Inventario de activos: un SOC necesita mantener un inventario exhaustivo de todo lo que hay que proteger, dentro o fuera del centro de datos (por ejemplo, aplicaciones, bases de datos, servidores, servicios en la nube, endpoints, etc.) y todas las herramientas utilizadas para protegerlos (firewalls, herramientas antivirus/antimalware/antiransomware, software de monitorización, etc.). Muchos SOC utilizarán una solución de detección de activos para esta tarea.

Mantenimiento y preparación de rutina: para maximizar la eficacia de las herramientas y medidas de seguridad implementadas, el SOC realiza un mantenimiento preventivo, como la aplicación de parches y actualizaciones de software, y la actualización continua de firewalls, listas de permitidos y bloqueados, y políticas y procedimientos de seguridad. El SOC también puede crear copias de seguridad del sistema, o ayudar a crear políticas o procedimientos de copia de seguridad, para garantizar la continuidad del negocio en caso de una vulneración de datos, un ataque de ransomware u otro incidente de ciberseguridad.

Planificación de la respuesta a incidentes: el SOC es responsable de desarrollar el plan de respuesta a incidentes de la organización, que define las actividades, roles y responsabilidades en caso de una amenaza o incidente, y las métricas por las cuales se medirá el éxito de cualquier respuesta a incidentes.

Pruebas periódicas: el equipo del SOC realiza evaluaciones de vulnerabilidad, evaluaciones exhaustivas que identifican la vulnerabilidad de cada recurso ante las amenazas potenciales o emergentes y los costes asociados. También realiza pruebas de penetración que simulan ataques específicos en uno o más sistemas. El equipo corrige o ajusta las aplicaciones, las políticas de seguridad, las mejores prácticas y los planes de respuesta a los incidentes en función de los resultados de estas pruebas.

Mantenerse al día: el SOC se mantiene actualizado sobre las últimas soluciones y tecnologías de seguridad, y sobre la inteligencia de amenazas más reciente: noticias e información sobre los ciberataques y los hackers que los perpetran, recopilada de las redes sociales, fuentes de la industria y la dark web.

Monitorización continua de la seguridad las 24 horas del día: el SOC monitoriza toda la infraestructura de TI ampliada (aplicaciones, servidores, software del sistema, dispositivos informáticos, cargas de trabajo en la nube, la red) 24 horas al día, 7 días a la semana, 365 días al año, en busca de indicios de exploits conocidos y de cualquier actividad sospechosa.

Para muchos SOC, la tecnología central de monitorización, detección y respuesta ha sido gestión de información y eventos de seguridad, o SIEM. SIEM monitoriza y agrega alertas y telemetría de software y hardware en la red en tiempo real, y luego analiza los datos para identificar posibles amenazas. Más recientemente, algunos SOC también han adoptado la tecnología de detección y respuesta extendidas (XDR), que proporciona telemetría y monitorización más detalladas, y permite la automatización de la detección y respuesta a incidentes.

Gestión de registros: la administración de registros, es decir, la recopilación y el análisis de datos de registro generados por cada evento de red, es un subconjunto importante de la monitorización. Aunque la mayoría de los departamentos de TI recopilan datos de registro, es el análisis el que establece la actividad normal o de referencia y revela las anomalías que indican actividad sospechosa. De hecho, muchos piratas informáticos cuentan con que las empresas no siempre analizan los datos de registro, lo que puede permitir que sus virus y programas maliciosos funcionen sin ser detectados durante semanas o incluso meses en los sistemas de la víctima. La mayoría de las soluciones SIEM incluyen capacidad de gestión de registros.

Detección de amenazas: el equipo del SOC separa las señales del ruido, los indicios de ciberamenazas reales y los usos de los hackers de los falsos positivos, y luego clasifica las amenazas por gravedad. Las soluciones SIEM modernas incluyen inteligencia artificial (IA) que automatiza estos procesos y que "aprende" de los datos para mejorar con el tiempo en la detección de actividades sospechosas.

Respuesta a incidentes: en respuesta a una amenaza o incidente real, el SOC actúa para limitar el daño. Las acciones pueden incluir:

• Investigar la causa raíz, para determinar las vulnerabilidades técnicas que dieron a los hackers acceso al sistema, así como otros factores (como una mala higiene de las contraseñas o una aplicación deficiente de las políticas) que contribuyeron al incidente.
• Apagar los endpoints comprometidos o desconectarlos de la red.
• Aislar áreas comprometidas de la red o redirigir el tráfico de red.
• Pausar o detener aplicaciones o procesos comprometidos.
• Eliminar archivos dañados o infectados.
• Ejecutar software antivirus o antimalware.
• Dar de baja las contraseñas de los usuarios internos y externos.

Muchas soluciones XDR permiten a los SOC automatizar y acelerar estas y otras respuestas a incidentes.

Recuperación y corrección: una vez que se contiene un incidente, el SOC erradica la amenaza y, a continuación, trabaja para recuperar los activos afectados a su estado anterior al incidente (por ejemplo, borrado, restauración y reconexión de discos, dispositivos de usuario y otros puntos finales; restablecimiento del tráfico de red; reinicio de aplicaciones y procesos). En el caso de una vulneración de datos o un ataque de ransomware, la recuperación también puede implicar pasar a los sistemas de copia de seguridad y restablecer las contraseñas y las credenciales de autenticación.

Autopsia y refinamiento: para evitar que se repita, el SOC utiliza cualquier información nueva obtenida del incidente para abordar mejor las vulnerabilidades, actualizar los procesos y las políticas, elegir nuevas herramientas de ciberseguridad o revisar el plan de respuesta al incidente. En un nivel superior, el equipo de SOC también podría intentar determinar si el incidente revela una tendencia de ciberseguridad nueva o cambiante para la que el equipo debe prepararse.

Gestión del cumplimiento: el SOC se encarga de garantizar que todas las aplicaciones, sistemas y herramientas y procesos de seguridad cumplan con las regulaciones de privacidad de datos, como el RGPD (Reglamento global de protección de datos), la CCPA (California Consumer Privacy Act), el PCI DSS (Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago) y la HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico). Tras un incidente, el SOC se asegura de que los usuarios, los reguladores, las fuerzas del orden y otras partes reciben una notificación de acuerdo con la normativa y de que los datos del incidente requeridos se conservan con fines de prueba y auditoría.