SOC-центр под ключ для бизнеса в России: руководство по организации круглосуточного мониторинга ИБ

Тема мониторинга информационной безопасности на текущий момент активно освещается в СМИ и на специализированных форумах. Вопрос организации безопасного внутреннего и внешнего контура инфраструктуры давно перешел из сферы теоретических требований в плоскость практическую. С учетом нарастающих угроз и требований регулятора многие организации выстраивают внутренние подразделения по мониторингу, а кто-то передает данные задачи на аутсорс. Как в таком случае определиться с моделью внедрения? На какие критерии обращать внимание при выборе провайдера?

В статье постараемся найти ответы на эти вопросы.

Что такое SOC и почему это must-have в 2026–2027 годах?

Центр мониторинга информационной безопасности (Security Operations Center – SOC) – это структурное подразделение организации, которое осуществляет непрерывный мониторинг событий безопасности и проводит реагирование на инциденты ИБ. Используя специальный инструментарий, аналитики SOC получают события от различных средств защиты информации и исследуют их в режиме реального времени, выявляют угрозы до того, как они нанесут ущерб.

В технических терминах SOC – это комбинация трех ключевых элементов: люди, процессы и технологии, которые работают в согласованном режиме для обеспечения непрерывной защиты информационной безопасности организации.

Люди – это команда аналитиков безопасности, которые знают тактики киберпреступников изнутри. Они работают в сменном режиме, обеспечивая круглосуточное присутствие и готовность к любым инцидентам.

Процессы – это четко определенные, документированные и постоянно совершенствуемые рабочие процедуры для обнаружения, классификации, исследования и нейтрализации инцидентов безопасности. Процессы включают протоколы эскалации, каналы коммуникации между подразделениями, отчетность перед регуляторами.

Технологии – это специализированные системы сбора данных (SIEM), платформы анализа угроз, инструменты для расследования инцидентов, системы обнаружения вторжений (IDS/IPS), решения для управления информацией и событиями безопасности.

Теперь же раскроем суть вопроса, почему мониторинг – это необходимость? В 2025 году промышленные предприятия и госучреждения были наиболее приоритетной целью киберпреступников. Эта тенденция сохраняется с 2022 года, меняются лишь методы и подходы к проникновению в инфраструктуру и внедрению вредоносного программного обеспечения (далее – ПО). Также за 2025 год атаки на цепочки поставок увеличились на 110%, в виду того, что компрометация одного звена открывает доступ к широкому кругу крупных клиентов, которые получают обновления и компоненты по доверенным каналам. По данным исследований в период с июля 2024 по сентябрь 2025 года на Россию пришлось от 14% до 16% всех успешных кибератак в мире и 72% атак, зафиксированных в СНГ. Эти данные свидетельствуют о том, что вопрос «Атакуют ли меня?» давно устарел, а вот «Как снизить риски и выстроить защищенный внутренний контур организации?» – как никогда актуален.

Российская специфика

SOC – это инструмент, который работает в строгих рамках российского законодательства и регуляторных требований. Но это создает как вызовы, так и возможности для российских компаний.

В нашей стране информационная безопасность рассматривается как стратегический приоритет национальной безопасности. Это отражено в целом пакете законов, которые напрямую влияют на требования к SOC.

Федеральный закон № 152-ФЗ «О персональных данных» 

распространяется на организации, в которых обрабатываются персональные данные граждан России (данные клиентов, сотрудников, поставщиков).

Некоторые из требований, прописанные в 152-ФЗ:

1. Хранить данные на серверах, расположенных на территории России.

2. Обеспечить непрерывный мониторинг доступа к этим данным.

3. Немедленно уведомлять Роскомнадзор о любом инциденте с утечкой персональных данных.

4. Документировать все события безопасности не менее трех лет.

SOC, работающий в соответствии с 152-ФЗ, должен иметь специальные процедуры для классификации и отчетности по инцидентам с персональными данными.

Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры» 

распространяется на государственные органы, государственные учреждения, российские юридические лица, которым на праве собственности, аренды или на другом законном основании принадлежат информационные системы из сфер, функционирующих в областях:

• здравоохранения,

• науки,

• транспорта,

• связи,

• энергетики,

• государственной регистрации прав на недвижимое имущество и сделок с ним,

• банковской сфере и иных сферах финансового рынка,

• топливно-энергетического комплекса,

• атомной энергии,

• оборонной промышленности,

• ракетно-космической промышленности,

• горнодобывающей промышленности,

• металлургической промышленности,

• химической промышленности.

Если организация подпадает под требования 187-ФЗ, то ей необходимо:

1. Взаимодействовать с НКЦКИ (Национальный координационный центр компьютерных инцидентов).

