SOC e MDR gestito, a tre livelli
Il Security Operation Center di Dottor Marc guarda i tuoi sistemi, filtra il rumore e, se lo scegli, interviene sugli alert e guida la risposta agli incidenti, in orario lavorativo o 24 ore su 24.
Un SOC esterno, senza costruirlo in casa
Un Security Operation Center (SOC) è il gruppo di analisti che sorveglia ogni giorno i sistemi di un'azienda, legge gli allarmi, distingue quelli veri da quelli falsi e decide cosa fare. Il SOC as a service è la stessa cosa fornita da un'azienda specializzata: non assumi il team, non compri gli strumenti, non organizzi i turni.
Il Managed Detection and Response (MDR) è il passo successivo. Non ti limitiamo a segnalare un problema: gli alert arrivano al nostro SOC e il team interviene per contenere la minaccia e avviare la risposta all'incidente.
Dentro Dottor Marc lavora un SOC con un team di esperti che organizza e gestisce i servizi proattivi di Dottor Box. Puoi affidargli solo il monitoraggio, oppure anche la risposta, in orario lavorativo o senza orari. Sono tre livelli, e ognuno comprende il precedente.
Con i livelli MDR, nell'incidente c'è un responsabile ed è il fornitore: Dottor Marc assume il ruolo di Incident Response Team Lead.
Security Monitor, MDR + SOC, MDR + SOC 24/7 a confronto
Tre livelli cumulativi: cambia quanto deleghi al nostro SOC e in quali orari. Il dettaglio di cosa comprende ciascuno è nella pagina della piattaforma.
| Aspetto | Security Monitor | MDR + SOC | MDR + SOC 24/7 |
|---|---|---|---|
| Cos'è | La piattaforma e il monitoraggio continuo | Si aggiungono rilevamento e risposta gestiti da noi | La stessa copertura, senza orari |
| Chi agisce sui rilievi | La tua azienda, con i nostri report e avvisi | Il nostro SOC interviene sugli alert | Il nostro SOC interviene in qualunque momento |
| Supporto | Report, avvisi e portale | Ticket 8/5, in orario lavorativo | Numero di telefono dedicato, 24 ore su 24, 7 giorni su 7 |
| Ruolo nell'incidente | La tua azienda guida la risposta | Dottor Marc è Incident Response Team Lead | Come MDR + SOC, con reperibilità continua |
| Per chi è pensato | Chi ha un IT interno che può agire sui rilievi | Chi vuole un team esterno che intervenga al suo fianco | Chi non può permettersi un fermo prolungato |
Le cadenze. La pianificazione dei controlli è configurabile, con il livello di servizio contrattuale come minimo garantito. I pacchetti di ore di consulenza remota si acquistano a parte.
Cosa fa il SOC di Dottor Marc, in concreto
Gli strumenti producono eventi. Il valore è nelle persone che li leggono e decidono quali contano.
Gestione dei falsi positivi
Gli alert vengono riletti e ripuliti, perché le notifiche che ti arrivano siano accurate. Un allarme che suona sempre smette presto di essere ascoltato.
Threat hunting
La ricerca proattiva delle minacce nascoste: gli analisti cercano tracce di compromissione che nessun allarme ha ancora segnalato.
Analisi predittiva
Dalla correlazione dei dati di sicurezza nascono segnali per prevenire incidenti, guasti tecnologici e blocchi operativi prima che accadano.
Continuità del servizio
Il SOC verifica che i controlli continuino a girare: un sensore che tace non deve essere scambiato per una rete tranquilla.
Vulnerabilità e patch
Con l'MDR il SOC segue le vulnerabilità notificate e le patch disponibili e si attiva per risolverle, coordinandosi con i tuoi fornitori.
Politiche e procedure
Dalle cose viste nel monitoraggio nascono proposte concrete di aggiornamento delle politiche e delle procedure di sicurezza.
Ticket 8/5 e risposta agli incidenti guidata
Al livello MDR + SOC le richieste passano da un sistema di ticket in orario lavorativo, cinque giorni su sette. Ogni ticket viene classificato per urgenza e gravità, così l'incidente in corso non resta in coda dietro a una domanda di configurazione.
- risposta tempestiva e comunicazione proattiva sullo stato di avanzamento;
- documentazione delle azioni intraprese, che resta come evidenza;
- individuazione dei problemi ricorrenti, per arrivare a soluzioni preventive;
- coordinamento con i fornitori esterni quando serve, compresi quelli della tua catena di fornitura.
Chi guida, quando succede
Il CSIRT è la squadra di risposta agli incidenti della tua azienda: in Dottor Box la componi assegnando le persone a quindici ruoli già previsti, nel modulo di Incident Response e registro data breach.
Con i livelli MDR il nostro SOC collabora con il tuo CSIRT sugli incidenti segnalati e Dottor Marc assume il ruolo di Incident Response Team Lead. Non devi improvvisare un coordinatore a sistemi fermi: c'è già, e conosce i tuoi sistemi perché li monitora ogni giorno.
