Budowa SOC i kompetencji cyberbezpieczeństwa w Twojej organizacji

Projektujemy i uruchamiamy SOC w Twojej organizacji: od koncepcji i platformy, przez procesy i playbooki, po szkolenie zespołu. Usługa jest przeznaczona dla organizacji publicznych i regulowanych, które chcą utrzymać dane i monitoring we własnej infrastrukturze, np. na platformie SecureVisio wdrażanej on-premise, a także dla firm prywatnych szukających rozwiązania on-premise lub wdrożenia SIEMaaS.

Umów bezpłatną konsultację

+1700

klientów

+115

inżynierów

+90

partnerów technologicznych

Czym jest budowa SOC w organizacji i kiedy ma sens?

Budowa SOC w organizacji oznacza uruchomienie centrum operacji bezpieczeństwa pod kontrolą klienta, z jego platformą, procesami i zespołem. Własny lub hybrydowy SOC ma sens tam, gdzie dane, wymogi regulacyjne albo środowisko wymagają pełnej kontroli; w pozostałych przypadkach szybciej do ochrony prowadzi SOC zarządzany. Wymogi ustawy o KSC obejmują ciągłe monitorowanie i reagowanie na incydenty, a model realizacji zależy od ryzyka i zasobów organizacji.

Dla kogo własny lub hybrydowy SOC ma sens

Dotyczy to w szczególności jednostek administracji publicznej i samorządu oraz podmiotów objętych ustawą o KSC, a także każdej organizacji, w której zachodzi któraś z poniższych przesłanek.

Wymogi regulacyjne i ochrona informacji

W części organizacji przepisy lub zasady ochrony informacji ograniczają powierzenie monitoringu podmiotowi zewnętrznemu. SOC działa wtedy w infrastrukturze organizacji i pod jej nadzorem.

Środowiska odizolowane

W sieciach odizolowanych od internetu i w środowiskach OT dostęp zewnętrzny do danych o zdarzeniach jest ograniczony lub wykluczony, więc SOC musi działać na miejscu.

Kontrola nad danymi i regułami wykrywania

Organizacja decyduje, gdzie przechowywane są logi, kto ma do nich dostęp i jak zmieniane są reguły wykrywania zagrożeń.

Istniejący zespół bezpieczeństwa, NOC lub CERT

Gdy organizacja ma już zespół bezpieczeństwa, centrum operacji sieciowych albo CERT, wystarczy dobudować brakujące komponenty i uporządkować procesy, zamiast zaczynać od zera.

Długofalowa strategia kompetencji

Część organizacji traktuje kompetencje SOC jako element własnej strategii i buduje je własnym zespołem, wspieranym przez partnera na starcie.

Gdy żadna z tych przesłanek nie dotyczy organizacji, monitoring, analizę i reagowanie przejmuje SOC zarządzany Trecom. Wybór między modelem własnym, hybrydowym i zarządzanym opisuje poradnik o wyborze modelu SOC.

Co obejmuje budowa SOC z Trecomem?

Budowa SOC z Trecomem kończy się działającym centrum operacji bezpieczeństwa: z platformą, procesami i zespołem klienta gotowym do pracy. Zakres dobieramy do usług, jakie SOC ma świadczyć w organizacji.

Koncepcja i architektura

Zakres usług SOC, model organizacyjny, wymagania wobec platformy i źródeł danych oraz podział odpowiedzialności między klientem a Trecomem.

Platforma i źródła danych

Wdrożenie platformy SIEM z automatyzacją reakcji i analizą zachowań użytkowników oraz podłączenie źródeł: syslog, API oraz, w przypadku SecureVisio, agent XDR dla stacji roboczych i serwerów. Platforma zależy od wyników warsztatu: SecureVisio albo rozwiązanie, które organizacja już posiada.

