מתי ארגון צריך SOC מנוהל, ומתי צוות ה־IT מספיק?

צוות IT נמדד על כך שדברים עובדים. שרת זמין, משתמש מחובר, מדפסת מדפיסה, גיבוי רץ. ההצלחה היא זמינות ורציפות, וזה תפקיד תובעני בפני עצמו.

SOC נמדד על משהו אחר: לזהות שמשהו חורג מהרגיל, גם כשהכול נראה עובד. תוקף מוצלח לא מפיל שרתים — הוא משתמש בחשבון לגיטימי, בכלים שממילא מותקנים, בשעות שנראות סבירות. מבחינת IT הכול תקין. מבחינת ניטור, זה בדיוק מה שצריך לתפוס.

הפער הזה הוא לא פער של כישרון או של מאמץ. הוא פער של הגדרת תפקיד, ושל מה שמישהו מסתכל עליו בבוקר.

הראשון: יש לכם כלי אבטחה שמייצרים התרעות, ואף אחד לא עובר עליהן באופן שיטתי. אם התשובה לשאלה "מי הסתכל על ההתרעות של אתמול?" היא "אף אחד, אלא אם קרה משהו" — הכלי מותקן אבל לא מופעל.

השני: כשקורה משהו חשוד, אין מי שיחקור אותו לעומק בלי לעצור את שאר העבודה. חקירה אמיתית לוקחת שעות רצופות, ולצוות IT יש תור קריאות שלא נעצר.

השלישי: אתם לא יכולים לענות בוודאות על השאלה "מה קרה?" אחרי אירוע. אם אין לוגים שנשמרו מספיק זמן, או שאין מי שיודע לקרוא אותם, כל אירוע נגמר בהערכה ולא בקביעה.

הפיתוי המובן הוא לקנות פתרון. אבל מוצרי אבטחה מייצרים התרעות — הם לא צורכים אותן. כל מוצר נוסף מגדיל את כמות ההתרעות שאף אחד לא עובר עליהן, ולכן מגדיל את הפער במקום לסגור אותו.

ארגונים רבים מגלים את זה אחרי שכבר קנו: יש להם EDR מצוין, יש להם לוגים, יש להם התרעות — ואין להם את השעות של מישהו שמנוסה מספיק להבדיל בין רעש לבין תחילת אירוע.

ההיגיון הוא חלוקת תפקידים ולא החלפה. צוות ה־IT ממשיך להחזיק את התשתיות, את המשתמשים ואת הרציפות — הוא מכיר את הסביבה טוב מכל גורם חיצוני, וזה יתרון שאסור לוותר עליו.

ה־SOC מוסיף את השכבה שאין לו: מישהו שמסתכל על ההתרעות כל יום, חוקר את מה שחורג, ומעביר ל־IT רק את מה שבאמת דורש פעולה — עם הסבר מה נמצא ומה מומלץ לעשות.

הסימן שזה עובד הוא שצוות ה־IT מקבל פחות רעש, לא יותר.