Security Operations Center w średniej firmie – co zmienia wdrożenie NIS2 w Polsce

Security Operations Center to zespół i zestaw narzędzi, które w sposób ciągły monitorują zdarzenia bezpieczeństwa, klasyfikują je i uruchamiają reakcję. Od 3 kwietnia 2026 roku obowiązuje w Polsce nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdrażająca dyrektywę NIS2, co przesuwa tę funkcję z listy życzeń na listę obowiązków.

Czym jest Security Operations Center i jak dzieli się jego praca?

Security Operations Center (SOC) to centrum operacji bezpieczeństwa, w którym zbiegają się dwa procesy: obserwacja zdarzeń w systemach firmy oraz ich analiza pod kątem incydentów. Zadaniem takiej jednostki jest ochrona zasobów przedsiębiorstwa przed atakami, a także wychwytywanie zagrożeń zanim się zmaterializują i podejmowanie reakcji bez zbędnej zwłoki.

Praca Security Operations Center dzieli się zwykle na trzy linie wsparcia. Pierwsza obserwuje konsolę systemu monitorującego i wykonuje triage, czyli ocenę, klasyfikację i priorytetyzację zdarzeń. Druga prowadzi zarządzanie incydentami wraz z procesami analitycznymi, korzystając także z danych z innych systemów. Trzecia zajmuje się zaawansowanymi analizami, w tym informatyką śledczą i zarządzaniem scenariuszami ataków.

Ten podział ma znaczenie przy zakupie usługi. Organizacja może objąć umową wyłącznie pierwszą linię i zachować analizę u siebie albo powierzyć na zewnątrz cały łańcuch. Zakres godzinowy każdej linii bywa ustalany osobno, co pozwala dopasować czuwanie całodobowe tam, gdzie ryzyko jest realne.

Rola systemów SIEM w centrum operacji bezpieczeństwa?

Systemy klasy SIEM, czyli narzędzia do zarządzania informacją o bezpieczeństwie i zdarzeniami bezpieczeństwa, są osią, wokół której organizuje się praca SOC. Zbierają logi z rozproszonych systemów i urządzeń, sprowadzają je do wspólnego formatu i pozwalają analizować w jednym miejscu.

Najważniejsze funkcje, na które warto zwrócić uwagę przy ocenie oferty:

• zbieranie i ujednolicanie zapisów pochodzących z wielu źródeł, dzięki czemu zdarzenia z zapory, serwera i stacji roboczej da się zestawić na jednej osi czasu,

• korelacja zdarzeń w czasie rzeczywistym, umożliwiająca wykrycie ataku złożonego z kroków, które osobno wyglądają niegroźnie,

• wykrywanie anomalii, czyli odstępstw od normalnego zachowania sieci,

• automatyczne generowanie alertów na podstawie zdefiniowanych reguł,

• obsługa incydentu od identyfikacji do zamknięcia wraz z analizą po zdarzeniu,

• archiwizacja danych niezbędnych podczas audytów i postępowań.

Uzupełnieniem bywają rozwiązania klasy DLP, chroniące przed wyciekiem danych, oraz rodzina narzędzi detekcji i reakcji: EDR pracujący na stacjach końcowych, XDR korelujący dane ze stacji, sieci, poczty i chmury, a także MDR, czyli ten sam zakres detekcji dostarczany jako usługa zarządzana przez zewnętrzny zespół. Dobór zależy od tego, gdzie w danej organizacji leżą dane o największej wartości.

Co NIS2 i nowelizacja ustawy o KSC zmieniają w harmonogramie firm?

Dyrektywa NIS2, czyli dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555, została w Polsce wdrożona nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa. Przepisy obowiązują od 3 kwietnia 2026 roku i wyznaczają konkretne daty graniczne, których wcześniejsze regulacje nie wyznaczały tak szeroko.

Regulacja dzieli adresatów na podmioty kluczowe i podmioty ważne. Do zakresu trafiają organizacje z sektorów wymienionych w załącznikach do ustawy, które zatrudniają co najmniej 50 osób albo których roczny obrót lub suma bilansowa przekracza 10 mln euro. Sam próg wielkości nie wyczerpuje jednak kwalifikacji: część kategorii, w tym podmioty administracji publicznej, dostawcy usług DNS, rejestry nazw domen najwyższego poziomu oraz kwalifikowani dostawcy usług zaufania, podlega przepisom niezależnie od skali działania.

