SOC inrichten

Voor een succesvol werkend SOC moet aan een aantal criteria worden voldaan. Dat gaat om onder meer:

• een beleid voor informatiebeveiliging met draagvlak door de hele organisatie
• accuraat overzicht van het applicatielandschap
• eigenaarschap van informatiesystemen
• recent uitgevoerde risicoanalyse
• samenwerking met de ICT-beheerorganisatie

Om loginformatie vanuit verschillende bronnen te interpreteren en de samenhang met wat zich digitaal afspeelt te duiden, kan een Security Information & Event Management-systeem (SIEM) uitkomst bieden.

Naast informatie over systemen, hard- en software en het netwerk, gebruikt een SOC ook ‘threat intelligence’. Dit is informatie over kwetsbaarheden en dreiging in cybersecurity, afkomstig uit andere bronnen. Met deze informatie beoordeelt het SOC gebeurtenissen in systemen en op alle aangesloten apparaten.

Begin met het monitoren van eenvoudige technische zaken waar de organisatie baat bij heeft, bijvoorbeeld de log-informatie van de Active Directory, firewalls, antivirus-software en webservers. Houd het eenvoudig en beperk de werkzaamheden tot de ICT-afdeling. Monitor alleen puur technische zaken.

Doe ervaring op met monitoren, registreren en afhandelen van incidenten. Ervaring opdoen met het hele proces van monitoren en incidentafhandeling  is in het begin belangrijker dan het monitoren zelf. Bouw de monitoring gecontroleerd uit naar systemen die onderdeel vormen van de primaire bedrijfsprocessen. Maak afspraken met de ICT-afdeling over ICT-werkzaamheden als gevolg van die incidentregistratie. Richt je bij het monitoren niet op het per se willen inrichten van een SOC, maar richt je op wat voor de organisatie belangrijk en zinvol is.

Om te bepalen of een bepaalde gebeurtenis binnen een computernetwerk een bedreiging vormt, kan aanvullende informatie nodig zijn. Deze informatie levert het NCSC in de vorm van ‘indicators of compromise’ (IoC's). Met een IoC kunt u bepalen of bepaalde gebeurtenissen binnen uw netwerk ook door anderen zijn geregistreerd. Dat geeft je handvatten om de gebeurtenis te beoordelen. Het NCSC mag deze informatie alleen leveren aan partijen die tot onze doelgroepen behoren.

Het NCSC deelt kennis over technische en praktische zaken om organisaties bij de rijksoverheid en vitale infrastructuren te ondersteunen vanuit het wettelijke kader. Ook het inrichten van een SOC is zo'n onderwerp. Wil je meer weten over het inrichten van een SOC? In de factsheet 'SOC inrichten: begin klein' vind je richtlijnen, tips en aandachtspunten.