A biztonsági műveleti központ az a csapat és létesítmény, amely figyeli és reagál a biztonsági incidensekre. A fejlett szervezetekben a nap 24 órájában működik. Az elemzők figyelik az irányítópultokat, riasztásokat rangsorolnak, anomáliákat vizsgálnak, és eszkalálják a fontos dolgokat. A SOC az első vonalban van. Amikor valami történik, a SOC látja meg először.

A SOC-ok különböző formájúak lehetnek. Egy dedikált SOC-t a szervezet birtokol és kezel. Egy menedzselt SOC kiszervezi a monitorozást egy harmadik félnek. A hibrid modell mindkettőt ötvözi. A virtuális SOC-ok távoli elemzőket használnak egy fizikai helyiség helyett. A struktúra kevésbé számít, mint a képességek. Egy jó SOC világos eszkalációs útvonalakkal, dokumentált forgatókönyvekkel és a teljesítményt nyomon követő mérőszámokkal rendelkezik. Az átlagos észlelési idő és az átlagos reagálási idő a kulcsfontosságú számok. Az a SOC, amely percek alatt észleli a fenyegetéseket, jól teljesít. Az, amelyik napokig tart, veszteséges. A személyzet biztosítása a legnehezebb rész. Az elemzői kiégés gyakori. A riasztási fáradtság kiszorítja az embereket. A legjobb SOC-ok az automatizálásba fektetnek be az ismétlődő munka csökkentése érdekében, és a képzésbe, hogy a készségek frissek maradjanak. A technológia segít, de az emberek teszik a különbséget.

SOC függvények

• Monitorozás – a biztonsági események folyamatos figyelése
• Triázs – riasztások értékelése és rangsorolása
• Nyomozás – gyanús tevékenység feltárása
• Reagálás – az incidensek megfékezése és elhárítása
• Jelentéstétel – dokumentálja, hogy mi történt és mit tettek

Egy SOC egy csapat, nem egy szoba. A monitorok és az irányítópultok kevésbé számítanak, mint az őket figyelő emberek.