SecOps-rollen begrijpen

Wanneer u een Security Operations (SecOps) discipline ontwikkelt, worden in dit artikel de rollen, verantwoordelijkheden en interne partnerschappen uitgelegd die nodig zijn om een effectief, modern SecOps-model te gebruiken dat is afgestemd op Zero Trust principes.

SecOps is een gespecialiseerde discipline die is gericht op het detecteren, onderzoeken en reageren op actieve bedreigingen in bijna realtime. Het werkt in continu conflict met kwaadwillende personen die hun technieken actief aanpassen.

Deze richtlijnen zijn bedoeld voor iedereen die plant of deelneemt aan de modernisering van SecOps, waaronder beveiligingsleiders, SecOps-beoefenaars, architecten, technici en partnerteams.

Waarom rollen en operationele modellen belangrijk zijn

SecOps-resultaten zijn afhankelijk van mensen en samenwerking als op technologie. Zelfs de meest geavanceerde detectie- en responshulpprogramma's zijn ineffectief zonder:

• Duidelijk eigenaarschap tijdens incidenten
• Gestructureerde escalatiepaden
• Sterke partnerschappen met teams die de omgeving ontwerpen, uitvoeren en begrijpen.

Hoewel SecOps een toegewezen beveiligingsfunctie is, is het sterk afhankelijk van de expertise van technische, operationele en bedrijfsteams die systemen en processen in de hele organisatie beheren.

Een duidelijk operationeel model zorgt voor het volgende:

• Incidenten worden op het juiste moment afgehandeld door de juiste rollen.
• Escalaties zijn voorspelbaar en efficiënt.
• Het leren van incidenten vertaalt zich in een verbeterde beveiligingspostuur,

SecOps-rollen en operationeel model

Deze SecOps-roldefinities zijn rechtstreeks gebaseerd op the Open Group Security Roles and Glossary Standard, die een gemeenschappelijke woordenlijst en structuur biedt die wordt geschaald van kleine teams naar grote, gedistribueerde beveiligingscentrums (SOC's).

In kleinere organisaties kunnen deze verantwoordelijkheden worden gecombineerd tot een aantal rollen. In grotere organisaties worden ze doorgaans onderverdeeld in gespecialiseerde teams. Ongeacht de grootte blijven de functies en resultaten consistent.

SecOps-rollen en -verantwoordelijkheden worden in dit diagram geïllustreerd:

In grotere SecOps-teams kunnen gespecialiseerde rollen worden onderverdeeld in toegewezen teams. In dit diagram ziet u hoe deze rollen samenwerken:

Core SecOps-rollen

• Security Operations (SecOps) Manager: biedt leiderschap en toezicht voor de Functie SecOps. Ondersteunt SecOps-teams, lijnt werk af op bedrijfsprioriteiten en verbetert voortdurend de effectiviteit.
• Triage-analist (Niveau 1): fungeert als eerste aanspreekpunt voor waarschuwingen en incidenten. Deze rol verwerkt snel goed begrepen aanvalspatronen en escaleert complexe gevallen voor dieper onderzoek.
• Onderzoeksanalist (Tier 2): Leidt de respons op complexe incidenten of incidenten met grote impact. Deze rol onderzoekt aanvallen met meerdere fasen, coördineert insluitingsacties en verfijnt detectielogica op basis van echte incidenten.
• Threat Hunter (Niveau 3): zoekt proactief naar aanvallers die detectie hebben weten te omzeilen. Bedreigingsjagers verkorten de tijd dat aanvallers onopgemerkt aanwezig zijn en leveren diepgaande expertise tijdens grote incidenten.
• Detectietechnicus: Ontwerpt, test en verbetert detecties om gebieden te verminderen zonder volledige zichtbaarheid. Deze rol beperkt de mogelijkheid van een aanvaller om onopgemerkt te werken en verbetert de detectie- en onderzoeksprocedures voor analisten.
• SecOps Platform en Data-engineer: zorgt ervoor dat SecOps-hulpprogramma's en gegevenspijplijnen betrouwbaar, schaalbaar en continu worden ontwikkeld. Deze rol vormt een basis voor de effectiviteit van alle andere SecOps-functies.
• Bedreigingsinformatieanalist: verzamelt en analyseert bedreigingsinformatie uit interne en externe bronnen en converteert deze naar bruikbare inzichten voor SecOps, beveiligingsbeheer en partnerteams.
• Incidentcoördinatie en -beheer: coördineert technische en bedrijfsreacties tijdens grote incidenten. Deze rol beheert communicatie, besluitvorming en functieoverschrijdende uitvoering tijdens crises.
• Aanvalssimulatie: test de gereedheid van de organisatie via realistische simulaties. Brengt hiaten in mensen, processen en technologie aan het licht. Deze simulaties kunnen vele vormen en indelingen aannemen, waaronder:
  • Penetratietests : simulatie van één bewerking om inbreuk te proberen op een activum of de organisatie (vaak geleverd door een externe organisatie).
  • Red teaming - simulatie van een persistente bedreigingsactor die meerdere langdurige operaties uitvoert.
  • Purple teaming – gezamenlijke gesimuleerde aanvalsoefeningen waarbij verdedigers (blauw) en gesimuleerde aanvallers (rood) nauw samenwerken om het leerproces voor beide rollen te versnellen.
  • Op discussie gebaseerde simulatie (tabletop-oefening) - gestructureerde simulatieoefening voor meerdere rollen om te praten via een realistisch aanvalsscenario (soms aangevuld met technische simulaties).
• Reverse Engineering/Digital Forensics (gespecialiseerde rollen): Zeer gespecialiseerde rollen die malware, artefacten en bewijsmateriaal analyseren. Digitale forensische specialisten ondersteunen wettelijke en regelgevingsvereisten door bewijs te verwerken met goedgekeurde procedures en het onderhouden van de bewakingsketen.

Hoe SecOps-rollen samenwerken

Deze rollen werken als een gelaagd model, waarbij:

• Triage verwerkt volume en snelheid
• Onderzoek en jacht omgaan met complexiteit en diepgang
• Technici verbeteren het systeem continu
• Leiderschap en coördinatie zorgen voor uitlijning en tolerantie

Deze structuur zorgt voor schaal zonder de kwaliteit op te offeren.

Belangrijkste interne SecOps-partners

SecOps kan niet effectief in isolatie werken. Succesvolle beveiligingsbewerkingen zijn afhankelijk van diepgaande integratie met teams die de omgeving ontwerpen, bouwen en gebruiken.

SecOps-gegevens en -inzichten, met name bedreigingsinformatie, zijn het waardevolst wanneer ze prioriteiten stellen in de hele organisatie.

Technische engineering/bewerkingen

Deze teams helpen bij onderzoek, insluiting en herstel tijdens incidenten en gebruiken SecOps-inzichten om prioriteit te geven aan preventieve controles. Veelvoorkomende partners zijn:

• Identity
• Netwerk
• Eindpunten
• Infrastructuur en platforms (cloud, on-premises, CI/CD)
• Gegevens en AI
• Operationele technologie (OT)

Architectuurrollen

Architecten ontwerpen de systemen die SecOps bewaakt en verdedigt, en nemen lessen op die zijn geleerd van incidenten in toekomstige ontwerpen.

Belangrijke rollen zijn onder andere:

• Ondernemingsarchitecten
• Beveiligingsarchitecten
• Infrastructuurarchitecten
• Gegevens en AI-architecten
• Toegangsarchitecten (identiteit, netwerken, enzovoort)
• Solution architects
• Software- en toepassingsarchitecten

Toepassings- en productontwikkelingsrollen

Deze teams ontwerpen en onderhouden de toepassingen Die SecOps moet detecteren en beveiligen.

Ze ondersteunen SecOps door:

• Hulp bij onderzoek en herstel tijdens incidenten
• Ervoor zorgen dat toepassingen geschikte telemetrie genereren
• SecOps-intelligentie gebruiken om prioriteit te geven aan beveiligingsverbeteringen

Volgende stappen 

Meer informatie over beveiligingsrollen in de Open Group-standaard.