Procesy i playbooki

Model obsługi incydentów, ścieżki eskalacji i playbooki reagowania, w tym raportowanie do CSIRT: wstępne zgłoszenie w 24 godziny i raport szczegółowy w 72 godziny.

Inżynieria detekcji

Reguły wykrywania dopasowane do środowiska klienta, redukcja fałszywych alarmów i bieżąca aktualizacja w odpowiedzi na nowe zagrożenia. Od jakości reguł zależy, czy SOC wychwytuje zagrożenia, czy tylko zbiera logi.

Zespół i kompetencje

Szkolenie zespołu klienta i transfer wiedzy do osób, które będą prowadzić SOC.

Uruchomienie i strojenie

Testy operacyjne i strojenie reguł na rzeczywistym ruchu przed uruchomieniem SOC.

Metodykę budowy SOC opisuje poradnik o budowie SOC w siedmiu krokach, a pułapki, które organizacje odkrywają dopiero po wdrożeniu, poradnik o doświadczeniach po wdrożeniu SOC.

Jak przebiega współpraca przy budowie SOC i kto za co odpowiada?

Projekt przebiega w pięciu krokach, od warsztatu po przekazanie lub współprowadzenie SOC. Podział odpowiedzialności zależy od dojrzałości organizacji: przy doradztwie SOC budowę i prowadzenie realizuje klient, przy budowie z przekazaniem Trecom prowadzi SOC razem z zespołem klienta i oddaje zadania etapami, a przy współprowadzeniu obie strony dzielą stałą obsługę.

Przebieg projektu

Pełny przebieg obejmuje budowę z przekazaniem i współprowadzenie. Przy doradztwie Trecom przygotowuje koncepcję i nadzoruje wdrożenie, a SOC uruchamia i prowadzi klient.

1

Warsztat i analiza potrzeb

Ustalamy usługi, jakie SOC ma świadczyć, zasoby krytyczne, źródła danych i ograniczenia środowiska.
2

Koncepcja i podział odpowiedzialności

Opisujemy model organizacyjny, platformę i procesy oraz ustalamy, co robi Trecom, a co zespół klienta.
3

Wdrożenie platformy i procesów

Instalujemy platformę, integrujemy źródła danych, przygotowujemy reguły wykrywania, playbooki i procedury.
4

Uruchomienie z pracą wspólną

Zespół klienta pracuje razem z analitykami Trecomu. Reguły są testowane i strojone na rzeczywistym ruchu.
5

Przekazanie lub współprowadzenie

Zespół klienta przejmuje SOC albo prowadzi go wspólnie z Trecomem, zależnie od wybranej formy.

Trzy formy współpracy

Formy różnią się tym, ile zadań prowadzi Trecom i kiedy zespół klienta przechodzi do samodzielnej pracy.

Doradztwo SOC i nadzór nad budową

Trecom: przygotowuje koncepcję i architekturę, nadzoruje wdrożenie i potwierdza gotowość operacyjną.

Klient: realizuje wdrożenie i prowadzi SOC własnym zespołem.

Budowa z przekazaniem

Trecom: buduje platformę i procesy, prowadzi SOC razem z zespołem klienta i stopniowo przekazuje kolejne zadania.

Klient: przejmuje obowiązki etapami, aż do pełnej samodzielności.

Współprowadzenie SOC

Trecom: prowadzi część stałej obsługi SOC, np. poza godzinami pracy albo wybrane linie wsparcia.

Klient: prowadzi pozostałą część, np. w godzinach biurowych.

Różnice między modelem wewnętrznym a usługowym, w tym dostęp do specjalistów, skalowalność i kontrolę nad procesami, opisuje poradnik o SOC wewnętrznym i SOC as a Service.

Na jakiej platformie zbudować SOC pod własną kontrolą?

Dla jednostek publicznych Trecom proponuje SecureVisio, polską platformę, którą można wdrożyć on-premise, także w sieci odizolowanej od internetu. Trecom jest autoryzowanym partnerem SecureVisio, a SOC Trecomu pracuje na tej platformie.

