Um centro de operações de segurança (SOC) é a equipa e a instalação que monitoriza e responde a incidentes de segurança. Nas organizações maduras, opera 24 horas por dia. Os analistas monitorizam os painéis de controlo, priorizam os alertas, investigam anomalias e encaminham os incidentes mais relevantes. O SOC é a linha da frente. Quando algo acontece, o SOC é o primeiro a ver.

Os SOC podem ter diferentes formatos. Um SOC dedicado é propriedade da organização e operado por esta. Um SOC gerido externaliza a monitorização para uma empresa especializada. Um modelo híbrido combina ambos. Os SOC virtuais utilizam analistas remotos em vez de uma sala física. A estrutura importa menos do que a capacidade. Um bom SOC possui fluxos de escalonamento claros, manuais de procedimentos documentados e métricas que monitorizam o desempenho. O tempo médio de deteção (MTDT) e o tempo médio de resposta (MTTR) são os principais indicadores. Um SOC que deteta ameaças em poucos minutos está a correr bem. Um que demora dias está a perder. A contratação de pessoal é a parte mais difícil. O esgotamento profissional dos analistas é comum. A fadiga provocada pelos alertas leva as pessoas a demitirem-se. Os melhores SOC investem na automatização para reduzir o trabalho repetitivo e na formação para manter as competências apuradas. A tecnologia ajuda, mas as pessoas fazem a diferença.

funções SOC

• Monitorização — esteja atento a eventos de segurança 24 horas por dia, 7 dias por semana.
• Triagem — avaliar e priorizar alertas
• Investigação — apurar atividades suspeitas
• Resposta — conter e remediar incidentes
• Relatório — documentar o que aconteceu e o que foi feito.

Um SOC é uma equipa, não uma sala. Os monitores e painéis de controlo importam menos do que as pessoas que os utilizam.