SOCは少なくとも、情報システムやサイバーセキュリティ管理ツールなどが送ってくるユーザーレポートやデータフィード（ログなど）を受け取り、分析する――といったプロセスと技術を担う集団で、多くは中央集権的な組織だ。一般的にSOCは、企業の情報システムやデータに悪影響を与えかねないサイバーセキュリティインシデントを検出し、優先順位を付けることが主な目標になる。

　SOCは組織によって異なる。つまり、サイバーセキュリティの優先順位やリスク許容度に従って実装されるものだ。検出からその修正に至るまでインシデントを管理するSOCもある。また、インシデント対応担当者のサポートと調整や、インシデント対応に関するコミュニケーションの処理を重視するものもある。例えば、ステータスの更新やサードパーティーとのやりとりなどだ。

　各企業は自社に適切かつ合理的なSOCサービスを導入しなければならない。

SOCの仕組み

　通常、SOCの担当者やテクノロジーは、セキュリティアナリスト、インシデントレスポンダー（インシデント発生時の対応担当者）、脅威ハンターなど、さまざまなレベルの専門知識を備えた従業員が年中無休体制で働く中央集権的な組織に配置される。SOCはプロセス主導になる傾向が非常に高い。SOCは標準作業手順、ユースケース、プレイブック（セキュリティ対策のベストプラクティスに関する書籍やツール）を有している。さまざまなサイバーセキュリティイベントやインシデントにSOC担当者が対応する方法や、こうしたことに関してコミュニケーションを取る方法を明確に定めるためだ。

　ユーザーレポートとデータフィードのリアルタイム分析に加えて、SOCは次のような機能（役割）も提供できる。

• データフィードとインシデントデータの長期分析
• セキュリティログの正規化と保存
• 脅威インテリジェンスの作成と普及
• 自動化とオーケストレーション
• 脅威評価
• 脆弱（ぜいじゃく）性の検出や管理（脆弱性のスキャンや修正など）

　企業は、SOCサービスの一部またはその全てをSOCサービスベンダーに外部委託することを検討するかもしれない。それは、以下に挙げる1つ以上の理由によるものだ。

• 必要なスキルを備えたSOC担当者を十分に雇用できない。
• 既存のサイバーセキュリティ製品を扱う経験豊かな専門家を用意することで、そうした製品からより高い価値を引き出したいと考えている。
• 企業の脅威情勢やビジネスモデルが変わったため、SOCサービスを迅速に拡大する必要がある（例えば、eコマース事業の追加など）。
• サイバーセキュリティ予算を資本支出（SOC機器の購入や従業員の雇用）ではなく運営支出（SOCサービスの利用）にするほうが望ましいか、そうする必要がある。
• 多くの顧客を監視することで得たサードパーティーの脅威に関する知見を適用できる。
• 最初のログレビューのような比較的単純で反復的なタスクはサードパーティーに任せるべきだという戦略的判断。これにより、SOC担当者はインシデント対応や脆弱性管理などの高度なタスクに専念できるようになる。

　上記の全ての理由について、SOCサービスベンダーに期待することがある。それは、特定のSOCサービスを顧客が自ら対応するよりも、効率的または安価に利用できるようになることだ。