Il SOC come servizio è un modello in abbonamento in cui un fornitore esterno svolge alcune o tutte le funzioni di un centro operativo di sicurezza. Queste possono includere il monitoraggio dei dati di telemetria di sicurezza, la valutazione iniziale degli avvisi, l’analisi delle attività sospette e l’escalation degli incidenti al cliente. L’ambito esatto varia: un fornitore può limitarsi a informare il cliente oppure può anche intraprendere le azioni di risposta concordate.
Questo modello consente alle organizzazioni di accedere a competenze nell’ambito delle operazioni di sicurezza senza creare un SOC interno completo, ma comporta la definizione di un confine di fiducia. I clienti dovrebbero stabilire a quali sistemi e dati può accedere il fornitore, con quale rapidità vengono gestiti gli avvisi, chi è autorizzato a intervenire e quali responsabilità restano a carico del cliente. Negli attacchi reali, un rilevamento e un contenimento efficaci dipendono da passaggi di consegne chiari e dall’accesso tempestivo ai log e agli endpoint pertinenti. I difensori dovrebbero verificare queste responsabilità tramite accordi di servizio e procedure di risposta agli incidenti.