Экономика SOC или то, о чем на SOC Forum так и не поговорили

Вот про что на SOC Forum почти не говорили, так это об экономике центров мониторинга и реагирования на инциденты. Хотя эта тема очень тесно переплетена с вчера мной рассмотренной про дилемму выбора между собственным и аутсорсинговым SOCом. Вот ею мы и поставим точку в этой долгой эпопее под названием Security Operations Center. Хотя, скорее всего, это будет многоточие...

Итак, есть уже упомянутое коллегами исследование, в котором делается пример расчета бизнес-кейса выбора между SIEM и MSSP. Вообще странная постановка вопроса, не правда ли. Как можно сравнивать продукт и компанию? Ведь MSSP - это провайдер услуг управляемой безопасности. Но даже если заменить MSSP на аутсорсинговый SOC, а SIEM на локальный SOC, то и тут данное исследование не сильно помогает. По сути он пытается вас привести к мысли, что надо идти в аутсорсинг. Но вчера мы уже поняли, что очевидного ответа тут нет. Тут надо все взвешивать. А для этого надо понимать статьи затрат, из которых будет складываться бюджет SOC.

От чего зависит этот бюджет? Как минимум от трех факторов:

• Собственный или внешний SOC
• Сервисы, предоставляемые SOCом
• Время работы SOC (5 х 8 или 24 х 7).

При этом сами статьи затрат меняются не сильно. Просто в случае собственного или аутсорсингового SOCа значения отдельных статей затрат будет нулевыми. Соответственно, часть из этих затрат будут одноразовыми и понадобятся только при создании SOC или заказе соответствующих услуг, а часть будут постоянными или требуемыми время от времени, но точно не одноразовыми. Итак, сходу приходят в голову следующие статьи затрат:

• Программное обеспечение
• SIEM и поддержка на него
• Дополнительный инструментарий и поддержка на него (зависит от сервисов)
• Коннекторы и поддержка на них
• Разработка специфических коннекторов
• Разработка дополнительного инструментария
• Средства защиты самого SOC
• ПО Service Desk
• Разработка портала/сайта/раздела и поддержание его
• Аппаратное обеспечение
• Сервера под SIEM, дополнительный инструментарий и Service Desk и поддержка на него
• Рабочие станции аналитиков и поддержка на них
• Оборудование для проведения расследований и поддержка на него
• Источники бесперебойного питания и поддержка на них
• Хранилище данных
• Сервера и сетевая инфраструктура под основное хранилище
• Резервное хранилище
• Носители информации
• Услуги
• Внедрение SIEM и дополнительного инструментария
• Подписка на источники Threat Intelligence
• Поддержка инфраструктуры (резервирование, обновление ПО, управление патчами, защита и т.п.)
• Услуги центров компетенций / внешних консультантов
• Услуги внешних SOC
• Аттестация / сертификация / другой compliance (ФЗ-152, СТО БР ИББС и др.)
• Помещение
• Физическая безопасность (видеонаблюдение, замки, сейф, шредер, ВОХР/ЧОП и т.п.)
• Плазмы для визуализации
• Телефония
• Электричество
• Аренда помещения
• Услуги связи
• Резервный канал связи
• Комната отдыха
• Поддержка в адекватном состоянии (вентиляция, уборка и т.п.)
• Люди
• Группа аналитиков и инженеров
• Группа реагирования на инциденты
• Группа проведения расследований
• Обучение персонала SOC
• Командировки на место инцидента
• Разное
• Разработка регламентов.

 Дальше все "просто". В зависимости от ваших задач и ресурсов вы осмечиваете каждую из статей затрат и сравниваете "итого". При этом делать это стоит в некоторой среднесрочной перспективе. Очевидно, что в первый год свой собственный SOC потребует немалых капитальных затрат. Поэтому его выгода по сравнению с аутсорсингом будет видна только через несколько лет (и то не всегда).

Но статью бюджета - это только одна часть экономики SOC, затратная. А что у нас с доходной частью? Зачем нам SOC с точки зрения экономики? Тут мы вновь вторгаемся в непростую тему финансового обоснования ИБ. Как много у нас было / может быть инцидентов? Во сколько нам обходилось раньше управление ими? А во сколько может обойтись в будущем при нашей стратегии развития? В какую сумму нам обошлись простои от прошлых инцидентов? Возможно у нас были прямые потери (кражи, мошенничество)? На какую сумму? Можем ли мы это посчитать? Если да, то у нас перед глазами будет две важных части, которые позволят не только ответить на вопрос: "Нужен ли нам SOC?", но и сделать обоснованный выбор между собственным и аутсорсинговым SOCом.