Gli strumenti di sicurezza producono segnalazioni, e la maggior parte sono rumore. Il valore non sta nel generarle ma nel leggerle: distinguere il falso allarme dall’attacco reale, e agire nei minuti in cui agire serve ancora a qualcosa.
Per un’azienda che non ha un reparto IT, il SOC ha senso solo come servizio: mantenere internamente una sorveglianza continua richiede persone e turni che non stanno in piedi sotto una certa dimensione. Il punto non è possederlo, è che qualcuno guardi.
Perché conta per un’azienda
Gli attacchi più costosi si sviluppano in giorni. Fra il primo accesso e la cifratura passa quasi sempre abbastanza tempo perché qualcuno se ne accorga — se c’è qualcuno che guarda.
L’errore che vediamo più spesso
Diffidate dell’offerta di un SOC senza una risposta chiara su chi interviene quando arriva l’allarme e in quanto tempo. La sorveglianza senza intervento è un registro di ciò che è andato storto.