Home › Cyber Security › Smart SOC
Rilevazione, qualificazione e risposta agli incidenti come servizio continuativo. Non una console consegnata al cliente, ma analisti che guardano i sistemi e intervengono secondo procedure concordate.
Architettura
Un centro operativo unico è un punto singolo di cedimento: se diventa indisponibile, il presidio si ferma proprio quando serve. Smart SOC è costruito come rete di nodi coordinati sul territorio, con tre conseguenze concrete.
Dove non è ancora presente un nodo territoriale, il servizio è erogato direttamente dalla centrale. La rete si amplia man mano che entrano nuovi partner.
Perimetro
Le sorgenti vengono definite in fase di attivazione in base all'infrastruttura reale. Queste sono quelle ricorrenti.
Operatività
È la domanda che conta più di ogni scheda tecnica, perché distingue un servizio presidiato da uno strumento installato.
Il motore di correlazione riconosce l'anomalia mettendo insieme eventi che, presi singolarmente, non direbbero nulla.
Un analista verifica se si tratta di un falso positivo. È il passaggio che nelle soluzioni non presidiate manca del tutto.
Si stabilisce gravità e perimetro: quali sistemi, quali dati, da quanto tempo, con quale probabile origine.
Isolamento dei sistemi coinvolti secondo le azioni concordate in contratto, preservando le evidenze.
Ripristino, relazione sull'accaduto e indicazioni correttive perché non si ripeta dallo stesso varco.
Sul contenimento serve un chiarimento preliminare. Isolare una macchina significa fermare un'attività aziendale. Quali sistemi possiamo isolare in autonomia e quali richiedono la vostra autorizzazione preventiva viene deciso e messo per iscritto prima dell'attivazione, non durante l'incidente.
Livelli di servizio
La scelta non dipende dalla dimensione dell'azienda ma da quanto costa un'ora di fermo e da quando l'infrastruttura è realmente esposta.
| Livello | Presidio | Adatto a |
|---|---|---|
| Base | Analisti operativi in orario lavorativo. Fuori orario la raccolta e la correlazione proseguono, le segnalazioni vengono prese in carico alla riapertura. | Organizzazioni che operano in orario d'ufficio e possono tollerare un fermo notturno. |
| Esteso | Presidio ampliato a fasce serali e prefestive, con reperibilità per gli eventi di gravità elevata. | Produzione su più turni, commercio, strutture con attività oltre l'orario standard. |
| Continuativo | Presidio senza interruzione, festivi compresi, con intervento immediato sugli eventi critici. | Sanità, servizi essenziali, soggetti NIS2 e chiunque abbia un costo di fermo elevato. |
Tempi di presa in carico e di risposta sono definiti in contratto per ciascuna classe di gravità, insieme alle azioni di contenimento autorizzate.
Gestione delle vulnerabilità
Il monitoraggio interviene quando qualcosa sta accadendo. La gestione delle vulnerabilità riduce le occasioni perché accada, ed è un servizio continuativo, non una scansione periodica.
Inventario degli asset esposti, rilevazione continua sincronizzata con i repository NVD e CVE del NIST, classificazione per criticità e contesto — una vulnerabilità grave su un sistema isolato pesa meno di una media su un sistema esposto — e supporto alla remediation.
Il valore sta nella serie storica. Vedere il numero di esposizioni scendere nel tempo dice molto più di una fotografia isolata, ed è l'evidenza che serve in sede di audit o davanti a un committente che valuta la vostra sicurezza.
Verifica puntuale su infrastrutture, applicazioni web e sistemi esposti. L'assessment individua le debolezze; il penetration test verifica quali siano effettivamente sfruttabili e con quale impatto reale.
Consegniamo due documenti distinti perché servono a due lettori diversi: un report direzionale con il quadro di rischio e le priorità, e un report tecnico con evidenze, riproducibilità e indicazioni di correzione.
Raccordo normativo
È il punto in cui Smart SOC e la parte Compliance si incontrano, ed è la ragione per cui teniamo insieme le due cose invece di venderle separate.
Attivazione
Censimento dell'infrastruttura, delle sorgenti disponibili e di quanto è già in uso. Ne esce il perimetro da presidiare.
Livello di servizio, classi di gravità, azioni di contenimento autorizzate, referenti e catena di escalation. Tutto per iscritto.
Collegamento delle sorgenti, taratura delle regole di correlazione e periodo di affinamento per ridurre i falsi positivi.
Presidio continuativo, report periodici alla direzione e revisione delle regole quando l'infrastruttura cambia.
Domande frequenti
Nella maggior parte dei casi no. Firewall, antivirus e strumenti di protezione già presenti diventano sorgenti da cui raccogliamo eventi. La ricognizione iniziale serve proprio a stabilire cosa è riutilizzabile e cosa invece non produce dati utilizzabili.
No. Il servizio è pensato per organizzazioni che non hanno un presidio interno: siamo noi a ricevere le segnalazioni, qualificarle e intervenire. Serve però un referente aziendale raggiungibile per le decisioni che hanno impatto sull'operatività.
Pochi, ed è il punto. Il valore del presidio sta nel filtro: gli eventi grezzi sono migliaia al giorno, quelli che meritano l'attenzione della direzione sono pochi al mese. Un servizio che vi inoltra tutto sta scaricando su di voi il lavoro per cui è stato pagato.
Nessun presidio azzera il rischio, e chi lo promette è da evitare. Quello che cambia è il tempo di rilevazione e la qualità della reazione: contenimento immediato, evidenze conservate, e supporto nella valutazione della violazione e nelle eventuali notifiche al Garante e all'Agenzia.
Sì, ed è uno degli usi più frequenti. Un committente soggetto alla direttiva deve documentare la sicurezza dei propri fornitori: un presidio attivo con reportistica periodica è un'evidenza che potete produrre invece di un questionario da rincorrere.
Spesso il primo risultato utile emerge già lì: quasi sempre troviamo qualcosa di esposto che nessuno sapeva ci fosse.