Un centro de operaciones de seguridad (SOC) es el equipo y las instalaciones que supervisan y responden a incidentes de seguridad. En organizaciones consolidadas, funciona las 24 horas del día. Los analistas supervisan paneles de control, priorizan alertas, investigan anomalías y escalan los casos importantes. El SOC es la primera línea de defensa. Cuando ocurre un incidente, el SOC es el primero en detectarlo.

Los SOC se presentan en diferentes formatos. Un SOC dedicado es propiedad de la organización y está gestionado por ella. Un SOC gestionado subcontrata la monitorización a un tercero. Un modelo híbrido combina ambos. Los SOC virtuales utilizan analistas remotos en lugar de una sala física. La estructura importa menos que la capacidad. Un buen SOC cuenta con rutas de escalamiento claras, manuales de procedimientos documentados y métricas que permiten realizar un seguimiento del rendimiento. El tiempo medio de detección y el tiempo medio de respuesta son los indicadores clave. Un SOC que detecta amenazas en minutos está funcionando bien. Uno que tarda días está perdiendo. La gestión del personal es la parte más difícil. El agotamiento de los analistas es común. La fatiga por exceso de alertas provoca la marcha del personal. Los mejores SOC invierten en automatización para reducir el trabajo repetitivo y en formación para mantener las habilidades al día. La tecnología ayuda, pero las personas marcan la diferencia.

funciones SOC

• Supervisión: manténgase atento a los eventos de seguridad las 24 horas del día.
• Clasificación de alertas: evaluar y priorizar las alertas.
• Investigación: indagar en actividades sospechosas.
• Respuesta: contener y remediar incidentes.
• Informes: documentar lo que sucedió y lo que se hizo.

Un SOC es un equipo, no una sala. Los monitores y los paneles de control importan menos que las personas que los observan.