Wat is een SOC?
Een SOC (Security Operations Center) is een team van analisten, processen en technologie dat de IT- en OT-omgeving van een organisatie continu bewaakt op cyberdreigingen, verdachte activiteiten detecteert en analyseert en de respons op beveiligingsincidenten coördineert. Het SOC kijkt naar netwerken, endpoints, servers, cloud, identiteiten en steeds vaker ook naar industriële systemen, en reageert op Malware, Ransomware, datalekken en andere aanvallen. Een SOC kan een eigen afdeling zijn, een ingekochte dienst of een combinatie van beide.
Een SOC is het digitale commandocentrum voor cyberbeveiliging en incidentrespons.
🎯 Wat doet een SOC?
Een SOC bewaakt de netwerken, systemen, applicaties en OT-omgevingen van een organisatie en voert de volgende kerntaken uit:
- Monitoring - continu verzamelen en bewaken van Security-events, logs en netwerkverkeer via onder meer SIEM en EDR
- Detectie - herkennen van verdachte activiteiten op basis van regels, indicators of compromise, gedragsanalyse en anomaliedetectie
- Triage en analyse - alerts beoordelen, false positives wegfilteren en incidenten classificeren naar ernst en impact
- Incidentrespons - inperken, uitroeien en herstellen volgens het incidentresponsplan, inclusief forensisch onderzoek
- Threat hunting - proactief zoeken naar aanvallers die door de automatische detectie zijn geglipt
- Threat intelligence - kennis over actuele TTP’s van aanvallers vertalen naar betere detectie en een scherper beveiligingsbeleid
- Rapportage - verantwoording aan de CISO en het management, en ondersteuning bij wettelijke meldingen
🧱 Hoe is een SOC-team opgebouwd?
De meeste SOC’s werken met een gelaagde structuur van analisten, aangevuld met specialisten en een SOC-manager:
| Niveau | Rol | Typische taken |
|---|---|---|
| Tier 1 | Triage-analist | Alerts beoordelen, false positives afsluiten, escaleren volgens playbook |
| Tier 2 | Incident responder | Diepgaande analyse, scope bepalen, inperking en herstel coördineren |
| Tier 3 | Senior analist / threat hunter | Threat hunting, malware-analyse, forensics, nieuwe detectieregels bouwen |
| Engineering | SOC-engineer | SIEM, SOAR en databronnen beheren en koppelen |
| Management | SOC-manager | Prioriteiten, bezetting, rapportage, afstemming met de CISO |
Door automatisering en AI-ondersteuning schuift routinematig tier 1-werk steeds meer naar SOAR-playbooks, waardoor analisten zich op complexere incidenten kunnen richten.
🔧 Welke technologie gebruikt een SOC?
| Technologie | Functie | Opmerking |
|---|---|---|
| SIEM | Logs centraliseren, correleren en alerts genereren | Het hart van de meeste SOC’s |
| SOAR | Playbooks automatiseren en tools orkestreren | Gartner-term uit 2015; huidige betekenis sinds 2017 |
| EDR / XDR | Gedrag op endpoints bewaken; XDR combineert meerdere bronnen | EDR-term uit 2013, XDR uit 2018 |
| NDR | Netwerkverkeer analyseren op afwijkingen | Belangrijk in OT, waar agents vaak niet kunnen |
| Threat intelligence platform | IOC’s en TTP’s verzamelen en verrijken | Voedt detectie en hunting |
| Case management | Incidenten vastleggen, opvolgen en rapporteren | Basis voor audit trail en meldingen |
Detectieregels worden steeds vaker gekoppeld aan MITRE ATT&CK, het openbare kennismodel van aanvalstechnieken. Zo wordt zichtbaar welke technieken het SOC wel en niet kan detecteren.
🧠 Welke SOC-modellen zijn er?
