Czy trzeba mieć zespół SOC, żeby spełniać wymogi KSC?

Ustawa o krajowym systemie cyberbezpieczeństwa nie nakłada obowiązku posiadania własnego Security Operations Center. Wymaga jednak, aby organizacja rzeczywiście potrafiła monitorować swoje środowisko, wykrywać zagrożenia i reagować na incydenty.

To istotna różnica.

Samo wdrożenie SIEM, EDR czy innego systemu bezpieczeństwa nie oznacza jeszcze, że wymagania dotyczące monitorowania zostały spełnione. Potrzebny jest proces obejmujący zbieranie informacji, analizę zdarzeń, ocenę zagrożenia i reakcję.

W praktyce właśnie te zadania realizuje SOC.

KSC wymaga ciągłego monitorowania

Art. 8 KSC wymaga wdrożenia systemu zarządzania bezpieczeństwem informacji. Jednym z jego elementów jest objęcie systemu informacyjnego wykorzystywanego do świadczenia usługi systemem monitorowania w trybie ciągłym. Ustawa wskazuje również na obowiązek zbierania informacji o cyberzagrożeniach i podatnościach, zarządzania incydentami oraz podejmowania działań ograniczających ich wpływ.

Nie chodzi przy tym o zwykły monitoring infrastruktury, który informuje administratora, że serwer przestał odpowiadać albo kończy się miejsce na dysku.

Monitoring bezpieczeństwa powinien pozwalać wykrywać aktywność mogącą wskazywać na atak, przejęcie konta, infekcję złośliwym oprogramowaniem czy próbę uzyskania nieautoryzowanego dostępu.

Źródłem informacji mogą być między innymi stacje robocze i serwery, firewalle, Active Directory, Microsoft 365, systemy EDR lub XDR, infrastruktura chmurowa, systemy uwierzytelniania i aplikacje biznesowe. Samo zbieranie logów nadal jednak nie wystarczy.

Nietypowe logowanie administratora, uruchomienie PowerShella albo połączenie z nowym adresem zewnętrznym nie zawsze oznaczają atak. Znaczenie zdarzenia często można ocenić dopiero po zestawieniu go z innymi informacjami.

Dlatego ciągły monitoring powinien obejmować nie tylko wykrywanie alertów, ale również ich analizę i dalszą reakcję.

Jaką rolę pełni SOC?

SOC odpowiada za operacyjną część monitorowania bezpieczeństwa.

Analitycy nie tylko odbierają alerty z SIEM, EDR czy innych narzędzi, ale sprawdzają ich kontekst i oceniają, czy zdarzenie wymaga dalszego działania.

Przykładowo EDR może wykryć podejrzaną aktywność na komputerze użytkownika. Analityk sprawdza wtedy uruchomione procesy, historię aktywności, logowania oraz inne powiązane zdarzenia. Jeżeli analiza potwierdzi zagrożenie, uruchamiana jest odpowiednia procedura.

Może to oznaczać zablokowanie konta, izolację urządzenia, kontakt z administratorem albo rozpoczęcie pogłębionej analizy incydentu.

Bez takiego procesu nawet dobre narzędzia bezpieczeństwa mają ograniczoną wartość. SIEM, EDR i XDR automatyzują znaczną część pracy, ale nie eliminują potrzeby oceny zdarzeń i podejmowania decyzji.

Czy SOC musi działać wewnątrz firmy?

Nie. KSC wprost przewiduje możliwość realizowania zadań związanych z cyberbezpieczeństwem za pomocą własnych struktur albo zewnętrznego dostawcy usług zarządzanych w zakresie cyberbezpieczeństwa. Art. 14 wskazuje, że podmiot kluczowy lub ważny w celu realizacji zadań wynikających między innymi z art. 8 może powołać wewnętrzne struktury albo zawrzeć umowę z takim dostawcą.

Własny SOC może być uzasadniony w dużej organizacji, która dysponuje odpowiednim zespołem, budżetem i rozbudowaną infrastrukturą. Trzeba jednak pamiętać, że całodobowy monitoring wymaga odpowiedniej obsady, zastępstw, kompetencji analitycznych, utrzymania narzędzi, dostrajania reguł detekcji i regularnej aktualizacji procedur.

Z tego powodu część organizacji wybiera outsourcing SOC.

Jak wygląda outsourcing SOC?

W takim modelu zewnętrzny zespół przejmuje operacyjną część monitorowania. Do SOC trafiają dane z uzgodnionych źródeł, a analitycy monitorują zdarzenia, weryfikują alerty i eskalują te, które mogą oznaczać rzeczywiste zagrożenie.

Outsourcing nie musi przy tym oznaczać przekazania dostawcy pełnej kontroli nad infrastrukturą.

SOC może jedynie wykrywać i analizować zdarzenia, a działania techniczne pozostawić administratorom klienta. Możliwy jest też szerszy zakres współpracy, w którym dostawca ma prawo wykonać wcześniej uzgodnione czynności, na przykład odizolować stację roboczą za pomocą systemu EDR.

Dlatego przed uruchomieniem usługi trzeba ustalić przede wszystkim:

• jakie systemy i źródła danych są objęte monitoringiem,

• czy monitoring i analiza alertów działają 24/7,

• jakie zdarzenia wymagają natychmiastowej eskalacji,

• jaki jest wymagany czas reakcji,

• kto jest dostępny po stronie organizacji w przypadku incydentu,

• jakie działania SOC może wykonać samodzielnie,

• kto podejmuje decyzję o blokadzie konta, izolacji urządzenia lub innych działaniach ograniczających skutki ataku,

• jak dokumentowane są incydenty i przebiega komunikacja między SOC a organizacją.

