Et sikkerhetsoperasjonssenter er teamet og anlegget som overvåker og reagerer på sikkerhetshendelser. Det er åpent 24 timer i døgnet i modne organisasjoner. Analytikere ser på dashbord, sorterer varsler, undersøker avvik og eskalerer det som er viktig. SOC er frontlinjen. Når noe skjer, ser SOC det først.

SOC-er finnes i forskjellige former. En dedikert SOC eies og bemannes av organisasjonen. En administrert SOC outsourcer overvåking til en tredjepart. En hybridmodell kombinerer begge deler. Virtuelle SOC-er bruker eksterne analytikere i stedet for et fysisk rom. Strukturen betyr mindre enn kapasiteten. En god SOC har klare eskaleringsveier, dokumenterte strategier og målinger som sporer ytelse. Gjennomsnittlig tid til å oppdage og gjennomsnittlig tid til å reagere er nøkkeltallene. En SOC som oppdager trusler på minutter, gjør det bra. En som tar dager, taper penger. Bemanning er den vanskeligste delen. Analytikerutbrenthet er vanlig. Varslingstretthet driver folk ut. De beste SOC-ene investerer i automatisering for å redusere repeterende arbeid og opplæring for å holde ferdighetene skarpe. Teknologi hjelper, men mennesker utgjør forskjellen.

SOC-funksjoner

• Overvåking – følg med på sikkerhetshendelser døgnet rundt
• Triage – vurder og prioriter varsler
• Etterforskning – grave etter mistenkelig aktivitet
• Respons – begrense og utbedre hendelser
• Rapportering – dokumenter hva som skjedde og hva som ble gjort

En SOC er et team, ikke et rom. Skjermene og dashbordene betyr mindre enn menneskene som ser på dem.