Ein Security Operations Center ist die organisatorische Einheit, die die Sicherheitslage eines Unternehmens laufend überwacht, Meldungen bewertet und auf Vorfälle reagiert. Es ist damit primär eine Frage von Menschen und Abläufen, nicht von Technik, auch wenn es auf Werkzeuge wie SIEM, EDR und SOAR aufsetzt.
Üblich ist eine Staffelung: Eine erste Ebene sichtet Meldungen und schließt Fehlalarme, eine zweite untersucht bestätigte Vorfälle, eine dritte betreibt tiefergehende Analyse und aktive Suche nach Angreifern im Netz. Der Betrieb rund um die Uhr ist der eigentliche Kostentreiber, denn er verlangt Schichtbetrieb und damit ein Team, das für die meisten Unternehmen unerreichbar ist. Deshalb dominiert am Markt das betreute Modell, bei dem ein Dienstleister die Überwachung übernimmt; zu klären sind dann Reaktionszeiten, Eskalationswege und vor allem die Frage, welche Maßnahmen der Dienstleister selbst ergreifen darf und welche eine Freigabe brauchen.
Für kleinere Unternehmen ist ein eigenes SOC kein sinnvoller erster Schritt, solange Grundlagen wie Mehr-Faktor-Authentifizierung, Patchen und geprüfte Sicherungen nicht stehen.