В современной кибербезопасности аббревиатура SOC встречается всё чаще‚ однако не все специалисты и руководители компаний используют её правильно в русскоязычной документации и устной речи; В данной статье подробно разберем‚ как корректно называть этот подразделение‚ какие существуют официальные и устоявшиеся варианты наименования‚ а также какие функции на него возложены.
Расшифровка аббревиатуры SOC
Аббревиатура SOC происходит от английского термина Security Operations Center. Дословный перевод на русский язык звучит как Центр операций безопасности или Центр операций по информационной безопасности.
Важно: В профессиональной среде принято произносить аббревиатуру по буквам — «Эс-О-Цэ» (или транслитом «СОЦ»). Произносить её как слово «Сок» — грубая профессиональная ошибка.
Официальные и рекомендуемые наименования на русском языке
Единого закрепленного в ГОСТе или законе названия не существует‚ однако в нормативных документах (ФСТЭК‚ ФСБ‚ Банк России) и стандартах (ISO 27001‚ PCI DSS) используются следующие варианты:
- Центр мониторинга и реагирования на инциденты информационной безопасности — наиболее полное и официальное наименование‚ используемое в регуляторах (например‚ в требованиях Банка России к СОЦ).
- Центр операций по информационной безопасности (ЦОИБ) — прямой калькированный перевод‚ часто применяемый во внутренних документах предприятий.
- Центр управления безопасностью — акцент на управленческой функции.
- SOC-центр / СОЦ-центр, разговорный и деловой жаргон (плеоназм‚ так как «C» в SOC уже означает Center‚ но широко устоявшийся).
Таблица соответствия терминов
| Аббревиатура / Термин | Полная форма (EN) | Рекомендуемое русское наименование | Контекст использования |
|---|---|---|---|
| SOC | Security Operations Center | Центр операций безопасности | Международные стандарты‚ отчетность для зарубежных партнеров |
| СОЦ / SOC | Security Operations Center | Центр мониторинга и реагирования (ЦМР) | Нормативные акты РФ (ФСТЭК‚ ЦБ РФ)‚ госсектор‚ критическая инфраструктура |
| SIEM/SOC | SIEM + SOC | Корреляционный центр / Центр корреляции событий | Техническая документация‚ описание архитектуры SIEM-систем |
Чем SOC отличается от смежных подразделений
Часто возникает путаница между SOC‚ NOC‚ CERT и CSIRT. Понимание разницы критично для правильного наименования в штатном расписании и регламентах.
- NOC (Network Operations Center) — Центр операций сети. Фокус: доступность инфраструктуры‚ аптайм‚ производительность каналов. Называется: НОЦ или Центр управления сетью.
- SOC (Security Operations Center) — Центр операций безопасности. Фокус: обнаружение инцидентов ИБ‚ анализ угроз‚ реагирование; Называеться: СОЦ‚ ЦМР‚ ЦОИБ.
- CERT / CSIRT (Computer Emergency Response Team / Computer Security Incident Response Team) — Команда реагирования на компьютерные чрезвычайные случаи / инциденты ИБ; Это функция/команда‚ а не обязательно отдельное физическое подразделение. SOC может включать в себя CSIRT. Называется: CERT‚ CSIRT‚ Команда реагирования на инциденты.
Структура и ключевые роли внутри SOC
Правильное наименование подразделения часто диктуется его зрелостью (уровнем зрелости по модели CMMI или SIM3). В зависимости от уровня‚ в штатном расписании могут фигурировать разные должности:
- Уровень 1 (L1), Аналитик первой линии (Triage Analyst): Мониторинг алертов‚ первичная триаж‚ эскалация. В штатке: «Оператор мониторинга СОЦ»‚ «Аналитик СОЦ 1-й линии».
- Уровень 2 (L2) — Аналитик второй линии (Investigation Analyst): Глубокое расследование инцидентов‚ threat hunting. В штатке: «Старший аналитик СОЦ»‚ «Аналитик ИБ (реагирование)».
- Уровень 3 (L3), Эксперт / Threat Hunter: Проактивный поиск угроз‚ разработка правил корреляции‚ реверс-инжиниринг вредоносного ПО. В штатке: «Ведущий эксперт СОЦ»‚ «Threat Hunter».
- SOC Manager / Руководитель СОЦ: Управление процессами‚ SLA‚ взаимодействие с бизнесом и регуляторами.
