Un SOC è una capacità operativa, non una semplice piattaforma.
Un Security Operations Center integra persone, processi, telemetria e strumenti per rilevare comportamenti anomali, valutarne il significato e attivare una risposta proporzionata. Raccogliere log senza casi d'uso, responsabilità ed escalation produce volume, non sicurezza.
NESQ progetta o affianca il presidio partendo dagli asset critici e dagli scenari di rischio. Le fonti vengono scelte in base alla visibilità necessaria: endpoint, identità, rete, cloud, posta, applicazioni e servizi esterni. Regole e playbook vengono mantenuti e verificati nel tempo.
Capacità principali
- raccolta, normalizzazione e qualità delle fonti log;
- use case di detection e regole di correlazione;
- triage, classificazione, arricchimento ed escalation;
- threat hunting basato su ipotesi e intelligence;
- supporto al contenimento e all'incident response;
- misurazione di copertura, tempi e qualità degli alert;
- miglioramento continuo dopo incidenti, test e cambiamenti.
Modelli di servizio
- SOC fisico o sala operativa dedicata;
- SOC gestito o co-managed con il team interno;
- MDR focalizzato su endpoint, identità, rete e cloud;
- supporto a SIEM, SOAR e detection engineering;
- AI SOC per automazioni e supporto analitico supervisionato;
- war room e rafforzamento temporaneo durante una crisi.
Governance e metriche
Il servizio definisce orari di copertura, livelli di severità, SLA di presa in carico, responsabilità e canali di escalation. Le metriche non si limitano al numero di alert: includono qualità delle fonti, falsi positivi, copertura degli scenari, tempo di rilevamento, tempo di contenimento e azioni di miglioramento concluse.