Kryteria wyboru platformy SOC i odpowiedź SecureVisio
Kryterium	Co sprawdzić u każdego dostawcy	SecureVisio
Tryb wdrożenia	Czy platforma działa w infrastrukturze organizacji, także bez dostępu do internetu?	Wdrożenie on-premise lub w pełnej izolacji od internetu (air-gap), obok opcji chmury europejskiej.
Kontrola nad danymi	Gdzie leżą dane o zdarzeniach, jakiemu prawu podlega dostawca i kto ma nad nimi realną kontrolę? Jurysdykcja dostawcy decyduje, jakie przepisy mogą dotyczyć danych, niezależnie od lokalizacji serwera.	Polski dostawca w polskiej własności. Przy wdrożeniu on-premise dane pozostają w infrastrukturze organizacji.
Niezależność analityki	Czy moduł analityczny opiera się na silnikach zewnętrznych spoza Europy?	Moduł analityczny na własnej technologii, bez silników zewnętrznych spoza Europy.
Audytowalność i dowody dla CSIRT	Czy platforma zostawia ślad decyzji i materiał dowodowy do zgłoszeń regulacyjnych?	Panel incydentów z materiałem dowodowym do zgłoszenia; wykluczenie zmapowanego zagrożenia z analizy ryzyka wymaga wpisania uzasadnienia.
Język interfejsu	Czy zespół może pracować w języku polskim?	Interfejs w języku polskim i angielskim.

Te same pytania warto zadać każdemu dostawcy platformy SOC. Rekomendacja nie zastępuje analizy wymagań: platformę dobieramy po warsztacie, a gdy organizacja ma już działającą, budujemy SOC na niej. Więcej o platformie i partnerstwie →

Jak budujemy kompetencje zespołu klienta?

Kompetencje zespołu klienta budujemy w trakcie całego projektu: szkoleniem, pracą wspólną z analitykami Trecomu i stopniowym przekazywaniem zadań.

Role w SOC

Zespół SOC tworzą analitycy monitorujący i analizujący incydenty, inżynier detekcji i platformy oraz kierownik SOC. Role dobieramy do wybranej formy współpracy i zakresu usług.

Praca wspólna z analitykami Trecomu

Analitycy klienta pracują razem z analitykami Trecomu nad zgłoszeniami, a zakres ich samodzielnej pracy rośnie z każdym etapem.

Playbooki, reguły i dokumentacja

Playbooki reagowania, reguły wykrywania i procedury powstają we współpracy z zespołem klienta i są dopasowane do jego środowiska.

Testy i ćwiczenia

Zespół SOC sprawdza gotowość w testach operacyjnych przed uruchomieniem. Kadra kierownicza korzysta z ćwiczeń sztabowych i gier strategicznych TrecomSEC. Szkolenia dla analityków SOC oraz z obsługi platformy SecureVisio prowadzi TrecomSEC w ramach szkolenia CRACE.

Doświadczenie TrecomSEC

Konsultanci TrecomSEC mają doświadczenie w budowie zespołów SOC i CERT.

Jak zbudować SOC wspólny dla wielu jednostek, np. w ramach Lokalnych Centrów Cyberbezpieczeństwa?

SOC wspólny dla wielu jednostek buduje się jako jedno centrum o wspólnej architekturze i wspólnych procesach, zamiast osobnego SOC w każdej jednostce. W programie Lokalnych Centrów Cyberbezpieczeństwa Ministerstwa Cyfryzacji takie centrum obsługuje grupę jednostek i ich jednostki organizacyjne (urzędy, szkoły, ośrodki pomocy społecznej, spółki komunalne) na podstawie porozumień między samorządami.

Zespół własny lub specjaliści zewnętrzni

Centrum może zatrudnić własnych specjalistów albo korzystać z usług specjalistów zewnętrznych. Trecom realizuje obie drogi: budowę zespołu centrum z transferem wiedzy oraz SOC zarządzany.

