Trenger vi egentlig en SOC?

Cyber Defense · For CISO og sikkerhetsansvarlige

Trenger vi en SOC? Det er et godt spørsmål – og det ærlige svaret er: det kommer an på. Ikke av størrelse, ikke av bransje og ikke av budsjettet alene. Det avhenger av hva virksomheten faktisk risikerer å miste – og hvor raskt noen oppdager det når noe er galt.

Mange sikkerhetsansvarlige vi snakker med har allerede en form for sikkerhetsteknologi på plass. Microsoft Defender, kanskje Sentinel, brannmurer og endepunktsbeskyttelse. På papiret ser det greit ut. Likevel sitter mange med en uro de ikke helt klarer å sette ord på.

Uroen handler sjelden om verktøyene. Den handler om dette:

Hva skjer når noe faktisk skjer – og ingen ser det?

Verktøy er ikke det samme som beredskap

Her er en situasjon som ikke er uvanlig: En ansatt klikker på en phishing‑lenke tidlig en fredag ettermiddag. Kontoen kompromitteres. Angriperen er inne. Defender logger hendelsen. Men IT‑teamet er i helgemodus – varselet drukner i andre varsler, og ingen analyserer det før mandag morgen.

På de 60 timene som går, har angriperen sett seg rundt. Kartlagt nettverket. Identifisert hvilke systemer som er kritiske. Kanskje allerede eksfiltrert data – eller plantet noe for fremtidig bruk.

Scenariotype 1 — Kapasitetsgap

Virksomheten: Et mellomstort norsk selskap med 200 ansatte. IT‑teamet på fire personer drifter alt fra laptoper til Azure‑infrastrukturen. Defender genererer hundrevis av varsler ukentlig – de fleste falske positiver.

Et varsel midt i rekken viste seg å være reelt: en kompromittert leverandørkonto med tilgang til filserverne.

Problemet var ikke teknologien. Problemet var at ingen hadde tid til å se etter det som faktisk var der.

En SOC løser ikke dette ved å gi dere enda et dashboard. Den løser det ved å sette erfarne analytikere til å leve i det dashboardet – hele døgnet, alle dager – og handle raskt når noe faktisk er reelt.

Blindsoner er farligere enn kjente sårbarheter

Det finnes en type risiko som er vanskeligere å forholde seg til enn en kjent sårbarhet: risikoen du ikke vet om.

Virksomheter som aldri har hatt en sikkerhetshendelse, tror gjerne at det betyr at de er trygge. Det kan stemme. Eller det kan bety at ingen har lett godt nok.

Spørsmålet er ikke om noen prøver seg. Spørsmålet er om du vet at de gjør det.

I gjennomsnitt tar det over 200 dager fra en virksomhet er kompromittert til det oppdages – uten strukturert overvåking. Ikke fordi angriperne er usynlige, men fordi ingen leter systematisk.

Scenariotype 2 — Uoppdaget tilgang

Virksomheten: Et norsk energiselskap. Ingen kjente hendelser de siste tre årene.

Etter at de innførte SOC‑overvåking, ble det i løpet av de første ukene avdekket at en underleverandørs tilgang ikke hadde blitt fjernet etter at kontrakten utløp 18 måneder tidligere. Tilgangen var fortsatt aktiv – og ble sporadisk brukt.

Det hadde ikke skjedd noe dramatisk. Enda.

Hva en SOC faktisk gjør – og ikke gjør

Det er mye forvirring rundt begreper som MDR, SIEM, SOC og XDR. For en sikkerhetsansvarlig som skal ta en beslutning, er det verdt å rydde opp i dette.

Microsoft Defender / Sentinel
Samler og logger hendelser og genererer varsler. De analyserer imidlertid ikke konteksten fullt ut og handler ikke på egen hånd.

MDR (Managed Detection & Response)
Overvåker og responderer primært på endepunkter. Dekker sjelden nettverk, sky og OT samlet.

SOC (Security Operations Center)
Kontinuerlig overvåking, analyse og aktiv respons på tvers av hele miljøet.

Poenget er enkelt: Et verktøy varsler. En SOC handler. Forskjellen kan være avgjørende for om en hendelse stoppes på minutter – eller utvikler seg over dager.

Tre tegn på at dere sannsynligvis trenger en SOC

• IT‑teamet bruker mer tid på å slukke branner enn å rigge dere for fremtiden. Sikkerhetsvarsler håndteres «hvis det blir tid», og hvis de oppdages.
• Dere har teknologien, men mangler en systematisk prosess for å analysere hva den faktisk finner. Varsler blir liggende uten oppfølging.
• Styret eller ledelsen stiller spørsmål om cybersikkerhetsrisiko – og svarene dere gir er basert på antakelser, ikke dokumenterte data.

En fjerde indikator er regulatoriske krav. NIS2‑direktivet stiller eksplisitte krav til risikostyring, hendelseshåndtering og dokumentasjon for virksomheter i kritiske sektorer. For mange virksomheter er SOC derfor ikke bare et sikkerhetstiltak – men også et compliance‑krav.

Denne saken kan være interessant for deg: Tror du at du har en SOC? Det er ikke sikkert.

Hva hvis vi allerede har en SOC, men er misfornøyde?

Dette er faktisk situasjonen vi oftest hører om. Virksomheter som har hatt en SOC‑ eller MDR‑tjeneste i ett eller to år, men som ikke helt klarer å sette fingeren på hva de faktisk får igjen for den.

Symptomene er gjenkjennelige:

• ingen portal der dere kan se hva som er oppdaget
• kun e‑postvarsler – ingen direkte kontakt
• kvartalsrapporter med tall, men lite kontekst

Resultatet er en diffus følelse av at noe skjer – men ikke nødvendigvis for dere.

Scenariotype 3 — Misfornøyd med eksisterende SOC

Virksomheten: En finansvirksomhet som har hatt MDR‑tjeneste i to år. Fast månedspris og tydelig SLA på papiret.

Da de spurte leverandøren «hva ble oppdaget sist måned, og hva ble faktisk gjort?», fikk de en rapport med aggregerte tall – og få konkrete svar.

De betalte for trygghet, men satt igjen med usikkerhet.

Transparens er ikke en luksus i en SOC‑tjeneste. Det er en forutsetning for tillit. Dere bør til enhver tid kunne se hva som oppdages, hva som prioriteres og hvilke tiltak som iverksettes.

Er dere klare for SOC? Sjekk ut denne sjekklisten!

Så; trenger dere en SOC?

Her er en oppsummering:

• Ja, med stor sannsynlighet – hvis dere håndterer sensitive data, er underlagt NIS2 eller har OT‑systemer i produksjon.
• Ja, som et komplement – hvis dere allerede har verktøy, men mangler kapasitet til å analysere og handle på det de finner.
• Kanskje, men annerledes – hvis dere er tidlig i reisen og først trenger å forstå hva dere faktisk er eksponert for.
• Bytt leverandør – hvis dere allerede har SOC, men savner transparens, direkte kontakt og dokumenterte responstider.

Det finnes ikke et enkelt ja‑eller‑nei‑svar. Spørsmålet er heller hva virksomheten faktisk trenger – og hva det kan koste å ikke ha det på plass. Snakk med oss for rådgivning og en kartlegging av deres behov.