Hvad laver en SOC konkret?
SOC’ens arbejde følger en fast kæde. Indsamling: logs og telemetri fra servere, pc’er, netværk, cloudtjenester og Microsoft 365 samles ét sted, typisk i et SIEM-system. Detektion: regler, trusselsefterretninger og adfærdsanalyse markerer det mistænkelige — et logon fra et uventet land, en proces der krypterer filer, en bruger der pludselig henter gigabytes data. Triage: en analytiker vurderer, om alarmen er reel. Respons: ved bekræftede hændelser isoleres maskiner, konti spærres, og angrebet stoppes — gerne automatisk via XDR, inden mennesket overhovedet har set alarmen. Læring: hændelsen dokumenteres, og detektionen forbedres.
Forskellen på med og uden SOC måles i tid: uden overvågning opdages indbrud typisk efter uger eller måneder — ofte først når ransomware-beskeden lander. Med en SOC tales der minutter til timer.
Hvem har brug for en SOC?
Ærligt svar: flere end dem, der har en i dag. Konkrete indikatorer på, at I er i målgruppen: I er omfattet af NIS2 eller DORA — begge kræver reelt evnen til at opdage og håndtere hændelser, hvilket forudsætter overvågning. I håndterer persondata eller forretningskritiske systemer, hvor nedetid eller læk rammer hårdt. I er leverandør til omfattede virksomheder eller det offentlige og mødes af krav i udbud. Eller jeres cyberforsikring stiller krav om detektion og respons — en stadig hyppigere betingelse.
Det, der ikke afgør behovet, er størrelse. Angriberne skelner ikke; automatiserede angreb rammer en virksomhed med 20 ansatte lige så villigt som en koncern.
Egen SOC eller managed SOC?
En intern 24/7-SOC kræver minimum 8-10 dedikerede medarbejdere alene til vagtdækningen — urealistisk under flere hundrede ansatte. Derfor vælger SMV’er og kommuner en managed SOC: overvågningen, analysen og responsen leveres som tjeneste, mens I beholder ejerskabet til beslutningerne. I betaler en forudsigelig månedspris i stedet for tre årsværk og får adgang til specialister, ingen enkelt SMV kan rekruttere selv.