Wiele instancji, jedno miejsce zarządzania

Każda jednostka może mieć własną instancję SecureVisio. Konsola SecureVisio 6.0 pozwala zarządzać nimi z jednego miejsca i przeszukiwać je jednocześnie.

Architektura, platforma i procesy centrum

Trecom projektuje architekturę centrum oraz wdraża platformę i procesy wspólne dla wszystkich obsługiwanych jednostek.

Wniosek o dofinansowanie składają jednostki samorządu terytorialnego w partnerstwie. Aplikację realizuje sama jednostka lub wybrany przez nią konsultant grantowy. Rola Trecomu zaczyna się po stronie technologii i wdrożenia, a projekty dla sektora publicznego Trecom realizuje w trybie Prawa zamówień publicznych. Kontekst regulacyjny dla jednostek publicznych opisuje strona Podmioty publiczne.

Dlaczego Trecom i jakie ma doświadczenie?

Trecom łączy w jednej organizacji doradztwo, wdrożenia technologii i prowadzenie SOC. Budowa SOC korzysta z doświadczenia całodobowego SOC Trecomu.

SOC Trecomudoświadczenie operacyjne z prowadzenia SOC

Autoryzowany partnerSecureVisio

TrecomSECdoradztwo strategiczne i zaawansowane usługi cyberbezpieczeństwa

Atman, SOC i platforma SecureVisio

Wdrożenie usługi SOC oraz platformy SecureVisio dla największego operatora centrów danych w Polsce: SIEM w modelu SIEMaaS wraz z UEBA i SOAR, analiza wpływu biznesowego w czasie rzeczywistym, zarządzanie podatnościami i integracja z CMDB.

Zobacz case study →

Dyrektor TrecomSEC – Mirosław Maj

ex-CERT Polska

Poznaj ekspertów Trecomu →

Najczęściej zadawane pytania o budowę SOC w organizacji

Odpowiedzi na pytania o wymogi ustawy o KSC, zakres współpracy, przygotowanie do konsultacji, pracę w sieci odizolowanej od internetu, własność reguł wykrywania i SOC wspólny dla wielu jednostek.

Czy ustawa o KSC wymaga własnego zespołu SOC?

Nie wprost. Ustawa nie wskazuje SOC z nazwy ani modelu jego prowadzenia, więc organizacja dobiera model własny, hybrydowy lub zarządzany do ryzyka i zasobów.

Czy możemy zlecić tylko koncepcję i zbudować SOC samodzielnie?

Tak. W formie doradczej Trecom przygotowuje koncepcję i architekturę, a budowę i prowadzenie SOC realizuje zespół klienta.

Co przygotować przed konsultacją z architektem?

Przygotuj listę kluczowych systemów i źródeł logów, informacje o zespole bezpieczeństwa i IT, wymagania regulacyjne oraz ograniczenia środowiska, np. pracę bez dostępu do internetu. Na tej podstawie architekt cyberbezpieczeństwa wskaże model współpracy i kolejne kroki.

Czy SOC może działać w sieci odizolowanej od internetu i gdzie są przechowywane dane?

Tak. SecureVisio można wdrożyć w pełnej izolacji od internetu (air-gap), a dane o zdarzeniach pozostają wtedy w infrastrukturze organizacji.

Kto jest właścicielem reguł wykrywania i playbooków po zakończeniu projektu?

Właścicielem jest organizacja klienta: reguły wykrywania, playbooki i dokumentacja powstają w jej środowisku i po zakończeniu projektu przechodzą na jej zespół.

Czy jeden SOC może obsługiwać kilka jednostek, np. grupę samorządów?

Tak. Centrum obsługuje grupę jednostek na podstawie porozumień między samorządami, a SecureVisio 6.0 pozwala zarządzać instancjami poszczególnych jednostek z jednej konsoli.