales »
- Pour
- Entreprises et administrations
- Prestations
- Simulations de phishing, Formation anti-phishing, Rapports pour cyber-assurance
-
OPSSINouméa
- Audit organisationnel
- Audit humain
« Diagnostic et cartographie »
- Pour
- Organisations
- Prestations
- Diagnostic et cartographie du SI, Sensibilisation des équipes, Conseil stratégique
-
STRATOSNouméa
- Audit technique
- Protection
« Audit, EDR managé, firewall NGFW, formation des équipes. »
- Pour
- Entreprises
- Prestations
- Audit de sécurité, Formation des équipes, Accompagnement RGPD et bonnes pratiques ANSSI
-
- Audit de conformité
« Spécialiste du RGPD et des normes internationales, elle accompagne les entreprises dans leur mise en conformité. »
- Pour
- Entreprises
- Prestations
- Mise en conformité RGPD, Normes internationales
-
CODEVENouméa
- Audit technique
« Audit de sécurité : mots de passe, sauvegardes, antivirus, MFA, accès distants »
- Pour
- TPE et PME
- Prestations
- Audit IT : mots de passe, sauvegardes, antivirus, MFA, accès distants
-
IPOPNouméa
- Audit technique
« Audit et conseil de vos systèmes d'information. »
- Pour
- Entreprises
- Prestations
- Audit et conseil des systèmes d'information, Audit d'infrastructure réseau
Le parcours détaillé
1. Définir le périmètre et l'objectif
Écrivez ce qui est audité (postes, serveurs, réseau, messagerie, site web, applications cloud, sites distants) et pourquoi : bilan général, exigence d'un client ou d'un assureur, préparation d'une conformité RGPD, vérification après un incident.
Pourquoi - Sans périmètre écrit, les devis ne sont pas comparables et l'audit risque de laisser de côté ce qui compte.
2. Faire un premier état des lieux avec le guide de l'ANSSI
Passez en revue les 42 mesures du guide d'hygiène informatique de l'ANSSI : inventaire du parc, comptes et mots de passe, mises à jour, sauvegardes, accès distants. Notez ce qui est en place et ce qui ne l'est pas.
Pourquoi - Selon l'ANSSI, ces mesures forment le socle minimum pour protéger les informations d'une organisation : l'auditeur partira d'une base déjà documentée.
Source : ANSSI - Guide d'hygiène informatique
3. Choisir le type d'audit
Audit de configuration pour les équipements et comptes, recherche de vulnérabilités ou test d'intrusion pour les systèmes exposés, simulation de phishing pour les comportements, audit organisationnel pour les procédures et les responsabilités. Combinez-les selon l'objectif.
Pourquoi - Un test d'intrusion ne dit rien des procédures, et un audit organisationnel ne trouve pas une faille technique : chaque type répond à une question différente.
4. Encadrer les tests par écrit
Signez une convention d'audit qui fixe le périmètre, les dates, les techniques autorisées, les personnes à prévenir et la confidentialité des résultats. Prévenez votre hébergeur si ses serveurs sont testés.
Pourquoi - Un test d'intrusion non autorisé par écrit ressemble à une attaque, et le rapport contient des informations sensibles sur vos failles.
5. Exploiter le rapport
Demandez un rapport avec une synthèse pour la direction, les vulnérabilités classées par gravité et un plan d'action chiffré. Traitez d'abord les failles critiques, puis planifiez un contrôle de suivi.
Pourquoi - Un audit n'améliore la sécurité que si ses recommandations sont appliquées et vérifiées.
Selon votre situation
Faire le point sans RSSI en interne
Une PME sans responsable sécurité peut commencer par un audit de configuration et un diagnostic organisationnel, puis confier le suivi à un RSSI délégué.
Répondre à un client ou à un assureur
Un grand donneur d'ordre ou un assureur peut demander un questionnaire de sécurité. Un audit récent et son plan d'action permettent d'y répondre de façon documentée.
