Bezpečnostní operační centrum (SOC) je tým a zařízení, které monitoruje a reaguje na bezpečnostní incidenty. Ve vyspělých organizacích funguje 24 hodin denně. Analytici sledují dashboardy, třídí upozornění, vyšetřují anomálie a eskalují to, co je důležité. Bezpečnostní operační centrum (SOC) je v první linii. Když se něco stane, SOC to vidí jako první.

SOC se vyskytují v různých podobách. Specializované SOC je vlastněno a obsluhováno organizací. Spravované SOC zadává monitorování externí firmě. Hybridní model kombinuje obojí. Virtuální SOC používají vzdálené analytiky místo fyzické místnosti. Struktura je méně důležitá než kapacita. Dobré SOC má jasné eskalační cesty, zdokumentované postupy a metriky, které sledují výkon. Klíčovými čísly jsou průměrná doba detekce a průměrná doba reakce. SOC, které detekuje hrozby během několika minut, si vede dobře. Takové, které detekuje hrozby během několika dní, prohrává. Nejtěžší částí je personální obsazení. Syndrom vyhoření analytiků je běžný. Únava z pohotovosti vyhání lidi. Nejlepší SOC investují do automatizace, aby se snížila repetitivní práce, a do školení, aby se udržely dovednosti na kvalitě. Technologie pomáhají, ale rozdíl dělají lidé.

Funkce SOC

• Monitorování – sledujte bezpečnostní události nepřetržitě
• Triáž – vyhodnocování a prioritizace výstrah
• Vyšetřování – prozkoumání podezřelé aktivity
• Reakce – zvládání a náprava incidentů
• Hlášení – dokumentace toho, co se stalo a co bylo uděláno

SOC je tým, ne místnost. Monitory a dashboardy jsou méně důležité než lidé, kteří je sledují.