Gli strumenti di sicurezza producono segnalazioni, e la maggior parte sono rumore. Il valore non sta nel generarle ma nel leggerle: distinguere il falso allarme dall’attacco reale, e agire nei minuti in cui agire serve ancora a qualcosa.
Per un’azienda che non ha un reparto IT, il SOC ha senso solo come servizio: mantenere internamente una sorveglianza continua richiede persone e turni che non stanno in piedi sotto una certa dimensione. Il punto non è possederlo, è che qualcuno guardi.
Che cosa significa averlo, per una PMI
Un centro di sorveglianza è la risposta alla domanda «chi guarda gli avvisi quando in azienda non c’è nessuno». Gli strumenti di protezione producono segnalazioni ventiquattro ore su ventiquattro; gli attacchi si manifestano quasi sempre di notte o nei fine settimana, proprio perché è quando la risposta è più lenta.
Per un’impresa media averlo internamente non è realistico: significherebbe personale su turni. La forma praticabile è il servizio esterno, e la domanda da fare a chi lo propone è una sola e molto concreta: **oltre a segnalare, intervenite?** Molti contratti prevedono l’avviso e non l’azione, e la differenza fra le due cose si misura in ore di danno.
Perché conta per un’azienda
Gli attacchi più costosi si sviluppano in giorni. Fra il primo accesso e la cifratura passa quasi sempre abbastanza tempo perché qualcuno se ne accorga — se c’è qualcuno che guarda.
L’errore che vediamo più spesso
Diffidate dell’offerta di un SOC senza una risposta chiara su chi interviene quando arriva l’allarme e in quanto tempo. La sorveglianza senza intervento è un registro di ciò che è andato storto.