SOC to zdolność operacyjna, niekoniecznie fizyczne pomieszczenie: może być wewnętrzne, zewnętrzne, rozproszone między kilkoma lokalizacjami lub dostarczane w modelu hybrydowym.
SOC normalnie łączy telemetrię bezpieczeństwa, analityków, procedury dochodzeniowe, informacje o zagrożeniach i playbooki reakcyjne. Jego skuteczność zależy mniej od liczby posiadanych pulpitów niż od użytecznej widoczności, jasnych praw decyzyjnych, wykwalifikowanego personelu i zdolności bezpiecznego ograniczania zagrożeń.
Najważniejsze punkty
Główny celZamieniać sygnały bezpieczeństwa w priorytetyzowane dochodzenia i terminowe działania.
Typowe obowiązkiMonitoring, triage alertów, aktywne wyszukiwanie zagrożeń, koordynacja incydentów, inżynieria detekcji, raportowanie i ciągłe doskonalenie.
Modele operacyjneWewnętrzne, współdzielone (co-managed), zewnętrzne lub wspólne dla grupy organizacji.
Istotne ograniczenieSOC nie może wiarygodnie wykrywać aktywności, której jego narzędzia nie widzą, i nie powinno być oceniane tylko przez objętość alertów czy nominalne pokrycie 24/7.