Wat taken verdelen met je leverancier maakt je SOC niet hybride
De opvolging van alerts en incidenten binnen het Security Operations Center (SOC) staat of valt met de juiste context. Een externe SOC-analist kan afwijkend gedrag goed herkennen, maar moet ook weten wat binnen de organisatie normaal, kritisch of juist verdacht is.
Welke systemen en applicaties zijn bedrijfskritisch? Waar bevindt zich gevoelige data? En welke verstoringen zijn acceptabel? Die kennis is essentieel om signalen niet alleen te detecteren, maar ook op waarde te schatten. Een databasedump kan bijvoorbeeld wijzen op exfiltratie, maar net zo goed een legitieme actie zijn. En een beheerdersaccount dat midden in de nacht systemen benadert, kan een aanvaller zijn, of een beheerder die een geplande wijziging uitvoert.
De informatie die nodig is om dat onderscheid te maken, bevindt zich vrijwel altijd bij de eindorganisatie.
Tegelijkertijd ontbreekt het interne teams vaak aan capaciteit, specialistische kennis of 24/7-beschikbaarheid. Precies daar kan een externe SOC-partner waarde toevoegen. De combinatie ligt dus voor de hand: interne context en externe expertise bij elkaar brengen.
In de praktijk zie ik het regelmatig gebeuren: een organisatie neemt een managed SOC-dienst af, verdeelt de werkzaamheden tussen leverancier en eigen team en voilà: het hybride SOC is geboren.
Maar daarmee heb je nog geen hybride SOC. Hoe vaker ik dat begrip hoor en zie, hoe minder ik geloof dat dit voldoende is. Want taken verdelen maakt een samenwerking nog niet hybride. Het levert hooguit een duidelijke taakverdeling op.
Een hybride SOC begint wat mij betreft pas wanneer kennis, processen en verantwoordelijkheden daadwerkelijk met elkaar verweven raken. Wanneer niet alleen is afgesproken wie wat doet, maar vooral hoe je samen opereert en dat vervolgens ook doet. Dat tweede deel is een stuk ingewikkelder.
Stuurt de SOC-dienstverlener een ticket door en begint de klant vervolgens aan zijn eigen proces? Of vindt er gezamenlijke triage plaats, kennen de analisten elkaar en zijn de lijnen kort genoeg om direct te schakelen?
Passen de partijen zelfstandig detectieregels aan op basis van wat technisch mogelijk is? Of bespreken ze samen welke scenario’s relevant zijn, welke risico’s prioriteit hebben en waar detectie beter kan?
Hoe zorg je voor een volledig beeld van wat er zich afspeelt in de omgeving? Want zodra je werkzaamheden verdeelt, verdeel je vaak ook het zicht op wat er gebeurt.
Dat zijn misschien niet de onderwerpen die vooraan in een brochure staan. Maar juist daar wordt zichtbaar of er sprake is van een partnerschap of simpelweg van dienstverlening.
Daarnaast is het goed om te realiseren dat hybride een container begrip is voor allerlei verschillende vormen van samenwerken.
Voor de ene organisatie betekent hybride dat een externe partij alleen de afhandeling buiten kantoortijden doet. Bij andere organisaties wordt per detectie bepaald welke partij het oppakt of worden alleen de eerstelijns werkzaamheden door de externe partij gedaan. Soms beheert de leverancier het securityplatform en de detectieregels, soms doet de klant dat zelf en in andere gevallen wordt dat samengedaan.
De behoefte verschilt bovendien. De ene organisatie zoekt vooral extra capaciteit, de andere specialistische expertise of 24/7-beschikbaarheid.
Een hybride SOC is daarom geen blauwdruk die je steeds opnieuw kunt uitrollen. De verdeling moet passen bij de organisatie, haar risico’s, volwassenheid en beschikbare expertise.
Vervolgens begint het echte werk. Want zo’n samenwerking vraagt investering van beide kanten. De leverancier moet de organisatie leren kennen, begrijpen welke risico’s relevant zijn en actief meedenken over verbetering. De klant moet bereid zijn context te delen, interne expertise beschikbaar te maken en zijn SOC-partner mee te nemen in veranderingen binnen de organisatie.
Doe je dat niet, dan blijven er twee afzonderlijke werelden bestaan die met elkaar communiceren via tickets, escalaties en maandrapportages.
Je ziet het succes terug in analisten die elkaar kennen en in korte lijnen. In gezamenlijke evaluaties. In voortdurende afstemming over risico’s, veranderingen en prioriteiten. Maar vooral in het besef dat beide partijen verantwoordelijk zijn voor hetzelfde doel.
Een hybride SOC is geen product. Geen dienst. Geen optelsom van taken. Het is een manier van samenwerken.
Over Lisa
Lisa de Wilde is cybersecurity expert met hands-on ervaring in het oplossen van complexe cyberaanvallen bij organisaties in binnen- en buitenland. Ze weet als geen ander hoe groot de impact van security incidenten kan zijn – zowel op organisaties als op mensen.
Als spreker en trainer staat ze bekend om haar energieke, interactieve stijl. Ze duikt in de belevingswereld van haar publiek en past haar verhaal direct aan op hun behoeften. Met haar workshops en trainingen en tijdens adviesopdrachten helpt ze organisaties weerbaarder te worden en veerkrachtiger om te gaan met cyberaanvallen.
Bij Security Innovation Stories deelt ze haar praktijkervaringen in columns én korte video’s. Ze put daarbij uit haar frontlinie-ervaring en vertaalt complexe security-uitdagingen naar concrete, praktische inzichten.