- In-house SOC - eigen team en eigen tooling; maximale controle en kennis van de organisatie, maar duur en lastig te bemensen
- Uitbesteed (MSSP of MDR) - een managed security service provider bewaakt op afstand; MDR-diensten (managed detection and response) voeren ook zelf respons uit
- Hybride SOC - de organisatie houdt regie, kennis en tier 3 in huis en besteedt 24/7-monitoring uit; volgens de SOC-surveys van SANS een veelgekozen model
- Virtueel SOC (vSOC) - geen vaste ruimte; analisten werken verspreid en vaak deels op afroep
- Co-managed SOC - eigen team en leverancier delen hetzelfde SIEM-platform en dezelfde playbooks
Niet elk SOC is 24/7 bemand. Kleinere organisaties werken vaak kantoortijden met een piketdienst daarbuiten, of laten de nachtelijke uren door een leverancier afdekken.
🔐 Hoe werkt een SOC in OT-omgevingen?
In OT-omgevingen (industriële automatisering) gelden andere spelregels. Beschikbaarheid en veiligheid van het proces gaan vóór, en veel ICS- en SCADA-systemen verdragen geen agents of actieve scans. Daarom:
- Werkt het SOC samen met procesingenieurs en ICS/SCADA-specialisten voordat er wordt ingegrepen
- Leunt het op passieve monitoring en NDR die industriële protocollen als Modbus en DNP3 begrijpen
- Is kennis van IEC 62443, het Purdue Model en MITRE ATT&CK for ICS essentieel
- Houdt het rekening met Real-time processen en productierisico’s; een PLC isoleren kan een installatie stilleggen
Een gespecialiseerd OT-SOC combineert deze kennis, vaak als uitbreiding van het bestaande IT-SOC, zodat een aanval die via remote access of kantoornetwerk binnenkomt van begin tot eind te volgen is.
📏 Hoe meet u de prestaties van een SOC?
| KPI | Betekenis | Richtwaarde (indicatief) |
|---|---|---|
| MTTD (mean time to detect) | Tijd tussen begin van een incident en detectie | Uren of minder voor volwassen SOC’s |
| MTTR (mean time to respond) | Tijd tussen detectie en inperking | Enkele uren voor kritieke incidenten |
| False-positive-ratio | Aandeel alerts zonder echte dreiging | Zo laag mogelijk; bepaalt analistenbelasting |
| ATT&CK-dekking | Aandeel relevante technieken met werkende detectie | Groeit per kwartaal |
| Log source coverage | Aandeel kritieke systemen dat logs aanlevert | Nagenoeg 100% van kroonjuwelen |
Voor de volwassenheid van het SOC als geheel is SOC-CMM een veelgebruikt, gratis model. Het werd in 2016 ontwikkeld door Rob van Os en beoordeelt vijf domeinen: business, people, process, technology en services. MITRE publiceerde in 2022 11 Strategies of a World-Class Cybersecurity Operations Center, de opvolger van Ten Strategies uit 2014 en een gratis standaardwerk over inrichting en sturing.
🏭 Wanneer heeft u een SOC nodig?
Een SOC levert snellere detectie en respons, een centraal overzicht van dreigingen, forensisch bewijs met een volledige incidenthistorie en aantoonbare compliance met wet- en regelgeving. Die meerwaarde is het grootst:
- Wanneer u onder de NIS2-richtlijn of de Nederlandse Cyberbeveiligingswet valt
- Bij veel OT, remote access of koppelingen met leveranciers in de supply chain
- Bij eisen vanuit ISO 27001, de BIO of sectorale normen die logging en monitoring vragen
- Wanneer een aanval directe gevolgen heeft voor productie, leveringszekerheid of veiligheid
NIS2 en de Cyberbeveiligingswet schrijven geen SOC voor, maar wel risicogebaseerde maatregelen, incidentbehandeling en snelle melding. De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht. Een significant incident meldt u binnen 24 uur als vroegtijdige waarschuwing, binnen 72 uur als incidentmelding en binnen een maand met een eindrapport, bij het sectorale CSIRT en de toezichthouder via het meldpunt van het NCSC. Zonder detectiecapaciteit is die 24-uurstermijn in de praktijk niet haalbaar.
💶 Wat kost een SOC en hoeveel mensen zijn nodig?