Il registro degli eventi segue le fasi dell'incidente, dalla rilevazione alle lezioni apprese, utile anche per una eventuale notifica di data breach entro 72 ore.
SOC 24/7 per PMI che non possono fermarsi
Gli attacchi non rispettano l'orario d'ufficio, e molti partono di notte o nel fine settimana proprio per questo. Il livello MDR + SOC 24/7 porta il monitoraggio sicurezza H24: monitoraggio e risposta agli incidenti continui, 24 ore su 24, 7 giorni su 7.
Hai un numero di telefono dedicato per le emergenze e un team sempre operativo che lavora su procedure già condivise e collaudate con la tua azienda. Chi risponde alle tre di notte sa già chi chiamare da voi, cosa si può spegnere e cosa no.
- Continuità operativa dell'azienda come obiettivo dichiarato
- Rischio di fermo prolungato ridotto al minimo possibile
- SOC aggiornato in modo costante sulle nuove minacce
- Un livello elevato di conformità alle norme su sicurezza e protezione dei dati
- Tutto quello che comprendono Security Monitor e MDR + SOC
Perché un Security Operation Center esterno
Costruire un SOC interno significa scegliere e mantenere un SIEM e un XDR, assumere analisti in un mercato dove scarseggiano, formarli di continuo e, per coprire notti e festivi, organizzare turni con più persone. Per una PMI è raramente sostenibile.
Con un SOC esterno il conto cambia: gli strumenti sono già in piattaforma, l'esperienza è quella maturata su molte infrastrutture diverse, e paghi in base agli asset monitorati, non al numero di dipendenti. Resti tu a decidere quanto delegare, partendo dal Security Monitor e salendo di livello quando serve.
Il fornitore, Dottor Marc S.r.l., è certificato ISO/IEC 27001 e ISO 9001: è sottoposto agli stessi controlli che chiedi ai tuoi fornitori ICT. Se stai valutando il tema per la tua azienda, parti dalla pagina sulla cyber security per le PMI.
Onesti su quello che un SOC può fare
Nessun fornitore serio può dirti che non verrai mai attaccato. Un SOC riduce il tempo in cui una minaccia resta invisibile, limita i danni e ti lascia la documentazione di cosa è stato fatto.
- Il SOC trova, misura e documenta: non rende impossibile un attacco.
- Le risposte automatiche sugli endpoint si concordano prima, non scattano a sorpresa.
- Il blocco di un account Microsoft non è mai automatico: lo conferma sempre una persona.
- L'assistenza copre la piattaforma e i servizi, non la manutenzione del tuo parco macchine.
A quali norme contribuisce
Monitoraggio, gestione degli incidenti e registrazione delle azioni sono misure richieste dalla NIS2, dalla ISO/IEC 27001 e dal GDPR. Il lavoro del SOC lascia le evidenze che servono per l'adeguamento NIS2.
Domande su SOC as a service e MDR
Che differenza c'è tra SOC e MDR?
Il SOC è la struttura: le persone e i processi che sorvegliano la sicurezza. L'MDR è un servizio che quella struttura eroga: oltre a rilevare le minacce, interviene per contenerle e guida la risposta. In Dottor Box il Security Monitor comprende già il lavoro del SOC sui dati raccolti, mentre i livelli MDR aggiungono l'intervento sugli alert e il ruolo di Incident Response Team Lead.
Una PMI ha davvero bisogno di un SOC 24/7?
Dipende da quanto ti costa un fermo. Se un blocco notturno della produzione o dei servizi online ha un impatto serio, il livello 24/7 con numero dedicato ha senso. Se invece l'attività si concentra in orario d'ufficio, il livello MDR + SOC con ticket 8/5 può bastare. Uno specialista ti aiuta a scegliere in base a come lavora la tua azienda.
Il servizio SOC sostituisce il mio reparto IT o il mio fornitore informatico?
No. Il SOC si occupa di sicurezza: monitoraggio, analisi degli alert, threat hunting e risposta agli incidenti. La gestione quotidiana dei sistemi resta a chi la fa oggi, e il nostro SOC si coordina con il tuo IT e con i fornitori esterni quando serve.
Cosa serve installare per attivare il servizio MDR?
Dipende dai controlli scelti. Per vedere gli endpoint serve il Cyber Agent su PC e server; per la rete interna la sonda Cyber Drill; per la rete esterna non serve nulla. L'installazione sui tuoi dispositivi è compresa nella fornitura. I passaggi sono descritti in come si attiva.
Il SOC aiuta con la notifica degli incidenti prevista dalla NIS2?
Il SOC rileva e analizza l'incidente e, con i livelli MDR, ne guida la gestione come Incident Response Team Lead. Le fasi e le azioni restano documentate nel registro degli eventi, che è la base delle informazioni da comunicare. La notifica all'autorità resta un obbligo della tua organizzazione.
Su cosa lavora il SOC
SIEM e XDR gestito
Log centralizzati, correlazione degli eventi e risposta sugli endpoint, con analisti che filtrano il rumore.
Scopri di più VedereCyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.