  
  

To szczególnie ważne poza standardowymi godzinami pracy. Sam fakt, że SOC wykryje krytyczny incydent o trzeciej w nocy, nie wystarczy. Musi istnieć ustalona ścieżka eskalacji i osoba, która w razie potrzeby podejmie decyzję lub wykona działania po stronie organizacji.

W praktyce często dobrze sprawdza się model hybrydowy. Zewnętrzny SOC odpowiada za całodobowy monitoring i analizę zdarzeń, natomiast wewnętrzny dział IT zachowuje kontrolę nad infrastrukturą i realizuje działania wymagające dostępu administracyjnego.

Przykładowo SOC może wykryć przejęcie konta i powiadomić administratora. Administrator blokuje konto i resetuje dane uwierzytelniające, a analityk SOC w tym samym czasie sprawdza, czy atakujący nie uzyskał dostępu do innych systemów.

Outsourcing nie przenosi odpowiedzialności

Powierzenie monitorowania zewnętrznemu SOC nie oznacza przeniesienia odpowiedzialności za realizację obowiązków wynikających z KSC.

Ustawa wskazuje wprost, że kierownik podmiotu kluczowego lub ważnego odpowiada za wykonywanie obowiązków w zakresie cyberbezpieczeństwa również wtedy, gdy część albo wszystkie obowiązki zostały powierzone innej osobie.

Po stronie organizacji nadal potrzebne są więc osoby, które nadzorują usługę, współpracują z SOC i podejmują decyzje w przypadku incydentu.

Istotny jest również formalny aspekt współpracy. W wykazie podmiotów kluczowych i ważnych przewidziano informację o zawarciu umowy z dostawcą usług zarządzanych w zakresie cyberbezpieczeństwa na realizację zadań wynikających z art. 8 i art. 11, wraz z danymi tego dostawcy.

Outsourcingu nie należy więc traktować jako „oddania bezpieczeństwa na zewnątrz”. Jest to raczej podział zadań, który musi zostać dobrze opisany i osadzony w procesach organizacji.

Samo narzędzie nie wystarczy

Jednym z częstszych błędów jest utożsamianie monitoringu bezpieczeństwa z zakupem technologii.

Firma wdraża SIEM, EDR albo XDR i uznaje, że temat został rozwiązany. Tymczasem problem zaczyna się wtedy, gdy narzędzia zaczynają generować setki lub tysiące zdarzeń.

Jeżeli nikt ich regularnie nie analizuje, nie istnieją zasady eskalacji albo wszystkie alerty trafiają do administratora odpowiedzialnego jednocześnie za całą infrastrukturę, skuteczność takiego rozwiązania będzie ograniczona.

Dobrze zorganizowany monitoring powinien pozwalać odpowiedzieć na kilka prostych pytań: co monitorujemy, kto analizuje zdarzenia, jak szybko powinien zareagować, kto podejmuje działania oraz co dzieje się po wykryciu incydentu.

Dotyczy to zarówno własnego SOC, jak i usługi świadczonej przez zewnętrznego dostawcę.

Jakie kary grożą za niespełnienie wymagań KSC?

Brak własnego SOC sam w sobie nie jest podstawą do nałożenia kary. Problem pojawia się wtedy, gdy organizacja nie realizuje obowiązków określonych w ustawie.

Art. 73 przewiduje karę między innymi za niewdrożenie systemu zarządzania bezpieczeństwem informacji lub sytuację, w której wdrożony system nie zapewnia wymaganej funkcjonalności albo nie spełnia wymogów art. 8.

W przypadku podmiotu kluczowego maksymalna kara wynosi 10 mln euro lub 2% przychodów osiągniętych z działalności gospodarczej w poprzednim roku obrotowym, przy czym zastosowanie ma wyższa kwota. Kara nie może być niższa niż 20 tys. zł.

Dla podmiotu ważnego maksymalna wysokość kary wynosi 7 mln euro lub 1,4% przychodów z działalności gospodarczej z poprzedniego roku obrotowego. Minimalna kara wynosi 15 tys. zł.

Przy naruszeniach powodujących szczególnie poważne zagrożenie ustawa przewiduje karę do 100 mln zł. Odpowiedzialność może objąć również kierownika podmiotu, a maksymalna wysokość takiej kary może sięgnąć 300% jego wynagrodzenia.

Nowelizacja KSC weszła w życie 3 kwietnia 2026 r. UKE wskazuje, że w przypadku większości obowiązków możliwość nakładania nowych administracyjnych kar pieniężnych nastąpi po upływie dwóch lat, czyli po 3 kwietnia 2028 r.

Nie warto jednak traktować tego okresu jako czasu, w którym można odłożyć przygotowania. Skuteczny monitoring wymaga podłączenia źródeł danych, przygotowania procedur, ustalenia zasad eskalacji i sprawdzenia całego procesu w praktyce.

Czy więc trzeba mieć SOC?

Nie trzeba budować własnego Security Operations Center tylko po to, żeby spełnić wymagania KSC.

Trzeba natomiast zapewnić rzeczywistą zdolność do ciągłego monitorowania środowiska, wykrywania zagrożeń, analizowania zdarzeń i reagowania na incydenty.

SOC jest jednym z naturalnych sposobów realizacji tych zadań. Może działać jako zespół wewnętrzny, usługa zewnętrzna albo model hybrydowy.

W ZYDOR IT realizujemy całodobowy monitoring bezpieczeństwa oraz analizę zdarzeń z infrastruktury lokalnej i usług chmurowych. Usługa może uzupełniać wewnętrzny dział IT albo zapewnić organizacji operacyjną warstwę monitoringu bez konieczności budowania własnego SOC od podstaw.