安全營運中心（SOC）是負責監控和回應安全事件的團隊和設施。在成熟的組織中，SOC 全天候 24 小時運作。分析師監控儀錶板、對警報進行分類、調查異常情況，並將重要事件回報。 SOC 是安全的第一道防線。一旦發生安全事件，SOC 總是先發現。

安全營運中心 (SOC) 的形式多種多樣。獨立的 SOC 由組織擁有並配備人員。託管式 SOC 將監控外包給第三方。混合模式則結合了兩者。虛擬 SOC 使用遠端分析師而非實體機房。相較之下，組織架構的重要性遠不及能力。優秀的 SOC 應具備清晰的升級路徑、完善的文檔化操作手冊以及用於追蹤績效的指標。平均檢測時間和平均反應時間是關鍵指標。能夠在幾分鐘內偵測到威脅的 SOC 表現出色，而需要數天才能偵測到威脅的 SOC 則表現不佳。人員配備是最困難的部分。分析師倦怠現象普遍存在。警報疲勞會導致人員流失。最佳 SOC 會投資自動化以減少重複性工作，並透過培訓保持技能精湛。技術固然重要，但人才才是關鍵。

SoC 功能

• 監控－全天候關注安全事件
• 分類－評估警報並確定其優先級
• 調查－深入挖掘可疑活動
• 因應措施－控制和補救事件
• 報告－記錄發生了什麼事以及做了什麼。

安全營運中心（SOC）是一個團隊，而不是一個房間。監視器和儀表板遠不如觀察它們的人重要。