Un EDR déployé n'est pas une preuve. Sa couverture, si.
Chez NHOOD, la donnée de sécurité ne manquait pas. Elle était éparpillée : l'EDR (Endpoint Detection and Response) et l'outil de gestion de parc racontaient chacun une partie de l'histoire, sans CMDB (référentiel de configuration) pour faire le lien. Microsoft Sentinel aurait pu s'en charger, à condition d'écrire chaque requête KQL (Kusto Query Language) à la main. NHOOD a pris un autre chemin. Avec OverView, intégré par OverSOC, l'équipe sécurité pilote ses indicateurs au quotidien, a sécurisé deux migrations d'outils et garde ses preuves de conformité à portée de main. Après mise en concurrence, le contrat a été renouvelé.
Sébastien Lozé, Security Operations Manager chez NHOOD, a raconté ce projet lors du webinaire du 15 octobre 2026, dont le replay est en haut de la page.
Le contexte
Un acteur de l'immobilier, un SI qui doit rendre des comptes
NHOOD conçoit, transforme et fait vivre des lieux, avec une promesse en quatre mots : « des lieux en mieux ». Engagée dans une démarche ISO 27001, l'entreprise doit aujourd'hui montrer qu'elle maîtrise son système d'information. L'affirmer ne suffit plus.
À la manœuvre, Sébastien Lozé, Security Operations Manager. Il construit les indicateurs, anime les comités sécurité et suit la trajectoire de conformité. Et parce qu'il a gardé le goût de la technique, il met aussi les mains dans le moteur : sources, expressions, tableaux de bord.
| Le décor, en trois chiffres | ||
|---|---|---|
| 0 CMDB | Outil de parc dédié | Un achat envisagé, jamais engagé. |
| ISO 27001 | Preuves de conformité | Une exigence : prouver, pas déclarer. |
| 2e année | Avec OverView | Reconduit au terme de la première année. |
« Prouver sa maturité en disant "j'ai mis un EDR", c'est bien. Mais s'il n'est sur aucun asset, ça n'a pas de valeur. »
Les défis
Beaucoup de données, aucune vérité de référence
Au départ, la demande de NHOOD est claire : des indicateurs pour mesurer, vraiment, son niveau de sécurité. Et une base solide pour progresser, mois après mois.
Puis la réglementation s'invite dans l'équation. ISO 27001 ne demande pas la liste des outils achetés. La norme veut savoir sur quels assets ces outils tournent réellement.
Problème : la donnée est éclatée. L'EDR et l'outil de gestion de parc voient chacun leur bout du parc, et aucune CMDB ne vient recoller les morceaux. Sentinel et Elastic pourraient faire le travail, sur le papier. Encore faut-il écrire chaque indicateur à la main.
Limite 01 : un parc vu en morceaux. Chaque outil décrit sa part du parc. Les assets qu'aucun ne voit restent hors radar.
Limite 02 : des tableaux de bord réservés aux experts. Dans Microsoft Sentinel, chaque indicateur passe par une requête KQL. L'équipe s'y est essayée, et s'est heurtée à la complexité.
Ce que l'équipe cherchait vraiment : mesurer sa sécurité plutôt que la supposer. Et disposer des preuves que réclament les auditeurs.
« On pourrait faire nos dashboards directement dans Sentinel. On a déjà essayé, on a du mal. C'est beaucoup plus technique. »
Le choix d'OverView
Un outil éprouvé, un POC, trois critères de décision
Quand Sébastien Lozé arrive chez NHOOD, la discussion avec OverSOC est déjà ouverte. Lui connaît bien l'outil : il suit OverView depuis ses toutes premières versions et l'a déjà intégré lors d'une mission précédente. Son retour d'expérience conforte le choix.
NHOOD lance un POC (preuve de concept). L'équipe OverView accompagne le projet et prend l'intégration en main de A à Z. Trois critères font pencher la balance.
- Des KPI sans code. Construire un indicateur sans requête KQL, puis le suivre au quotidien.
- Une surcouche, pas un remplacement. OverView se branche sur l'EDR et le MDM (Mobile Device Management) en place. Aucun outil à remplacer.
- Un coût maîtrisé. Un tarif proportionné au service rendu, sans commune mesure avec un SIEM (gestion des informations et des événements de sécurité) ou une plateforme d'observabilité.
| Répartition des rôles | |
|---|---|
| NHOOD, sécurité | Expression des besoins, création des KPI, comités sécurité. |
| NHOOD, poste de travail | Consultation de dashboards dédiés aux équipes devices. |
| OverSOC | POC, intégration complète des sources, support. |
Du déclaratif à la preuve : prouver, pas déclarer. La question n'est plus de savoir si un outil est déployé, mais jusqu'où il couvre le parc. Part des postes protégés, chiffrés, à jour : la maturité se démontre en chiffres. Chaque audit ISO 27001 pose la même question, et les réglementations à venir relèveront encore le niveau d'exigence.
La mise en œuvre
Une intégration clé en main, des sources sous contrôle
OverSOC prend en charge toute l'intégration, et chaque source ajoutée est documentée pas à pas. L'équipe sécurité de NHOOD garde ainsi son énergie pour la vraie question : que veut-elle mesurer ?
Une fois les connecteurs en place, OverView prévient dès qu'une source ne s'est pas synchronisée, et permet de la relancer. Un détail ? Pas pour un responsable sécurité : un indicateur ne vaut que par la fraîcheur de la donnée qui l'alimente.
