Quali vantaggi offre il SOC a un’azienda?

Per le organizzazioni che sono esposte al rischio di attacchi informatici, il SOC (cioè il Security Operation Center) costituisce un asset critico. È fondamentale poterne fruire, a prescindere dal fatto che esso venga creato in azienda o utilizzato come servizio gestito (ed esistono anche soluzioni intermedie e ibride). Quel che conta più di tutto, poi, è fare in modo che il SOC cooperi con le strutture nazionali analoghe. Ma che cos’è di preciso un SOC? Esso può essere definito come una struttura nella quale vengono centralizzate le varie informazioni che riguardano lo stato di sicurezza dell’IT di un’organizzazione. Se il SOC fa parte di un MSSP, cioè di un Managed Security Service Provider, a essere gestita è la sicurezza di più aziende.

Come implementare un SOC

Creare e mantenere un soc non è semplice, e presuppone il supporto dei livelli più alti di un’organizzazione. È importante riuscire a cogliere le diverse opportunità correlate ai servizi che il SOC mette a disposizione, ma perché ciò avvenga è necessario che la sua operatività venga curata in maniera ottimale. Un SOC è formato da tecnologie e persone, oltre che da processi; le dimensioni variano a seconda dell’azienda e delle necessità di gestione della sicurezza informatica a essa correlate. Nel caso delle aziende di dimensioni maggiori, è auspicabile che il SOC sia interno, mentre la soluzione ideale per le PMI consiste nel fare riferimento a SOC che fanno parte dei Managed Security Services.

Il controllo costante dei dati

Tutte le aziende, a prescindere dalle loro dimensioni, al giorno d’oggi hanno la necessità di qualcuno che si occupi di tenere monitorato in maniera costante ciò che si verifica nei traffici dei dati che riguardano le loro tecnologie, i loro processi e i loro utenti. La sicurezza perimetrale da sola non basta più: ciò vuol dire che non è più sufficiente installare dei firewall per sentirsi protetti dai pericoli. Ora gli attacchi informatici possono colpire il personale di un’azienda e le sue risorse IT in maniera imprevedibile, soprattutto con la diffusione dello smart working e del lavoro in mobilità; ne scaturiscono incidenti in grado di generare danni molto gravi non solo dal punto di vista economico, ma anche sul piano legale, oltre che in termini di immagine.

Quali servizi garantisce un SOC

La rilevazione delle anomalie e la raccolta delle informazioni sui traffici di dati sono due dei più importanti servizi che vengono messi a disposizione da un SOC. Il SOC Level 1, in particolare, è chiamato a identificare le anomalie che possono avvenire nei passaggi di dati tenendo conto di quanto sia vulnerabile attualmente il concetto di perimetro aziendale. Si chiamano SIEM (acronimo di Security Information and Event Management) le soluzioni che raccolgono e selezionano le informazioni relative ai traffici di dati che giungono dagli apparati di network, dai sistemi di sicurezza, dagli endpoint e dai server dell’IT aziendale. I SIEM, in pratica, generano dei security alert che vengono poi confrontati con informazioni in arrivo dal mondo esterno: per esempio la scoperta recente di vulnerabilità di software, gli attacchi in corso, i malware nuovi, e così via.

I sistemi automatizzati

Sempre più di frequente, tale matching viene effettuato da sistemi automatizzati che sono configurati dagli operatori del team del SOC: accanto a rilevamento e monitoraggio, quindi, si adotta un approccio di prevenzione. Gli addetti, prendendo in esame le segnalazioni che le tecnologie hanno filtrato, sono in grado di eseguire una sorta di triage degli eventi e stabiliscono se è necessario aprire un ticket che faccia riferimento al team di incident response, a cui dovrà essere inviato un report appropriato, o se è possibile operare tramite il Security Device Management una remediation.

Che cosa fa il team di incident response

Quando si parla di incident response si fa riferimento a un servizio che prevede l’analisi delle segnalazioni provenienti dal SOC 1: esse vengono integrate con ulteriori informazioni di thread intelligence. A quel punto possono essere definite le attività di remediation, che prevedono il coinvolgimento degli analisti del SOC 1 e degli addetti che gestiscono i sistemi IT, capaci di trovare una soluzione a problemi di configuration management e di fault management. Così, si possono attuare tutti i cambiamenti suggeriti.