Cybersecurity Team Roles and Responsibilities

La composizione di un team di sicurezza informatica: ruoli chiave e responsabilità

Per ottenere il NIST Cybersecurity Framework, molti SOC sono segmentati in team che sfruttano al meglio l'esperienza e il campo di esperienza di ciascun dipendente, come i seguenti:

#1: Analisti della sicurezza

Gli analisti della sicurezza informatica sono membri sul campo del team di sicurezza che, il più delle volte, hanno il naso premuto saldamente sull'odore delle minacce alla sicurezza all'interno di una rete.

Tuttavia, data la quantità di dati di rete, la gamma di sistemi che devono essere protetti e la natura variabile dei livelli di allerta, è comune che il ruolo dell'analista della sicurezza venga ulteriormente suddiviso in tre o quattro tipi chiave.

Livello 1: Gestore di allerta

Questo è generalmente il ruolo meno esperto ma ugualmente mission-critical.

Gli analisti della sicurezza di livello 1 sono responsabili del monitoraggio degli strumenti di sicurezza per avvisi e configurazioni errate. Quando arrivano nuovi avvisi, sono i primi a gestirli, poiché scelgono a cosa dare la priorità e come vengono valutati.

Livello 2: Rispondente

Questo livello riceve gli incidenti identificati dagli analisti di livello 1 e inizia un'analisi più approfondita della loro origine e delle implicazioni più ampie. A causa dell'ampia varietà di avvisi che sono unici per qualsiasi ambiente, le specifiche quotidiane possono cambiare notevolmente. Questi investigatori approfonditi sono esperti in analisi complesse e possono dedicare più tempo a incrociare gli avvisi che ricevono.

Costituiscono la maggior parte delle capacità di risposta agli incidenti di un'azienda e, grazie alla loro esperienza nella posizione di livello 1, hanno generalmente molta familiarità con i normali processi della rete di un'azienda.

Questa capacità di comprendere in modo rapido e conciso le complessità di un potenziale incidente significa che gli analisti di livello 2 sono anche ben posizionati per rispondere: aiutano a costruire una strategia di sicurezza per il contenimento, la correzione e il ripristino.

Livello 3: Esperto sul campo o Cacciatore di minacce

A supportare le indagini sugli incidenti ad ampio raggio degli analisti di livello 2 ci sono le loro controparti di livello 3: si tratta di analisti di grande esperienza che si sono poi specializzati in determinati campi.

Possono essere:

• Specialisti dell'infrastruttura
• Specialisti in tecniche di sicurezza informatica,

Spesso hanno il compito di occuparsi degli elementi più proattivi della sicurezza informatica, come la caccia alle minacce. Quando è in corso un test di penetrazione , sono i livelli 1 e 2 che fungono da team blu e i livelli 3 che generalmente agiscono come falsi aggressori, consentendo all'intero livello di sicurezza dell'organizzazione di trarre vantaggio dalla loro esperienza avanzata.

Indipendentemente dal livello, i cambiamenti della maggior parte degli analisti iniziano allo stesso modo: 

Il primo compito a disposizione è valutare le informazioni raccolte dal turno precedente, in particolare in un SOC 24 ore su 24, 7 giorni su 7, e iniziare con un briefing sugli incidenti in corso o sugli eventi che necessitano di un ulteriore monitoraggio.

Analista di livello 4: SOC Manager

Il SOC manager è responsabile degli analisti; Poiché sono essenzialmente l'ultima evoluzione della tradizionale carriera di analista, il ruolo viene talvolta definito analista di livello 4. Dirigono le operazioni SOC e sono responsabili della sincronizzazione degli analisti con DevOps e della strategia più ampi attraverso le policy di sicurezza.

Questo è il modo in cui costruiscono e aiutano a eseguire la strategia di sicurezza informatica.

Le responsabilità quotidiane di un responsabile SOC ruotano attorno al supporto del team e all'assicurarsi che tutto funzioni senza intoppi, tra cui:

• Erogazione di sessioni di formazione
• Assunzione di nuovi membri
• Contrattazione di servizi e strumenti esterni di cui il team ha bisogno

#2: Ingegneri della sicurezza

Sebbene non siano sempre membri integranti del SOC, gli ingegneri della sicurezza meritano una menzione a causa del loro ruolo nella gestione del rischio dell'organizzazione. Di solito hanno una vasta esperienza in software o hardware e sono generalmente responsabili della progettazione di sistemi informativi sicuri.

Questo spesso significa che hanno un piede nel SOC e un altro nel team DevOps ; Acquisiscono inoltre la responsabilità della documentazione dei protocolli di sicurezza dell'applicazione.

#3: Direttore della risposta agli incidenti

L'Incident Response Director si occupa dell'intero processo di risposta agli incidenti, coordinando e dirigendo ogni aspetto dello sforzo di risposta.

Il direttore IR si assume la piena responsabilità di tutti i ruoli all'interno del team di risposta e ha il potere di creare e assegnare ruoli aggiuntivi secondo necessità per affrontare le esigenze di un incidente, come l'assegnazione di più analisti per gestire particolari flussi di informazioni.

Questo approccio dinamico consente loro di adattare la struttura del team in tempo reale.

#4: CISO

Un gradino sopra il responsabile SOC c'è il Chief Information Security Officer (CISO). Senza le distrazioni dovute alla gestione dei singoli analisti, sono liberi di concentrarsi quasi esclusivamente sulle decisioni strategiche che allontanano l'organizzazione dalle minacce a livello di settore.

Riportando al CEO, bilanciano le esigenze di sicurezza con obiettivi e budget aziendali più ampi.