Inventario de activos. Un SOC debe mantener un inventario exhaustivo de todo lo que hay que proteger, dentro o fuera del centro de datos (por ejemplo, aplicaciones, bases de datos, servidores, servicios de nube, puntos finales, etc.) y de todas las herramientas utilizadas para llevar a cabo esta protección (cortafuegos, herramientas antivirus/antimalware/antiransomware, software de supervisión, etc.). Muchos SOC utilizan una solución de descubrimiento de activos para esta tarea.

Mantenimiento y preparación de rutinas. Para maximizar la eficacia de las herramientas y medidas de seguridad de que dispone, el SOC realiza un mantenimiento preventivo, como por ejemplo la aplicación de parches y actualizaciones de software y la actualización continua de cortafuegos, listas blancas y listas negras, así como de las políticas y los procedimientos de seguridad. También puede crear copias de seguridad del sistema, o ayudar a crear políticas o procedimientos de copia de seguridad, para garantizar la continuidad del negocio en caso de una vulneración de datos, un ataque de ransomware u otro incidente de ciberseguridad.

Planificación de la respuesta ante incidentes. El SOC es responsable de desarrollar el plan de respuesta ante incidentes de la organización, que define las actividades, los roles y las responsabilidades en caso de una amenaza o incidente, y las métricas por las cuales se medirá el éxito de la respuesta ante cualquier incidente.

Pruebas regulares. El equipo del SOC realiza evaluaciones de vulnerabilidad (evaluaciones integrales para identificar la vulnerabilidad de cada recurso ante amenazas potenciales) y los costes asociados. También realiza pruebas de penetración que simulan ataques específicos en uno más sistemas. El equipo corrige o ajusta las aplicaciones, las políticas de seguridad, las prácticas recomendadas y los planes de respuesta ante incidentes en base a los resultados de estas pruebas.

Estar al día. El SOC debe dominar las últimas soluciones y tecnologías de seguridad, y la última información sobre amenazas (noticias e información sobre ciberataques y sobre los piratas informáticos que los perpetran) recopilándola de las redes sociales, de fuentes del sector y de la web oscura.

Supervisión de seguridad continua las 24 horas. El SOC supervisa toda la infraestructura de TI extendida (aplicaciones, servidores, software del sistema, dispositivos informáticos, cargas de trabajo en la nube, la red) las 24 horas del día, 7 días a la semana, y 365 días al año (24/7/365) en busca de señales en vulnerabilidades conocidas o de cualquier actividad sospechosa.

Para muchos SOC, la principal tecnología de supervisión, detección y respuesta es la  Gestión de Eventos e Información de Seguridad, o SIEM por sus siglas en inglés. SIEM supervisa y agrega alertas y telemetría del software y el hardware en la red en tiempo real, y luego analiza los datos para identificar amenazas potenciales. Más recientemente, algunos SOC también han adoptado la tecnología de detección y respuesta extendida (XDR), que proporciona una telemetría y supervisión más detallada y la posibilidad de automatizar la detección y respuesta ante incidentes.

Gestión de registros. La gestión de registros (recopilación y análisis de los datos de registro generados por cada suceso de la red) es una parte del trabajo de supervisión que merece un párrafo aparte. Si bien la mayoría de los departamentos de TI recopilan los datos de registro, es en el análisis cuando se establece cuál es la actividad normal o de referencia y se revelan anomalías que indican actividad sospechosa. De hecho, muchos hackers cuentan con el hecho de que las empresas no siempre analizan los datos de registro, lo que puede permitir que sus virus y su malware se ejecuten durante semanas o incluso meses en los sistemas de la víctima sin ser detectados. La mayoría de las soluciones SIEM incluyen la funcionalidad de gestión de registros.

Detección de amenazas. El equipo del SOC separa las señales del ruido (las indicaciones de amenazas cibernéticas y los abusos de piratas informáticos reales de los falsos positivos) y luego clasifica las amenazas según su gravedad. Las soluciones SIEM modernas incluyen inteligencia artificial (IA) que automatiza estos procesos y 'aprende' de los datos para mejorar con el tiempo en la detección de actividad sospechosa.

Respuesta ante incidentes. Como respuesta a una amenaza o incidente real, el SOC intenta limitar los daños. Las acciones pueden incluir:

• Investigar las causas raíz, para determinar las vulnerabilidades técnicas que dieron acceso a los hackers al sistema, y de otros factores (como por ejemplo una higiene de contraseñas incorrecta o una mala implantación de las políticas) que contribuyeron al incidente

• Cerrar puntos finales en peligro o desconectarlos de la red

• Aislar áreas en peligro de la red o desviar el tráfico de red

• Pausar o detener aplicaciones o procesos en peligro

• Eliminar archivos dañados o infectados

• Ejecutar software antivirus o antimalware

• Retirar de servicio contraseñas de usuarios internos y externos.

Muchas soluciones XDR permiten a los SOC automatizar y acelerar estas y otras respuestas a incidentes.

Recuperación y corrección. Una vez contenido el incidente, el SOC erradica la amenaza y luego trabaja para devolver los activos afectados al estado en el que se hallaban antes del incidente (p.ej., borrar, restaurar y reconectar discos, dispositivos de usuarios finales y otros puntos finales; restaurar el tráfico de red; reiniciar aplicaciones y procesos). En caso de una vulneración de datos o de un ataque de ransomware, la recuperación también puede implicar la migración a sistemas de copia de seguridad y el restablecimiento de contraseñas y credenciales de autenticación.

Balance y mejoras. Para impedir que se repita, el SOC utiliza cualquier nueva información obtenida del incidente para tratar mejor las vulnerabilidades, actualizar los procesos y las políticas, elegir nuevas herramientas de ciberseguridad o revisar el plan de respuesta a incidentes. A un nivel superior, el equipo del SOC también puede intentar determinar si el incidente revela una nueva o cambiante tendencia de ciberseguridad para la cual el equipo necesita prepararse.

Gestión de la conformidad. Es trabajo del SOC asegurarse que todas las aplicaciones, sistemas y herramientas y procesos de seguridad cumplen las normativas de protección de datos como el RGDP (Reglamento General de Protección de Datos), la CCPA (California Consumer Privacy Act o Ley de privacidad del consumidor de California), el PCI DSS (Estándar de Seguridad de Datos para la Industria de las Tarjetas de Pago) y la HIPAA (Health Insurance Portability and Accountability Act o Ley de Portabilidad y Responsabilidad de Seguros Médicos). Después de un incidente, el SOC se asegura de que se informe a los usuarios, los reguladores, los cuerpos de seguridad y otras partes de acuerdo con la normativa y de que se hayan conservado los datos del incidente necesarios para indicios y auditorías.