Sankcje różnicują obie grupy. Dla podmiotów kluczowych przewidziano kary do 10 mln euro albo 2 procent przychodu z roku poprzedzającego, dla podmiotów ważnych do 7 mln euro albo 1,4 procent, przy czym w obu przypadkach stosuje się kwotę wyższą. Administracyjne kary pieniężne mogą być nakładane dopiero po upływie dwóch lat od wejścia przepisów w życie, czyli od 3 kwietnia 2028 roku, co nie odsuwa jednak samych obowiązków.

Osobnym obowiązkiem, który wprost uzasadnia całodobowe czuwanie, jest zgłaszanie poważnych incydentów w wyznaczonych terminach: wczesne ostrzeżenie w ciągu doby, pełne zgłoszenie w ciągu trzech dób i raport końcowy w ciągu miesiąca. Firma bez stałego monitoringu dowiaduje się o incydencie zwykle po upływie pierwszego terminu.

Najbliższy z terminów jest już bardzo blisko: samorejestracja w Wykazie działa od 7 maja 2026 roku, a okno zamyka się 3 października 2026 roku, czyli wcześniej niż termin dostosowania procedur. Rejestracja wypada więc wtedy, gdy wiele firm nie ma jeszcze gotowych zabezpieczeń.

Modele współpracy przy budowie SOC dla średniego przedsiębiorstwa

Budowa centrum operacji bezpieczeństwa od podstaw we własnej strukturze rzadko ma sens poniżej pewnej skali, ponieważ czuwanie całodobowe wymaga obsadzenia zmian przez cały rok. W ofertach rynkowych powtarzają się trzy podstawowe modele.

Pierwszy to wsparcie istniejącego zespołu wewnętrznego w postaci okresowych analiz, audytów i testów penetracyjnych, sprawdzających dopasowanie i skuteczność wdrożonych narzędzi. Drugi to stała współpraca oparta na dedykowanym i w pełni outsourcowanym SOC, budowanym pod konkretną organizację. Trzeci to gotowe, ustandaryzowane pakiety usług, adresowane do firm działających w mniejszej i średniej skali, w których zakres wsparcia konfiguruje się przez dobór linii.

Wybór modelu wynika z zestawienia dwóch rzeczy: wyniku analizy ryzyk i możliwości budżetowych, przy czym pierwsza powinna wyprzedzać drugą. Punktem wyjścia jest zwykle analiza potrzeb wraz z audytem stosowanych polityk i dokumentacji, dopiero potem powstaje plan doboru zabezpieczeń technicznych i organizacyjnych.

Dokumentacja, bez której SOC nie spełni wymagań

Zgodność z regulacją opiera się na dokumentacji, nie na samym narzędziu. Organizacja potrzebuje kompletu dokumentów składających się na politykę bezpieczeństwa, w tym planu ciągłości działania (BCP, Business Continuity Plan) oraz planu odtworzenia po awarii (DRP, Disaster Recovery Plan). Do tego dochodzą procedury zarządzania kryzysowego, tryb postępowania po wykryciu incydentu oraz program szkoleń dla zespołu.

W praktyce audytorzy sprawdzają nie tylko istnienie dokumentów, ale też ślad ich stosowania: rejestry incydentów, archiwizację logów i wnioski z analiz przeprowadzonych po zdarzeniu. Pomocne bywa oparcie klasyfikacji zdarzeń o publicznie dostępną bazę MITRE ATT&CK, opisującą taktyki i techniki wykorzystywane przez atakujących, oraz konsekwentne mierzenie czasu wykrycia i czasu reakcji.

Wymagany przez audytora ślad stosowania procedur powstaje po stronie usługi operacyjnej, dlatego część dostawców łączy w jednym zakresie całodobowy monitoring bezpieczeństwa systemów, archiwizację zapisów systemowych, pomoc w chwili wystąpienia incydentu oraz analizy zdarzeń służące dalszemu podnoszeniu poziomu zabezpieczeń. Odbiorcami takich usług bywają przedsiębiorstwa zaliczane do infrastruktury krytycznej, a także firmy działające poza tą grupą oraz jednostki administracji publicznej.

