ankieta pyta, czy mamy SOC lub SIEM, co to oznacza

SOC i SIEM są częścią detekcji i reagowania

SOC oznacza security operations center: zespół lub usługę, która stale monitoruje logi i alerty. SIEM oznacza security information and event management: oprogramowanie, które zbiera dane dzienników z systemów, koreluje je i wystawia alarmy. Często pracują razem — SIEM to narzędzie, SOC to ludzie, którzy z nim pracują — ale nie jest to wymóg. SOC może również pracować z innymi narzędziami, a SIEM może działać bez osobnego zespołu, który patrzy na niego 24/7.

Jeśli nie masz żadnego z nich, "nie" jest prawidłową odpowiedzią, a nie obejściem. Wielu klientów pyta o to jako wskaźnik dojrzałości twojej detekcji i reagowania, a nie jako wymóg sam w sobie. Co możesz wtedy uzupełnić: jak podatności i incydenty są w twoim przypadku faktycznie wykrywane i obsługiwane, również bez SOC lub SIEM — na przykład poprzez procedurą obsługi incydentów bezpieczeństwa i procesem identyfikacji i usuwania podatności. To daje bardziej realistyczny obraz niż zwykłe "nie" bez wyjaśnienia, i jest bliższe temu, co klient naprawdę chce wiedzieć.

Skąd się to bierze: artykuł 21 ust. 2 NIS2 i Załącznik A ISO 27001

Pytanie zazwyczaj nie pochodzi dosłownie z normy — ani artykuł 21 ust. 2 dyrektywy NIS2, ani Załącznik A normy ISO/IEC 27001 nie wymienią SOC ani SIEM jako oddzielnej obowiązkowej części. Oba wymagają jednak, aby organizacja potrafiła wykrywać incydenty bezpieczeństwa i na nich reagować, a SOC lub SIEM to jeden ze sposobów na wypełnienie tego wymogu, a nie cel sam w sobie. Klienci podlegający ustawie o bezpieczeństwie cybernetycznym — polskiemu wdrożeniu dyrektywy NIS2, która wchodzi w życie 15 sierpnia 2026 r. — czasami tłumaczą to wymóg wykrywania na to konkretne pytanie w ich własnych listach kontrolnych, nawet jeśli podstawowa norma nie używa słowa SIEM.