Security operations center (SOC)

En SOC er en organisatorisk kapabilitet - mennesker, processer og teknologi - snarere end et lokale eller et produkt. Kernen er en løkke: opdage, triagere, undersøge, reagere og forbedre. Mange SOC'er er organiseret i niveauer: tier 1-analytikere triagerer indkomne alarmer efter runbooks og lukker falske positiver eller eskalerer; tier 2 står for dybere undersøgelse, afgrænsning og inddæmning; tier 3 dækker threat hunting, malwareanalyse, forensics og detection engineering. Niveaumodellen kritiseres i stigende grad, fordi den samler det gentagne, udbrændingsfarlige arbejde nederst og sinker eskalering, og mange teams erstatter tier 1-triage med SOAR-playbooks og automatisk berigelse, så mennesker bruger tiden på vurderinger frem for copy-paste.

Teknologistakken er typisk centreret om en SIEM til logkorrelation, EDR til telemetri og respons på endpoints, netværksdetektion (IDS/NDR), et sags- eller ticketsystem, threat intelligence-feeds og en SOAR-platform. Proceslaget består af use cases kortlagt til MITRE ATT&CK, playbooks for almindelige hændelsestyper (phishing, kompromitterede konti, forstadier til ransomware), eskaleringsmatricer med forretningen og vagtoverdragelser. SOC-CMM er en udbredt model til selvevaluering af en SOC's modenhed på tværs af domænerne forretning, mennesker, processer, teknologi og services.

Organiseringen er en strategisk beslutning. At bemande én plads døgnet rundt internt kræver efter en gængs tommelfingerregel omkring fem-seks analytikere, når vagter, ferie og uddannelse er dækket, hvilket ligger uden for rækkevidde for de fleste små og mellemstore organisationer. Alternativerne er managed security service providers (MSSP), der overvåger udstyr og videresender alarmer, managed detection and response (MDR), hvor leverandøren også undersøger og foretager inddæmning med egen eller kundens EDR, og hybride modeller med et internt team i dagtimerne og en leverandør om natten. Kontrakten skal fastlægge beføjelserne til at reagere - må leverandøren isolere en produktionsserver klokken 3 om natten? - samt ejerskab til logs, opbevaring og exitvilkår.

En SOC er noget andet end et CSIRT eller CERT, der koordinerer hændelseshåndtering, kommunikation og genopretning, når en hændelse er erklæret, selv om små organisationer slår rollerne sammen. NIST SP 800-61 Rev. 3 (2025) placerer hændelseshåndtering inden for funktionerne i NIST CSF 2.0 i stedet for som en selvstændig livscyklus. Efter NIS2 skal væsentlige og vigtige enheder sende en tidlig varsling til CSIRT'en eller den kompetente myndighed inden for 24 timer efter at have fået kendskab til en væsentlig hændelse og en hændelsesunderretning inden for 72 timer (art. 23); i praksis er det i SOC'en, at kendskabet starter uret. Typiske nøgletal er mean time to detect, mean time to respond, forholdet mellem alarmer og hændelser samt detektionsdækning, men jagt på hastighedstal alene kan friste til at lukke alarmer for tidligt.