La stack de NHOOD connectée à OverView : SentinelOne (EDR), CrowdStrike (EDR), Intune (MDM), LANDesk (parc).
| Étapes du projet | |
|---|---|
| 01 · POC | Validation sur les sources de NHOOD |
| 02 · Intégration | Réalisée par OverSOC, de bout en bout |
| 03 · KPI de sécurité | Créés et pilotés par l'équipe sécurité |
| 04 · Renouvellement | Deuxième année engagée |
| Avant OverView | Désormais avec OverView | Ce que cela permet |
|---|---|---|
| Une donnée par outil, sans vue d'ensemble | Un inventaire unifié et dédupliqué | Une CMDB cyber sans outil dédié |
| Des dashboards à écrire en KQL | Des KPI créés dans la journée | Des comités sécurité préparés plus vite |
| Des synchronisations invisibles | Une alerte par source non synchronisée, relance possible | Des chiffres fondés sur une donnée à jour |
« Les intégrations avec les outils, j'ai trouvé ça très simple. Tout est bien documenté quand on ajoute une source de données. »
Les résultats
Trois usages, dont deux imprévus
NHOOD était venu chercher des KPI de sécurité. Les équipes ont trouvé un peu plus. En chemin, OverView a comblé l'absence de CMDB, puis sécurisé deux migrations d'outils majeures. Deux bénéfices qui ne figuraient dans aucun cahier des charges.
Usage prévu : les KPI de sécurité, au jour le jour. Créés et pilotés en continu. Ils alimentent comités sécurité et preuves d'audit.
Bonus 01 : une CMDB cyber, sans CMDB. OverView agrège et unifie la donnée. NHOOD connaît son parc d'actifs.
Bonus 02 : des migrations sans perte de couverture. Ancien et nouvel outil connectés en parallèle. La couverture reste au moins iso.
Le cas d'usage à retenir : changer d'EDR sans perdre la couverture de vue. CrowdStrike → SentinelOne. Pendant la bascule, l'ancien et le nouvel EDR sont connectés en parallèle dans OverView. L'équipe suit le déploiement asset par asset et vérifie que le nouvel outil couvre au moins le périmètre de l'ancien. Les outils changent, le référentiel reste. Même méthode pour la gestion de parc : LANDesk → Microsoft Intune.
Face à Sentinel et Elastic, la simplicité a fait la différence
Chez NHOOD, aucun outil n'est reconduit par habitude. Avant de renouveler, l'équipe a mis OverView face aux solutions déjà présentes en interne : Microsoft Sentinel, le SIEM de l'entreprise, et Elastic, utilisé pour l'observabilité.
Sentinel avait un sérieux atout : il était déjà payé. Sur le papier, il offrait les mêmes tableaux de bord. Dans la réalité, chaque indicateur se code en KQL. Elastic impose la même gymnastique, avec un coût de stockage en plus. Verdict : OverView reste.
| OverView | Microsoft Sentinel | Elastic | |
|---|---|---|---|
| Créer un indicateur | Dans la journée, sans code | Une semaine, en KQL | Dashboards à écrire |
| Historique | Toute la durée du contrat (offre Entreprise) | 90 jours | Rétention facturée en plus |
| Profil requis | Gouvernance ou technique | 100% technique | Technique |
| Coût | Cohérent avec le service | Déjà acquis, coûteux en temps | Plus coûteux |
Source : retour d'expérience de NHOOD, sur son propre périmètre.
« Avec OverView, je crée un KPI ou un dashboard dans la journée. Avec Microsoft Sentinel, j'en ai pour la semaine. Et encore, je n'aurais pas le résultat. »
Ce que l'histoire de NHOOD nous apprend
Au-delà de l'outil, l'expérience de NHOOD dessine une méthode. Quatre enseignements pour toute équipe sécurité qui veut passer de l'intuition à la preuve.
Partir des outils existants. Sans CMDB, NHOOD a constitué un inventaire de référence à partir de l'existant : EDR et MDM. Aucun nouvel outil de parc n'a été nécessaire.
Distinguer deux publics. Le RSSI ou la GRC (gouvernance, risque et conformité) formule le besoin, le profil technique le traduit en indicateurs. Un outil qui ne parle qu'à l'un des deux finit sous-utilisé.
Ne pas démarrer sur une page blanche. Face à un tableau de bord vide, l'adoption cale. Un socle d'indicateurs standards change la donne : couverture EDR, correctifs, chiffrement.
Suivre une migration par la donnée. Brancher en parallèle l'outil sortant et l'outil entrant démontre, asset par asset, qu'aucune couverture n'a été perdue.
Ce que NHOOD attend de la suite
IA : du besoin à l'indicateur. Formuler un besoin en langage naturel, par exemple la couverture EDR des postes de travail et des Mac, et obtenir l'indicateur. C'est maintenant possible directement dans OverView avec Workbench.
Droits : des vues par rôle. Donner à chaque équipe l'accès à ses seuls tableaux de bord. Un prérequis pour les grands comptes.
Pour situer votre propre parc : le simulateur d'indicateurs liste, à partir des outils que vous avez déjà, ce qu'OverView saurait calculer en les croisant.
Sources : entretien NHOOD × OverSOC avec Sébastien Lozé, Security Operations Manager chez NHOOD, 15 juillet 2026, et webinaire du 15 octobre 2026. OverSOC, OverView : www.oversoc.com/fr/. NHOOD : www.nhood.com.