Personeel is de grootste kostenpost. Eén positie die 24/7 bemand moet zijn, vraagt 8.760 uur per jaar. Een fulltime medewerker levert na vakantie, ziekte en training circa 1.600 tot 1.800 productieve uren, dus zijn er vijf tot zes FTE per 24/7-positie nodig. Een minimaal eigen 24/7-SOC met één analist per dienst plus tier 2/3, engineering en management komt al snel op tien tot vijftien FTE, vóór licenties voor SIEM, SOAR en EDR.
Een praktische aanpak:
- Bepaal de kroonjuwelen - welke systemen en processen moeten echt bewaakt worden, in IT en OT
- Kies het model - in-house, uitbesteed of hybride, op basis van budget en beschikbare kennis
- Sluit de juiste bronnen aan - begin met identiteit, endpoints, firewalls en Syslog, daarna OT-netwerkmonitoring
- Leg playbooks vast - inclusief escalatie naar de operatie en de wettelijke meldtermijnen
- Meet en verbeter - stuur op MTTD, MTTR en ATT&CK-dekking en herijk de dekking periodiek
🔄 Wat is het verschil tussen een SOC en een NOC?
| SOC (Security) | NOC (Network Operations) |
|---|---|
| Detectie van cyberdreigingen | Monitoring van beschikbaarheid en prestaties |
| Incidentrespons bij aanvallen | Technische storingen oplossen (bijv. downtime) |
| Beveiliging centraal | Netwerkoperaties centraal |
| Werkt samen met IT en CISO | Werkt samen met IT en infrabeheer |
Beide centra delen vaak data: een plotselinge piek in netwerkverkeer kan een storing zijn, maar ook een aanval.
❓ Veelgestelde vragen
Waar staat SOC voor?
SOC staat voor Security Operations Center. Een SOC bewaakt de digitale omgeving van een organisatie op cyberdreigingen en coördineert de respons op incidenten. Het moet niet verward worden met SOC 2, een auditrapportage over de beheersing van dienstverleners.
Is een SOC verplicht onder NIS2?
NIS2 en de Nederlandse Cyberbeveiligingswet verplichten geen SOC als zodanig. Ze eisen wel passende maatregelen, incidentbehandeling en een vroegtijdige waarschuwing binnen 24 uur na een significant incident. Voor de meeste organisaties is een eigen of ingekocht SOC de praktische manier om daaraan te voldoen.
Wat is het verschil tussen een SOC en een SIEM?
Een SIEM is technologie die logs verzamelt, correleert en alerts genereert. Een SOC is het team met processen dat die alerts beoordeelt, onderzoekt en erop reageert. Een SIEM zonder SOC levert vooral ongelezen alerts op.
Wat is het verschil tussen een MSSP en MDR?
Een MSSP bewaakt beveiligingsvoorzieningen op afstand en meldt verdachte zaken meestal aan de klant. Een MDR-dienst (managed detection and response) gaat verder en voert zelf onderzoek en respons uit, bijvoorbeeld door een endpoint te isoleren. Bij beide modellen blijft de organisatie eindverantwoordelijk voor het melden van incidenten.
Kan een IT-SOC ook OT bewaken?
Een IT-SOC kan OT bewaken als het beschikt over OT-specifieke netwerkmonitoring, kennis van industriële protocollen en afspraken met de operatie over ingrijpen. Zonder die aanvullingen mist het SOC aanvallen op PLC’s of grijpt het in op een manier die productie verstoort. Daarom kiezen veel organisaties voor een OT SOC als uitbreiding van het IT-SOC.
Hoeveel analisten heeft een 24/7 SOC nodig?
Een 24/7-positie vraagt 8.760 uur per jaar, wat neerkomt op vijf tot zes FTE per positie. Een klein eigen 24/7-SOC heeft daarmee al snel tien tot vijftien medewerkers nodig. Daarom besteden veel organisaties de nachten en weekenden uit aan een MSSP of MDR-leverancier.
📌 Samengevat
Een SOC is het kloppend hart van uw cyberbeveiliging: het detecteert dreigingen, onderzoekt ze en coördineert de respons, zowel in IT als in OT. Met SIEM, SOAR, EDR/XDR en NDR, een gelaagd team en heldere KPI’s als MTTD en MTTR helpt een SOC u aanvallen vroeg te stoppen en te voldoen aan de meldtermijnen van NIS2 en de Cyberbeveiligingswet.