SOC מנוהל או צוות פנימי: מה מגייסים ומה קונים

בקצרהSOC מנוהל מתאים לארגון שצריך ניטור רציף מסביב לשעון בלי לבנות משמרות מלאות, אבל הוא אינו מעביר את האחריות. גם כשהניטור אצל ספק MSSP או MDR, הארגון צריך בבית מי שמכיר את הסביבה, מקבל החלטות באירוע, מגדיר לספק מה חשוב ובודק שהוא עומד בהתחייבויות. ההחלטה נגזרת מהסיכון, מרגישות הנתונים ומהיכולת לגייס ולהחזיק אנליסטים.

למה השאלה עולה דווקא עכשיו

רוב הארגונים מגיעים לשאלת הניטור אחרי שמשהו מזיז אותם: דרישה של לקוח גדול, ביקורת של רגולטור, דרישה של חברת הביטוח או אירוע שזוהה מאוחר מדי. פתאום מתברר שהכלים קיימים, ההתראות נוצרות, ואף אחד לא מסתכל עליהן בלילה או בסוף השבוע.

בנקודה הזו עומדות שתי דרכים. אפשר לבנות צוות ניטור פנימי עם משמרות, ואפשר לקנות את השירות מספק חיצוני. ההחלטה נראית כספית, אבל בפועל היא שאלה של אחריות ושל כוח אדם: מי מכיר את המערכות, מי מקבל החלטה בשעה קשה, ומי יישאר בארגון בעוד כמה שנים.

כדאי לזכור שאין כאן בחירה אחת לתמיד. ארגונים רבים מתחילים אצל ספק, בונים בהדרגה יכולת פנימית ומחזירים חלק מהעבודה הביתה כשהם מבשילים. מה שחשוב הוא להחליט במודע, ולדעת מראש אילו תפקידים חייבים להיות בבית בכל אחד מהשלבים.

SOC מנוהל: המודלים שבשוק

המונח SOC מנוהל מכסה כמה מודלים שונים מאוד. ספק MSSP מתפעל בדרך כלל את מערכות הניטור ואת ה-SIEM ומעביר התראות מסוננות. ספק MDR מתמקד בזיהוי ובתגובה: הוא חוקר את ההתראה, מאמת אותה ולעיתים גם בולם את התוקף בעצמו, דרך כלי ה-EDR שמותקנים אצלכם.

בין שני הקצוות יש מודלים משולבים. בחלק מהארגונים הצוות הפנימי עובד בשעות היום ומרכז ניטור חיצוני מכסה את הלילה ואת סופי השבוע. באחרים הספק מטפל בדרג הראשון והצוות שבבית לוקח את החקירות העמוקות. כדאי לשאול כל ספק בדיוק איפה עובר הקו בין מה שהוא עושה לבין מה שחוזר אליכם.

שאלה נוספת שכדאי לברר מוקדם היא מי מחזיק בכלים. יש ספקים שמביאים את הפלטפורמה שלהם, ויש כאלה שעובדים על הכלים שהארגון כבר רכש. ההבדל משפיע על המחיר של החלפת ספק בעתיד ועל מה שהצוות הפנימי צריך לדעת לתפעל בעצמו.

מה נשאר בבית גם כשהניטור בחוץ

הספק רואה לוגים, אבל אינו מכיר את העסק. הוא לא יודע שהשרת שמתנהג מוזר מריץ את מערכת השכר, או שהמשתמש שמתחבר בלילה הוא מנהל שנמצא בחו״ל. ההקשר הזה נמצא רק אצלכם, ובלעדיו כל התראה הופכת לשאלה שחוזרת בטלפון.

לכן גם במודל חיצוני מלא, הארגון צריך בעלי תפקידים קבועים. מנהל אבטחת מידע שמגדיר מה נחשב קריטי וקובע את סדרי העדיפויות. אנליסט או מהנדס בכיר שמתחזק את כללי הזיהוי, מתחקר אירועים יחד עם הספק ומחזיר לו משוב. ומי שמוביל את התגובה כשמגיע אירוע אמיתי, כולל הקשר עם ההנהלה ועם הייעוץ המשפטי.

צוות פנימי: מתי הוא שווה את המאמץ

צוות ניטור משלכם נותן שליטה, היכרות עמוקה עם הסביבה וזמן תגובה קצר. הוא מתאים לארגונים עם נתונים רגישים במיוחד, עם רגולציה שדורשת שליטה ישירה, או עם סביבה מורכבת מכדי שגורם חיצוני ילמד אותה כמו שצריך.

המחיר הוא כוח אדם. משמרות מסביב לשעון דורשות צוות גדול מספיק כדי לכסות חופשות, מחלות ועזיבות. אנליסטים טובים מבוקשים מאוד, ורבים מהם עוברים תפקיד אחרי תקופה קצרה, לכן צריך לתכנן מסלול קידום, הדרכה והתמודדות עם השחיקה של עבודת לילה, ולא רק לגייס.

צוות פנימי גם אינו מבטל את הצורך בספקים. גם ארגון עם מרכז ניטור משלו נעזר לעיתים בצוות חיצוני לתגובה לאירועים גדולים, למודיעין איומים או לבדיקות חוסן תקופתיות. השאלה היא מה הליבה שאתם מחזיקים, ומה אתם קונים כשירות משלים.

איך בונים ממשק עבודה נכון עם הספק

מתחילים במסמך שמגדיר מה מעניין אתכם: אילו מערכות קריטיות, אילו אירועים מחייבים שיחת טלפון מיידית ואילו מספיקים בדוח. בלי ההגדרה הזו הספק ינטר לפי תבנית כללית, ואתם תקבלו הרבה רעש ומעט ערך.

ממשיכים בבעלות ברורה. לכל התראה שחוזרת מהספק צריך להיות שם של אדם בארגון שמקבל אותה ומחליט, עם מחליף לשעות שבהן הוא אינו זמין. כדאי לקבוע פגישת סקירה קבועה עם הספק, לעבור על אירועים שנסגרו ועל התראות שווא, ולעדכן יחד את כללי הזיהוי.

ולבסוף בודקים. מגדירים מדדי שירות בחוזה, מתרגלים תרחיש אירוע יחד עם הספק ומוודאים שהנתונים, הלוגים וכללי הזיהוי שייכים לכם ואפשר לקחת אותם אם מחליפים ספק. מי שמחזיק את הממשק הזה בארגון הוא לרוב בעל התפקיד הראשון שכדאי לגייס.

AI האנטרס: מגייסים את מי שמחזיק את הניטור בבית

ב-AI האנטרס אנחנו מגייסים את האנשים שמשלימים את התמונה, בין אם הניטור אצלכם ובין אם אצל ספק: אנליסטים בכל הדרגים, ראשי צוות, מומחי תגובה לאירועים ומהנדסי זיהוי. את הדרג המקצועי מפרט עמוד גיוס צוותי ההגנה והתגובה, ומי שמחפש את מי שמוביל את המדיניות ומדבר עם ההנהלה ימצא את העמוד על מנהלי אבטחת מידע ואנשי ציות.

אנחנו מתחילים בשיחת וידאו שבה מבינים את המודל שבחרתם ואת מה שנשאר באחריותכם, ומשם מגדירים את התפקיד. את המועמדים אנחנו בוחנים בשאלות מתוך אירועים אמיתיים, ואת הרקע בודקים בשיחות עם ממליצים שעבדו לצידם במשמרות ובאירועים.