Een Security Operations Center (SOC) is het team en de faciliteit die beveiligingsincidenten monitort en erop reageert. In volwassen organisaties is het 24 uur per dag operationeel. Analisten houden dashboards in de gaten, beoordelen waarschuwingen, onderzoeken afwijkingen en escaleren wat belangrijk is. Het SOC is de frontlinie. Wanneer er iets gebeurt, ziet het SOC het als eerste.

SOC's bestaan ​​in verschillende vormen. Een dedicated SOC is eigendom van en wordt bemand door de organisatie zelf. Een managed SOC besteedt de monitoring uit aan een derde partij. Een hybride model combineert beide. Virtuele SOC's maken gebruik van analisten op afstand in plaats van een fysieke ruimte. De structuur is minder belangrijk dan de functionaliteit. Een goed SOC heeft duidelijke escalatieprocedures, gedocumenteerde draaiboeken en meetgegevens om de prestaties te volgen. De gemiddelde detectietijd (MTT) en de gemiddelde reactietijd (MTT) zijn de belangrijkste cijfers. Een SOC dat bedreigingen binnen enkele minuten detecteert, doet het goed. Een SOC dat er dagen over doet, presteert slecht. Personeelswerving is het moeilijkst. Burnout onder analisten komt vaak voor. Alertmoeheid zorgt ervoor dat mensen vertrekken. De beste SOC's investeren in automatisering om repetitief werk te verminderen en in training om de vaardigheden scherp te houden. Technologie helpt, maar mensen maken het verschil.

SOC-functies

• Monitoring — houd 24 uur per dag de beveiliging in de gaten.
• Triage — meldingen beoordelen en prioriteren
• Onderzoek — onderzoek verdachte activiteiten
• Reactie — incidenten indammen en verhelpen
• Rapportage — documenteer wat er is gebeurd en wat er is gedaan.

Een SOC is een team, geen ruimte. De monitoren en dashboards zijn minder belangrijk dan de mensen die ernaar kijken.