Tester la vigilance des salariés
Une simulation de phishing mesure le taux de clics sur de faux messages, puis sert de support à une sensibilisation ciblée.
Vérifier un site web ou une application exposée
Un test d'intrusion simule une attaque réelle sur un site, un extranet ou une application accessible depuis internet, dans les limites fixées par la convention.
Quel audit pour quelle question ?
| Type d'audit | Question posée | Méthode | Livrable |
|---|---|---|---|
| Audit de configuration | Mes équipements sont-ils bien paramétrés ? | Revue des postes, serveurs, pare-feu, comptes | Écarts par rapport aux bonnes pratiques |
| Recherche de vulnérabilités | Quelles failles connues sont présentes ? | Scan des systèmes internes et exposés | Liste des failles classées par gravité |
| Test d'intrusion | Un attaquant peut-il entrer ? | Attaque simulée, autorisée par écrit | Scénarios d'attaque réussis et correctifs |
| Simulation de phishing | Mes salariés cliquent-ils ? | Faux messages envoyés aux équipes | Taux de clics, actions de sensibilisation |
| Audit organisationnel | Qui fait quoi en cas de problème ? | Entretiens, revue des procédures | Politique de sécurité, plan d'action |
Ce qui change en Nouvelle-Calédonie
La loi Informatique et Libertés s'applique
Elle s'applique en Nouvelle-Calédonie depuis le 1er juin 2019 : un audit peut intégrer la protection des données personnelles traitées par l'entreprise.
Source : CNIL - Loi Informatique et Libertés et RGPD : ce qui change pour l'outre-mer
Un label national accessible localement
Le label ExpertCyber de Cybermalveillance.gouv.fr distingue des prestataires sur la sécurisation des entreprises. Un des prestataires vérifiés à Nouméa l'affiche.
Source : BBS - Label ExpertCyber
Des accès distants à surveiller
Les entreprises calédoniennes s'appuient souvent sur des éditeurs et des prestataires basés à l'étranger qui se connectent à distance : l'audit vérifie ces accès et qui les détient.
Des ressources publiques gratuites
Le guide d'hygiène informatique de l'ANSSI et ses 42 mesures sont téléchargeables librement et servent de grille d'auto-évaluation avant l'audit.
Source : ANSSI - Guide d'hygiène informatique
Bien choisir son prestataire
- Un périmètre et une méthode décrits dans la proposition
- Une convention d'audit écrite avant tout test
- Des certifications ou un label affichés et vérifiables
- Un exemple de rapport anonymisé
- Un accompagnement proposé pour appliquer le plan d'action
Erreurs fréquentes à éviter
- Lancer un audit sans périmètre écrit
- Confier l'audit au prestataire qui gère déjà l'informatique, sans regard extérieur
- Oublier les accès distants des éditeurs et prestataires
- Ranger le rapport sans plan d'action ni contrôle de suivi
Ce qui fait varier le prix
Un audit se chiffre en jours de travail de l'auditeur. Le nombre de jours dépend surtout du périmètre et des types d'audit retenus.
- Le nombre de postes, de serveurs et de sites
- Les applications et sites web exposés à tester
- Le type d'audit (configuration, test d'intrusion, organisationnel)
- Le nombre de salariés visés par une simulation de phishing
- Le niveau de détail du rapport et l'accompagnement après l'audit
Préparer sa demande de devis
Préparez ces informations avant de consulter un prestataire. Vous obtiendrez des propositions comparables entre elles.
- Objectif
- bilan général, demande d'un client ou d'un assureur, conformité, suite à un incident
- Périmètre
- nombre de postes et serveurs, sites, messagerie, applications cloud, site web
- Type d'audit envisagé
- configuration, test d'intrusion, phishing, organisationnel
- Prestataires tiers
- infogérant, hébergeur, éditeurs qui accèdent à distance
- Contraintes
- horaires de test, systèmes à ne pas interrompre, confidentialité
- Échéance
- date à laquelle le rapport est attendu