- SIEM-инженер / Content-инженер: Техническая поддержка платформы‚ написание правил корреляции‚ парсеров логов.
Нормативная база: как называть в документах для регуляторов
Если вы готовите документацию для аудита ФСТЭК‚ ЦБ РФ (382-П‚ 456-П) или соответствия 152-ФЗ‚ рекомендуется использовать формулировки‚ близкие к регуляторским:
Пример для Политики ИБ или Регламента:
«Для обеспечения непрерывного мониторинга событий информационной безопасности и оперативного реагирования на инциденты в Организации создан Центр мониторинга и реагирования на инциденты информационной безопасности (ЦМР) (далее — СОЦ)…»
Использование термина «СОЦ» в скобках после официального русского названия считается хорошим тоном‚ так как оно понятно аудиторам и международным партнерам.
Типичные ошибки в наименовании
- «Центр SOC» или «SOC-центр» в официальных приказах. Лучше: «Центр операций безопасности (СОЦ)».
- Смешение с SIEM. SIEM — это инструмент (технология)‚ SOC — это люди‚ процессы и технологии. Нельзя писать «Внедряем SOC» имея в виду только установку SIEM.
- Название «Отдел ИБ» вместо «СОЦ». Отдел ИБ — это широкая административно-функциональная единица (политики‚ аудит‚ защита ПДн‚ обучение). СОЦ — специализированная операционная функция 24/7. Их не стоит идентифицировать в штатном расписании.
- Игнорирование режима 24/7. Если подразделение работает 9/5‚ это не полноценный SOC‚ а «Служба мониторинга в рабочее время». Название должно отражать реальность (например‚ «Дежурная смена мониторинга»).
Чек-лист: как зафиксировать название в организации
- Определите уровень зрелости (только мониторинг / мониторинг + реагирование / проактивная охота).
- Выберите официальное русское название для приказа о создании/штатном расписании (Рекомендация: «Центр мониторинга и реагирования на инциденты ИБ»).
- Зафиксируйте сокращение (СОЦ) для внутреннего общения и английский SOC — для внешних контрактов и отчетности.
- Пропишите в Регламенте СОЦ: цели‚ задачи‚ зону ответственности‚ SLA‚ матрицу эскалации (RACI).
- Согласуйте название с юридическим отделом (для договоров с МССП-провайдерами‚ если используется аутсорсинг — MSSP / MDR).
Аутсорсинг: MSSP‚ MDR и виртуальный SOC
Если организация не содержит собственный штат‚ используются сервисы провайдеров. Здесь терминология также важна:
- MSSP (Managed Security Service Provider) — провайдер управляемых сервисов безопасности. Обычно предоставляет мониторинг (L1) и отчеты. Название в договоре: «Услуги управляемого мониторинга безопасности (MSSP)».
- MDR (Managed Detection and Response) — управляемое обнаружение и реагирование. Включает L2/L3‚ threat hunting‚ активное реагирование. Название: «Сервис управляемого обнаружения и реагирования (MDR)».
- vSOC (Virtual SOC) — виртуальный SOC. Маркетинговый термин для обозначения удаленной команды аналитиков.
Совет: В внутренних документах при аутсорсинге правильно писать: «Функции СОЦ передаются на аутсорсинг провайдеру (ИНН ) в рамках договора № * от *». Контакты ответственных лиц провайдера (телефоны‚ email) в открытых регламентах лучше маскировать или выносить в приложение с грифом «Для служебного пользования».
Правильное название — это не формализм‚ а часть управления рисками. Четкое наименование («Центр мониторинга и реагирования на инциденты ИБ» с сокращением «СОЦ») позволяет:
- Без двусмысленностей пройти аудиты регуляторов (ЦБ‚ ФСТЭК‚ ФСБ).
- Граничить зоны ответственности между Администрацией ИБ‚ NOC и СОЦ.
- Корректно оформить штатное расписание и KPI для аналитиков L1-L3.
- Построить понятную модель взаимодействия с подрядчиками (MSSP/MDR).
Используйте термин SOC (СОЦ) как общепринятый бренд подразделения‚ но в приказах‚ регламентах и контрактах всегда дублируйте его полным официальным русским наименованием.
Статья подготовлена на основе актуальных практик построения SOC на . Нормативная база может меняться‚ рекомендуется сверяться с последними версиями приказов ФСТЭК‚ ЦБ РФ и стандартов серии ISO 27000.