SIEM vs SOC – vad är skillnaden?

Vad är SIEM?

SIEM står för Security Information and Event Management. Det är en plattform som samlar in loggar från en organisations hela IT-miljö – endpoints, brandväggar, identitetssystem, molntjänster, applikationer – normaliserar dem till ett gemensamt format och korrelerar händelser baserat på regler för att identifiera misstänkta mönster.

Moderna SIEM-plattformar (Microsoft Sentinel, Splunk, Elastic Security, IBM QRadar) erbjuder även dashboards, larm, rapportering och ofta inbyggda detektionsregler för kända angreppsmönster.

Vad är SOC?

SOC står för Security Operations Center. Det är funktionen – inte verktyget – som ansvarar för att kontinuerligt övervaka, upptäcka, analysera och svara på säkerhetshändelser i organisationens IT-miljö.

En SOC kombinerar teknik (varav SIEM är en del), processer (incidenthantering, eskalering, rapportering) och kompetens (säkerhetsanalytiker i tre tiers). Utan människor som tolkar larmen och agerar på dem är SIEM bara en larmgenerator.

Konkret skillnad – verktyg vs funktion

Den enklaste analogin är att SIEM är som ett brandlarm – det utlöser ljud när rök detekteras. SOC är brandkåren – människorna som rycker ut, bedömer situationen och släcker branden.

• SIEM = teknik som korrelerar loggar och utlöser larm
• SOC = människor och processer som triagerar, utreder och svarar
• SIEM utan SOC = larm som ingen agerar på (vanlig misstag)
• SOC utan SIEM = övervakning utan systematik (sker sällan i praktiken)
• SIEM levererar data, SOC levererar beslut och respons

Varför skillnaden spelar roll

Många organisationer köper en SIEM-licens, sätter upp dashboards och tror sig ha löst säkerhetsövervakningen. Resultatet är ofta att larmen samlas i en kö som ingen hinner gå igenom. Den verkliga incidenten drunknar i bruset.

Att köpa SOC innebär att man köper övervakning dygnet runt och kapaciteten att faktiskt agera på det som SIEM detekterar. För medelstora verksamheter är det praktiskt taget omöjligt att bygga detta internt – det kräver 8–12 analytiker, mogna processer och kontinuerlig kompetensutveckling.

Hur de samspelar i praktiken

I en fungerande säkerhetsoperation är SIEM och SOC oskiljbara. SOC-teamet använder SIEM som sitt primära arbetsverktyg, men kompletterar med EDR/XDR, SOAR (automation), hotintelligens och egna utredningsverktyg. Datakvaliteten in i SIEM blir grunden för hur bra SOC kan jobba – saknas källor, finns blinda fläckar.