Wdrożenie SOC krok po kroku
Zanim zacznie się dyżur, sprawdzamy cały łańcuch reakcji.
01 — Rozpoznanie
Ustalamy jednostki, lokalizacje, właścicieli systemów i krytyczne usługi. Zbieramy informacje o ochronie stacji, tożsamości, sieci, kopiach i dostępie dostawców. Wynikiem jest mapa środowiska, ograniczeń i potrzeb.
02 — Projekt zakresu
Określamy źródła logów, licencje, kolektory, retencję i lokalizację danych. Przygotowujemy macierz odpowiedzialności, klasy zdarzeń i plan reakcji. Wycenę można podzielić na etapy i oddzielić wdrożenie od utrzymania.
03 — Pilotaż
Podłączamy reprezentatywną grupę zasobów i sprawdzamy jakość danych, obciążenie oraz zgodność z aplikacjami. Wynik pilotażu decyduje o sposobie rozszerzenia. Uzgadniamy kryteria zatrzymania i plan powrotu.
04 — Integracja i dostrojenie
Uruchamiamy kolejne źródła, przypisujemy kontekst jednostek i dopracowujemy scenariusze. Każda integracja ma właściciela, sprawdzoną łączność i sposób wykrywania przerwy w przesyłaniu danych.
05 — Odbiór operacyjny
Testujemy alarm, kontakt po godzinach, eskalację, zatwierdzenie reakcji i przygotowanie notatki ze zdarzenia. Potwierdzamy dostępność osób decyzyjnych i alternatywny kanał kontaktu. Dopiero odebrany zakres wchodzi do stałej obsługi.
06 — Nadzór i rozwój
Przeglądamy raporty, nowe zasoby, zmiany ryzyka i potrzeby aktualizacji procedur. Harmonogram rozbudowy wynika z wyników monitoringu oraz planów jednostki, a nie z samej liczby dostępnych funkcji platformy.
Zacznijmy od Twojej infrastruktury.
Istniejąca serwerownia, jeden urząd lub kilka jednostek. Dobierzemy zakres SOC, XDR i NOC.
Logi pod kontrolą — od analizy do archiwum.
Dla dzienników systemów objętych KRI punktem wyjścia są 2 lata przechowywania od dnia zapisu, jeżeli przepisy odrębne nie wskazują innego okresu. Okres szybkiego wyszukiwania w SOC i całkowity czas zachowania zapisów to dwa osobne ustalenia.
Dwie warstwy przechowywania
- Bieżąca analiza: przykładowo 90 dni w szybkich indeksach SIEM. To wariant projektowy, a nie termin ustawowy ani automatycznie gwarantowany zakres usługi.
- Archiwum: zachowanie wymaganych zapisów do pełnych 2 lat od ich utworzenia, z uwzględnieniem przepisów odrębnych. Przeniesienie do archiwum nie rozpoczyna okresu od nowa.
Jakie zapisy obejmujemy?
KRI wymaga rejestrowania dostępu administracyjnego, dostępu do konfiguracji i zabezpieczeń oraz dostępu do danych prawnie chronionych w zakresie wymaganym prawem. Pozostałe zdarzenia dobieramy na podstawie analizy ryzyka. Ustalamy źródła, znaczniki czasu, kompletność i sposób odczytu. Same alerty SIEM lub raport PDF nie zastępują wymaganych logów źródłowych. Zasady te nie oznaczają obowiązku rejestrowania całego ruchu sieciowego ani dwuletniej retencji wszystkich nagrań CCTV.
Oddzielny serwer lub NAS w innej lokalizacji
Archiwum może znajdować się poza serwerem analitycznym, także na odpowiednio zabezpieczonym NAS, np. QNAP. Model urządzenia, funkcje systemu, pojemność i warunki utrzymania wymagają weryfikacji. Zapisy przesyłamy szyfrowanym kanałem; interfejsów administracyjnych i udziałów plikowych nie publikujemy bezpośrednio w Internecie.
- Oddzielne uprawnienia i archiwa jednostek, kontrola dostępu oraz ochrona kluczy szyfrowania.
- Kontrola kompletności, integralności i wieku ostatniego poprawnego transferu; buforowanie podczas przerw w łączności.
- Ochrona przed zmianą i usunięciem, w tym WORM lub niezmienność, jeżeli wybrane rozwiązanie je obsługuje.
- Usunięcie kopii roboczej dopiero po potwierdzeniu zapisu i weryfikacji archiwum; niezależna kopia oraz test odczytu i przywrócenia do analizy.
Retencja wpisana do zakresu usługi
Przed wdrożeniem ustalamy z jednostką kategorie danych, właściwe przepisy, okresy przechowywania, lokalizacje, pojemność, uprawnienia oraz czas udostępnienia archiwum. Dokumentujemy zasady usuwania po upływie retencji i zabezpieczenia materiału dotyczącego incydentu. Archiwizacja nie jest tym samym co kopia zapasowa; RAID nie zastępuje niezależnej kopii.
Podstawa: § 20 ust. 1–5 rozporządzenia KRI z 21 maja 2024 r., Dz.U. 2024 poz. 773. Stan prawny sprawdzono 28.09.2026. ELI wskazuje utratę mocy aktu 23.02.2027; wymagania trzeba ponownie zweryfikować przed zmianą przepisów. Okresy dla konkretnych systemów ustalamy z uwzględnieniem przepisów odrębnych.