SOC-Beratung: Zielbild, Betriebsmodell und Entscheidung vor dem Aufbau

Bevor über Betriebsmodelle gesprochen wird, braucht es eine nüchterne Standortbestimmung. Das Assessment prüft vier Dimensionen. Erstens, welche Sichtbarkeit heute tatsächlich existiert (Log-Quellen, Endpoint- und Netzabdeckung), und zweitens, wie weit die Detection-Abdeckung je MITRE-ATT&CK-Taktik reicht. Drittens, wie verlässlich Eskalationsprozesse und Verantwortlichkeiten sind, und viertens, ob im Ernstfall Nachweise für Kunden, Versicherer oder Aufsicht vorliegen. Was ein SOC grundsätzlich leisten muss, ist auf Was ist ein SOC beschrieben.

• Visibility Coverage: welche Systeme, Clouds und Identitäten Telemetrie liefern und wo Lücken bestehen.
• Detection Coverage je Taktik: von Initial Access bis Exfiltration, mit priorisierten Lücken und ohne reines Abhaken von Checklisten.
• Prozess- und Eskalationsbereitschaft: sind Rollen, Kontaktwege und Entscheidungsbefugnisse im Ernstfall klar?
• Nachweisfähigkeit: reichen Logging, Aufbewahrung und Dokumentation für Audit, Versicherung und Meldepflichten?

Klassische Tier-1/Tier-2/Tier-3-Modelle erzeugen Warteschlangen, Übergabeverluste und lange Verweildauern bei einfachen Alarmen. ANOMAL-Consulting entwirft stattdessen ein tierless Betriebsmodell: Automatisierung und Anreicherung übernehmen die Vorfilterung, erfahrene Analysten bearbeiten Fälle von Anfang bis Ende und reichen sie nicht weiter. Das reduziert Reibung an Schnittstellen und verkürzt Entscheidungswege, ohne dass Kompetenz verdünnt wird. Wie ein 24/7-Betrieb praktisch abläuft, zeigt Wie funktioniert ein 24/7-SOC.

Die Beratung liefert die Entscheidungsgrundlage, nicht den vorgefertigten Verkaufspitch. Dazu gehören eine strukturierte Gegenüberstellung von Eigenbetrieb und Managed SOC (siehe Managed vs. In-House SOC), die Rollenaufteilung bei einem Co-Managed SOC, sowie Kostentreiber und Aufwandslogik zur Einordnung auf Was kostet ein SOC in der Schweiz. Konkrete Zahlen nennt ANOMAL erst im individuellen Scoping, jedes Mandat erhält eine eigene Offerte.

• 24/7-Abdeckung: Schichtmodell, Übergaben und Vertretungsregelungen, abgestimmt auf das tatsächliche Alarmvolumen.
• Eskalationsmatrix: wer wird bei welchem Schweregrad wann informiert, mit klaren Zeitfenstern.
• Mandat und Asset-Kritikalität: Response-Befugnisse werden vorab definiert und autorisiert, damit im Ernstfall nicht erst diskutiert werden muss, ob isoliert oder gesperrt werden darf.
• Kritikalitätsklassen für Systeme und Konten als Grundlage für priorisierte Reaktionszeiten.

Ein vordefiniertes Mandat ist der Unterschied zwischen einer Reaktion in Minuten und einer Reaktion, die erst nach internen Rückfragen beginnt. Wie sich das auf Erkennungs- und Reaktionszeiten auswirkt, ist auf MTTD und MTTR eingeordnet.

Das Zielbild braucht messbare Grössen: Detection-Abdeckung je Taktik, Reaktionszeiten je Kritikalitätsklasse, Anteil automatisiert geschlossener Fälle und Nachweisdichte für Audits. Die Beratung endet mit der begleiteten Übergabe in den laufenden Betrieb, ob als Eigenbetrieb, über ANOMAL als Managed SOC oder als Co-Managed-Konstrukt. Für regulatorische Nachweise sind ISO 27001 und SOC sowie FINMA-Anforderungen relevante Anschlussthemen.

SOC-Beratung ist der Weg dorthin, SOC as a Service Schweiz beschreibt den laufenden Betrieb danach. Wo Identitäts- und Zugriffsthemen das Zielbild mitbestimmen, ergänzt IAM- und PAM-Beratung das Bild; die Übersicht aller Beratungsleistungen steht auf Security Consulting Schweiz.