Security Operation Center

デジタル大辞泉

セキュリティー‐オペレーションセンター【security operation center】

読み方：せきゅりてぃーおぺれーしょんせんたー

⇒ソック（SOC）

ソック【SOC】

読み方：そっく

《security operation center》ネットワーク機器などの挙動とアクセスログを常時監視し、サイバー攻撃の検知と分析を行う組織。企業や行政機関の一部門として設置されるほか、外部の独立した組織として対応を行うものもある。保安上の脅威が発生した場合、CSIRT(シーサート)が対応する。セキュリティーオペレーションセンター。

ウィキペディア

セキュリティオペレーションセンター

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2023/06/20 07:20 UTC 版)

この記事は検証可能な参考文献や出典が全く示されていないか、不十分です。出典を追加して記事の信頼性向上にご協力ください。（このテンプレートの使い方） 出典検索?: "セキュリティオペレーションセンター" – ニュース · 書籍 · スカラー · CiNii · J-STAGE · NDL · dlib.jp · ジャパンサーチ · TWL（2015年11月）

この記事には独自研究が含まれているおそれがあります。問題箇所を検証し出典を追加して、記事の改善にご協力ください。議論はノートを参照してください。（2015年11月）

セキュリティオペレーションセンター (英: Security Operation Center) とは、顧客または自組織を対象とし、情報セキュリティ機器、サーバ、コンピュータネットワークなどが生成するログを監視・分析し、サイバー攻撃の検出・通知を行う組織である^[1]。

概要

組織のITシステムに対するネットワーク不正侵入、DDoS攻撃、ワームなどのサイバー空間の脅威に対応するために、その組織内に構成されるか、外部に委託（アウトソーシング）される。

企業などの組織では、従来はサーバ・ネットワーク分野の技術者が脅威に対応していたが、近年のサイバー攻撃の高度化に伴い、情報セキュリティに特化した技術者が対応するようになってきた。

分類

監視対象による分類

SOCは、その監視対象によって次の二つに分類できる。

• MSS（Managed Security Service）- ファイアウォール (FW)、侵入検知システム (IDS)、侵入防止システム (IPS)、Webアプリケーションファイアウォール (WAF) を中心としたセキュリティ機器のログを監視対応組織の外部機器に転送し、セキュリティイベントの監視・分析を行うもの。
• ディープSOC - サーバ、オペレーティングシステム (OS)、コンピュータネットワーク (NW)、データベース (DB) のログの監視・分析を行うもの。

MSSは主に顧客向け商用サービス、ディープSOCは組織内での対応または被害が顕在化した際のスポット契約として実施されてきた。これはサーバ、OS、NW、DBのログには顧客情報や営業上の秘密が記録されていて、社外に提示することがリスクとなるからである。

しかし、近年ではMSSをする企業がディープSOC分野に進出したり、組織内ディープSOCがMSSを開始したりして、区別があいまいになっている。

組織での分類

自組織だけにサービスを提供するSOCをプライベートSOC、商用またはグループ企業群に対してサービスを提供するものをパブリックSOCという。

近年、SOCは組織において必要なものとの認識が広がり、主に大企業を中心に自社内にプライベートSOCを組織する流れが加速している。ただし、次節に示す課題があるので、SOCを組織して継続的に運営していくのは、コンサルティングサービスを利用しても難しい。

課題

SOCをアウトソーシングする場合には、次の課題がある。

• コスト：　監視ポイントあたり年間数百万円の費用が生じる。SOC提供側がセキュリティ強化提案を実施すれば、情報セキュリティインシデントが起きにくくなる。幸いにしてインシデントがないとき、サポート費用と同様にムダ金と捉えられて削減の対象となりやすい。
• 情報管理：　守秘義務契約を契約に盛り込むとはいえ、顧客情報・営業上の秘密が間接的・直接的に外部の人間に参照されてしまう。委託元が別契約で顧客と守秘義務契約内で第三者への情報開示を禁じているときに、この問題が顕在化する。
• 業務範囲：　一般的なSOC商用サービスはMSSなので、脅威情報の通知は受け取れるが、対応は顧客が行うことになる。顧客自身が受け取った脅威情報への対処が難しい場合、別の外部企業（構築を請け負った企業）に対応を依頼する必要があり、要求の伝達が難しいことがある。

SOCを自組織内で組織する場合には、次の課題がある。

• 人材育成：　情報システムサービスを主な生業としていない企業のとき、セキュリティ人材の育成は困難を極める。セキュリティ機器に精通していることはもちろん、OS、NW、DBなどの要素技術とコード・スクリプトについての知識が要求される上、最新の脅威に対応するために幅広い教育が継続的に必要となる。
• キャリア：　商用サービスを提供する企業以外では、SOCをするという前提で入社する社員はいない。一般企業では、通常はセキュリティアナリストなどのポストはなく、SOCを経験した後のキャリアパスを描くことが社員側・管理職側ともに困難である。
• 人材流出：　サイバー攻撃は目に見えず、攻撃数の推移などは外部要因によるので、評価が困難になる。金銭的・身分的なインセンティブを与えることも困難である。体力が要求される365日24時間対応によって疲弊して退社するか、高給なセキュリティ企業への転職をせざるをえないことがある。

脚注

1. ^ NEC. “24時間365日監視！ 巧妙化するサイバー攻撃から企業を守る「セキュリティオペレーションセンター」”. 2015年11月14日閲覧。