Security Operation Center im Einsatz

Network- und Computer-Forensik-Spezialisten,

weisungsbefugte Projektmanagement-Teams zur Durchsetzung von Sicherheitsprojekten und

ein Test-Team mit Labor zur Erprobung neuer Sicherheitsverfahren und -einrichtungen.

Weisungsbefugnisse notwendig

Ein SOC mit seinen Spezialkräften ist ein Papiertiger, wenn es nicht über die notwendigen Befugnisse seitens der Geschäftsleitung verfügt. Es muss daher nicht innerhalb der IT- oder IT-Security-Abteilung aufgebaut, sondern direkt beim Chief Security Officer (CSO) angesiedelt werden, der seinerseits unmittelbar dem Vorstand oder der Geschäftsleitung unterstellt sein sollte. CSO und SOC müssen mit allen notwendigen Befugnissen ausgestattet sein, auch um andere Abteilungen wie den Werkschutz um Hilfe bitten zu dürfen. Außerdem muss das SOC mit so viel Macht ausgestattet sein, das es sicherheitsrelevante Vorfälle (Innentäter, Hacking, Wirtschaftskriminalität) oder Vorhaben anderer Abteilungen (Einführung neuer Techniken, ohne auf Verwundbarkeiten geprüft worden zu sein) sofort bearbeiten oder sicherheitskritische Vorgänge ohne Einhaltung von Entscheidungswegen sofort stoppen kann. IT-Projekte sollten beim Projekt-Management-Team des SOC angemeldet werden, das sie auf mögliche Sicherheitsprobleme hin überprüft. Das Projektmanagement gibt als „Legislative“ außerdem Policies und Workflows für andere Abteilungen vor, während das SOC die „Exekutive“ vertritt – vergleichbar mit Polizeikräften, die bei Gefahr im Verzuge von vorher festgelegten Befugnissen Gebrauch machen dürfen, um Schaden abzuwenden.

Technische Aspekte

Die für die Aufrechterhaltung eines gesicherten Netzwerks notwendigen Informationen nehmen in vielen Fällen die Größenordnung von vielen GByte oder Millionen von Events an. Kein noch so großes SOC ist in der Lage, diese Datenflut sinnvoll zu bewältigen. Zur Abhilfe gibt es Security-Information-Managementapplikationen (SIM) wie das Computer Associates Security Command Center (SCC) oder Arcsights ESM. Vom Workflow her orientieren sie sich an Verfahren, die im militärischen Bereich als Network Centric Warfare (NCW) bekannt sind. Militärs nämlich kämpfen ebenfalls mit einer Informationsflut aus unterschiedlichsten Quellen (AWACS, Aufklärung, Geheimdienstinformationen, Elektronische Feedbacks etc.) und haben hierfür einen einfachen Workflow entwickelt (siehe Abbildung).