運行一個更高效的IT安全操作中心:如何保持任務在目標上

信息技術安全是企業(yè)每天處理的最重要的任務之一，隨著業(yè)務的發(fā)展，重新評估公司的安全運營中心(SOC)是如何運作的至關重要。 這意味著研究SOC是否配備了適當的人員，它應該在內部運行還是外包，并評估是否應該引入更多的安全自動化。 這也意味著看一些看起來很小的東西，比如SOC團隊成員是否坐得足夠近（在大流行后的環(huán)境中），這樣他們就可以有效地合作來保護一家公司。 這是由行業(yè)安全領袖組成的獨立小組網絡復原力智囊團在一份新的9頁報告“改變SOC：建設明天的安全行動，今天”中提出的一些趨勢和建議。 該報告通過電子郵件和數據安全供應商Mimecast發(fā)布，列出了戰(zhàn)略和問題，作為任何規(guī)模的組織工作，以創(chuàng)建或更新其SOC程序和保護。

對于任何企業(yè)來說，SOC都是由IT安全分析師和專家組成的團隊，他們負責24/7監(jiān)測、評估和維護公司的安全操作，并管理網絡罪犯所針對的攻擊向量。 SOC團隊與負責保護公司IT系統(tǒng)、數據和員工免受直接攻擊的日常職責的其他安全人員合作。 報告總結說，每個組織都是不同的，有不同的SOC需求，這意味著企業(yè)必須定期向內看，并評估他們的SOC是如何從上到下保護他們的組織的。 報告指出，在人員配置方面，SOC辦公室可能總是處于擁有適當數量的人員的邊緣，這些人員具有必要的安全資格，以做好他們的工作。 在整個商業(yè)世界，缺乏熟練的IT人員是成群結隊的，當涉及到有足夠的IT安全人員時，這一點可能更加嚴重。

報告指出，一個答案是利用這一機會進一步培訓和提升現有工作人員，為他們提供額外教育，使他們掌握一個組織所需的技能。 總部位于非洲的金融服務提供商AbsaGroup的網絡安全運營主管Claus Tepper說：“我們的主要動力是技能。 “我認為，南非和其他地方一樣，從根本上來說，要讓合適的人加入進來是一個挑戰(zhàn)。” 為了幫助他的公司在他們已經擁有的員工中找到所需的技能，Absa集團開始了一所內部學院，以發(fā)展和進一步培訓員工，以填補現有的IT安全漏洞。 報告指出，隨著企業(yè)的發(fā)展，評估現有的內部SOC是否更適合外包以提高業(yè)務效率也是明智的。 當然，情況并不總是如此，而且將取決于每個公司的需求和情況，但花時間進行定期評估是明智的，可以幫助確保SOC的適當結構到位。 根據報告，關于SOC是否應保持內部或外包的決定是基于許多因素，包括業(yè)務需求、選擇第三方SOC服務提供商、公司的IT安全需求等。

報告總結說，當外包在真正的網絡安全伙伴關系中成功完成時，外部SOC團隊可以成為公司整體SOC戰(zhàn)略和運營的重要合作伙伴。 然而，一個風險是，如果外包團隊與其他IT人員不在同一辦公室，溝通或信任問題可能會發(fā)展為對業(yè)務有害的問題。

報告中強調的另一個趨勢是，通過擴大可用于更好地保護公司IT資產的工具和策略，增加自動化如何能夠幫助SOC工人和團隊更加有效。 當自動化提前建立起來，在工作任務變得更重、更復雜之前，它就更有價值了。 CR智庫和漏洞風險管理供應商Rapid7首席信息安全官Shawn Valle說：“軟件開發(fā)人員基于API構建，然后在API之上構建UI，這在SEC操作團隊中是值得探索的。 “我們認為，這種從一開始就建立自動化的策略使分析人員變得更強大、更好，而不是使用更少的人?！?Cybereason公司的首席安全官薩姆？庫里(SamCurry)說，與此同時，公司不應該只是自動操作，而忽略了人的接觸。

“自動化本身就是一種脆弱性，”庫里說。 “你必須以偽隨機間隔檢查你的盲點，看看誰藏在那里，因為機器將變得可預測，因此是可開發(fā)的。 因此，任務不是為了自動化，而是使人類更有效，在不削弱整體的情況下提高其產出的價值。 報告還說，值得定期評估的是一家公司的SOC的細節(jié)，比如SOC分析師是否真的坐得足夠近，以提高部門的最大運營效率。

在SOC團隊成員位于辦公室的地方可以產生很大的差異，報告補充說，例如將技術和安全團隊放置在彼此旁邊，以培養(yǎng)創(chuàng)造力、敏捷性和更好的溝通。 在另一個例子中，將SOC團隊定位在產品團隊旁邊可以促進新的效率，并為工具構建等創(chuàng)造新的想法。 不要忘記遠程工作人員，他們也需要與內部團隊進行良好和頻繁的溝通，以確保他們都符合團隊的優(yōu)先事項和目標。 當涉及到定期檢查SOC部門和操作時，由于SOC的巨大安全效益，時間是值得努力的。 Mimecast安全意識和威脅情報產品高級副總裁兼總經理Michael Madon說：“數據是SOC的命脈。 這些預防系統(tǒng)是SOC的關鍵數據源，以滿足其成功指標、驅動檢測和集成上下文，并能夠更快地阻止威脅。