Bezpečnostné operačné centrum (SOC)

Čo to znamená

Bezpečnostné operačné centrum, anglicky security operations centre alebo SOC, je tím ľudí, procesov a nástrojov, ktorý nepretržite dohliada na bezpečnosť informačných systémov organizácie. Sleduje udalosti, vyhodnocuje upozornenia, rozlišuje falošné poplachy od skutočných útokov a pri incidente koordinuje reakciu.

SOC pracuje najmä s údajmi zo systému SIEM, ktorý zbiera záznamy z celej infraštruktúry, a z nástrojov EDR na koncových zariadeniach. Analytici sú zvyčajne rozdelení do úrovní: prvá úroveň triedi upozornenia, druhá skúma podozrivé prípady podrobne a tretia rieši zložité incidenty a aktívne vyhľadáva skryté hrozby.

SOC môže byť interný, keď ho firma buduje sama, alebo externý, poskytovaný ako služba. Existujú aj hybridné modely, keď interný tím rieši bežné veci a externý partner zabezpečuje nepretržitú službu a špecializované znalosti. Voľba závisí od veľkosti firmy, rizík a regulačných požiadaviek.

Ako to funguje v praxi

Vlastný SOC s nepretržitou prevádzkou si vyžaduje niekoľko analytikov na zmeny, nástroje a ich údržbu, čo je pre väčšinu malých a stredných firiem finančne nereálne. Preto sa nakupuje ako služba. Firma platí mesačný poplatok podľa počtu zariadení či objemu údajov a dostáva monitoring 24/7 aj pomoc pri incidentoch.

Pri výbere poskytovateľa odporúčame overiť, aké zdroje údajov dokáže sledovať, v akom čase reaguje na kritické upozornenia, či zasahuje aj aktívne, napríklad izoláciou napadnutého zariadenia, a ako komunikuje. Dôležitá je aj zhoda so ISO 27001 a skúsenosti s požiadavkami NIS2 na hlásenie incidentov.

Dohodu treba doplniť internými postupmi reakcie na incident: kto vo firme prijíma upozornenia, kto rozhoduje o odstavení systémov, kto komunikuje so zákazníkmi a úradmi. Aj najlepší externý SOC je bezmocný, ak firma v noci nikoho nezastihne. Služba SOC môže tiež zlepšiť podmienky kybernetického poistenia.

Na čo si dať pozor

Pozor na služby, ktoré sa nazývajú SOC, ale v skutočnosti len preposielajú automatické upozornenia bez ľudského vyhodnotenia. Firma potom dostáva stovky e-mailov, ktoré nikto nečíta. V zmluve má byť jasne uvedené, čo analytici robia, v akých lehotách a aké výstupy firma dostane.

SOC dohliada, ale nezabezpečí systém sám osebe. Ak firma neaktualizuje softvér, nemá zálohy alebo používa slabé heslá, SOC útok možno odhalí, ale nezabráni mu. Monitoring má zmysel ako súčasť celkového programu kybernetickej bezpečnosti, nie ako jeho náhrada.