Osobno warto rozważyć, kto w organizacji odpowiada za decyzje wynikające z alertów. Monitoring dostarcza informacji, natomiast wyłączenie systemu produkcyjnego w środku dnia jest decyzją biznesową, nie techniczną. Firmy, które nie wyznaczyły takiej osoby przed uruchomieniem usługi, tracą najcenniejsze pierwsze godziny na ustalanie kompetencji.

Jak porównać oferty SOC przed podjęciem decyzji

Oferty centrów operacji bezpieczeństwa trudno zestawić, bo każda opisuje inny zakres innymi słowami. Cztery pytania sprowadzają je do wspólnego mianownika, niezależnie od tego, jak dostawca nazywa swoje pakiety:

• które linie wsparcia wchodzą w zakres podstawowy, a które są zamawiane osobno,

• w jakich godzinach pracuje pierwsza linia, bo czuwanie całodobowe to inna usługa niż tryb dzienny z dyżurem telefonicznym poza godzinami pracy,

• do kogo należą licencje na systemy monitorujące, ponieważ przesądza to o kosztach ewentualnej zmiany dostawcy,

• czy zespół jedynie informuje o incydencie, czy ma uprawnienia do podjęcia działania, na przykład odcięcia zainfekowanej stacji od sieci.

Odpowiedzi warto zebrać w jednej tabeli dla wszystkich rozważanych ofert, ponieważ dopiero zestawienie obok siebie ujawnia, że zbliżone propozycje obejmują różny zakres pracy.

Kto świadczy usługi SOC poza modelem wewnętrznym

Wśród podmiotów świadczących takie usługi znajduje się ITCenter, spółka informatyczna z Warszawy obecna na rynku od 1997 roku, obsługująca głównie średnie przedsiębiorstwa.

SOC i NIS2 – wątpliwości pojawiające się przy budowie centrum operacji bezpieczeństwa

Czy wpis do wykazu następuje z urzędu, czy trzeba złożyć wniosek? Część podmiotów jest wpisywana automatycznie, pozostałe rejestrują się samodzielnie. Brak wpisu nie zwalnia przy tym z pozostałych obowiązków ustawowych, więc rejestracja i dostosowanie procedur to dwa osobne zadania z dwoma różnymi terminami. Rozstrzygnięcie, do której grupy należy dana organizacja, warto oprzeć na analizie prawnej, a nie na intuicji.

Czy podwykonawca podlega przepisom, jeśli jego klient jest podmiotem kluczowym? Bezpośrednio nie, ale pośrednio odczuje skutki. Podmioty objęte regulacją odpowiadają za bezpieczeństwo łańcucha dostaw, więc przenoszą wymagania na kontrahentów przez zapisy umowne i ankiety bezpieczeństwa. W praktyce dostawcy dostosowują się wcześniej niż wynikałoby to z ustawy.

Co zrobić z logami zebranymi przed uruchomieniem monitoringu? Zwykle nic. Historyczne logi rzadko są kompletne i spójne czasowo, a ich import potrafi zaburzyć reguły korelacji. Rozsądniejsze jest zachowanie ich w archiwum na potrzeby ewentualnego postępowania i budowanie reguł na danych bieżących.

Ile trwa uruchomienie monitoringu, zanim zacznie przynosić efekty? Pierwsze alerty pojawiają się szybko, ale okres strojenia reguł trwa dłużej. Na starcie system generuje dużo fałszywych alarmów, ponieważ nie zna specyfiki ruchu w danej firmie. Zakres i harmonogram warto ustalić z dostawcą przed podpisaniem umowy, bo różnią się w zależności od liczby źródeł danych.

Czy trzeba wymienić posiadane zabezpieczenia przed uruchomieniem usługi? Nie zawsze. Część modeli współpracy zakłada pracę na systemach, które organizacja już posiada, i uzupełnianie ich dopiero tam, gdzie analiza wykaże lukę. Warto o to zapytać wprost, bo różnica w nakładach początkowych bywa znacząca.

Kto odpowiada za zgłoszenie incydentu do organu, dostawca czy firma? Odpowiedzialność prawna pozostaje po stronie podmiotu objętego regulacją. Dostawca usługi może przygotować treść zgłoszenia i dane techniczne, natomiast obowiązek jego złożenia ciąży na organizacji. Ten podział warto opisać w umowie, wraz ze wskazaniem osób upoważnionych.

Artykuł sponsorowany