SOC gestito 24/7: monitoraggio e risposta agli incidenti

Che cos'è un SOC gestito

Un Security Operations Center (SOC) è la funzione che osserva in continuo ciò che accade nei sistemi aziendali, riconosce i segnali di un attacco e coordina la risposta. Costruirne uno interno richiede analisti su turni H24, una piattaforma SIEM, regole di detection aggiornate e procedure collaudate: un investimento che pochissime aziende italiane possono sostenere.

Con il SOC gestito (SOC as a Service) di GS Cyber Solution ottieni la stessa capacità come servizio: noi gestiamo piattaforma, analisti e processi, tu ricevi allarmi qualificati, azioni di contenimento e report periodici, con costi prevedibili.

Dalla raccolta dei log alla risposta all'incidente

Colleghiamo al SOC le fonti più rilevanti: endpoint ed EDR, firewall e VPN, Active Directory ed Entra ID, Microsoft 365 e Google Workspace, server, ambienti cloud AWS e Azure, applicazioni critiche. I log vengono normalizzati e correlati con regole mappate sul framework MITRE ATT&CK e con modelli di machine learning che riconoscono le deviazioni dalla baseline.

Il triage assistito dall'AI scarta i falsi positivi e arricchisce ogni evento con contesto e threat intelligence. Gli allarmi confermati vengono analizzati da un analista, classificati per gravità e notificati al referente aziendale con le azioni di contenimento: isolamento dell'host, blocco dell'utente, revoca delle sessioni, blocco degli indicatori di compromissione.

• Onboarding delle fonti log e tuning iniziale in 2-4 settimane
• Detection mappata su MITRE ATT&CK
• Triage AI e analisi da parte di analisti certificati
• Playbook di risposta concordati con l'azienda
• Contenimento remoto su EDR e identità, se autorizzato
• Escalation telefonica per gli incidenti critici

Cosa monitoriamo

La copertura viene definita in base al rischio reale: si parte dagli asset critici e dalle identità privilegiate, perché la gran parte degli attacchi moderni passa da credenziali compromesse e movimenti laterali, non da malware evidente.

• Endpoint e server (Windows, Linux, macOS)
• Identità: accessi anomali, MFA fatigue, privilege escalation
• Posta e collaborazione Microsoft 365 / Google Workspace
• Perimetro: firewall, VPN, accessi remoti
• Cloud: AWS, Azure, configurazioni e workload
• Applicazioni e sistemi OT/industriali su richiesta

Il SOC come strumento di conformità

La NIS2 richiede di rilevare gli incidenti significativi e di notificarli all'ACN con pre-notifica entro 24 ore e notifica entro 72 ore. Senza monitoraggio continuo queste scadenze sono difficili da rispettare. Il SOC fornisce rilevazione, timeline dell'incidente e le informazioni tecniche necessarie alla notifica.

I log conservati e i report mensili costituiscono evidenze utilizzabili negli audit ISO/IEC 27001, nelle verifiche NIS2 e nei questionari di sicurezza richiesti da clienti e assicurazioni cyber.

Report e indicatori per il management

Ogni mese ricevi un report leggibile anche dalla direzione: incidenti gestiti, tempi di rilevazione e risposta, minacce più frequenti, punti deboli emersi e raccomandazioni. Trimestralmente rivediamo insieme regole, coperture e priorità.

• MTTD e MTTR sugli incidenti
• Trend delle minacce per il tuo settore
• Raccomandazioni di hardening
• Revisione trimestrale con il referente

Per chi è pensato

Il SOC gestito è adatto ad aziende e PMI senza un team di sicurezza interno, a organizzazioni soggette a NIS2 e a chi ha già un team IT ma non può coprire il monitoraggio notturno e nei festivi. Lavoriamo affiancando il reparto IT o il fornitore IT esistente, senza sostituirli.