2. Проводить обязательный аудит безопасности.

3. Организовать мониторинг ИБ.

Приказ ФСТЭК России № 239

В этом приказе описаны требования по обеспечению безопасности значимых объектов КИИ: 

1. Проводить тестирование на проникновение.

2. Необходимо наличие системы сбора событий (SIEM или эквивалента).

3. Команды квалифицированных специалистов для анализа и реагирования.

4. Журналирование всех критически важных событий.

Приказ ФСТЭК России № 117

Его требования распространяются не только на государственные информационные системы, но и на иные информационные системы государственных органов, унитарных предприятий, учреждений и муниципальных структур. Согласно 117 приказу ФСТЭК России требуется:

1. Обеспечение мониторинга.

2. Управление уязвимостями.

3. Обеспечение защиты информации при применении конечных устройств.

4. Контроль уровня защищенности.

5. Обеспечение непрерывного взаимодействия с ГосСОПКА.

Также в 117 Приказе ФСТЭК России одной из мер для защиты информационных систем органов государственной власти является предъявление требований по ИБ для подрядных организаций. То есть, даже если вы – коммерческая организация, и требования к ИБ на вас не распространяются, то при работе с государственными органами вам могут предъявить требования по организации безопасности информации для получения доступа в инфраструктуру заказчика.

Приказы, касающиеся взаимодействия с НКЦКИ

В декабре 2025 года ФСБ России опубликовала изменения в приказах, касающихся взаимодействия с НКЦКИ, а именно Приказы №539, №540, №546, №547, №548, №553, №554. Мы уже делали их полный разбор в блоге:

Обзор приказов ФСБ России за декабрь 2025.

Проблема географической распределенности

Одна из самых характерных для российского бизнеса проблем – это географическая распределенность. Компания может иметь головной офис в Москве, филиалы в Екатеринбурге, Новосибирске, Краснодаре, Владивостоке и еще десяток филиалов в региональных городах. Каждый филиал имеет собственные серверы, локальные сети.

SOC собирает логи со всех объектов, анализирует их единообразно, выявляет угрозы, которые могут распространяться между филиалами (например, вредоносное ПО, которое проникло в Екатеринбурге и попытается распространиться на Москву), и обеспечивает скоординированный ответ.

Это особенно критично в условиях, когда сеть между филиалами может быть нестабильной (особенно в удаленных регионах) / требуется надежность VPN-туннелей / нужна идентификация пользователей независимо от их локации.

Как выбрать формат центра мониторинга? Модели внедрения

Когда компания принимает решение о необходимости SOC, перед ней встает следующий вопрос: как его организовать? Существует три принципиально различные модели, каждая из которых подходит для разных размеров, типов компаний и доступных ресурсов. Давайте разберем каждую.

Модель 1: Внутренний SOC

Компания самостоятельно строит собственное подразделение по мониторингу, при необходимости нанимает команду аналитиков безопасности, внедряет все требуемые инструменты (SIEM, IDS/IPS, платформы анализа угроз) и содержит их в собственных центрах обработки данных или в облаке.

Преимущества:

• Максимальный контроль – вся информация остается внутри компании и никакие данные не передаются третьей стороне.

• Полная кастомизация – вы настраиваете процессы, инструменты и требования ровно под вашу инфраструктуру.

• Выполнение требований внутренних ограничений на использование услуг сторонних организаций (особенно оборонно-промышленный комплекс).

Недостатки:

• Большие первоначальные затраты – стоимость оборудования, программного обеспечения, помещений и сетевой инфраструктуры может составлять 5–10+ миллионов рублей.

• На рынке не хватает квалифицированных SOC-аналитиков, особенно в регионах. В среднем поиск такого специалиста занимает 6 месяцев. Для организации мониторинга требуется смена работников – нужна команда минимум из 6–7 человек, чтобы обеспечить 24/7 мониторинг в сменном режиме. Также потребуются специалисты для обслуживания системы мониторинга и в зависимости от задач – профильные специалисты (расследование инцидентов, настройка правил, анализ трендов угроз и прочее).

• Высокие издержки при закупке оборудования (серверы для сбора и обработки данных и хранения логов).

Для кого подходит:

• Крупные корпорации (более 1000 сотрудников), компании в критически важных отраслях, государственные органы власти и центры информационных технологий.

• Организации, где вынос данных за периметр запрещен внутренними регламентами и требованиями законодательства.

Модель 2: SOC как услуга: оптимальное решение для большинства

Компания передает функции мониторинга внешнему провайдеру (MSSP – Managed Security Service Provider), который предоставляет SOC под ключ. Провайдер содержит собственных аналитиков, инструменты и инфраструктуру; организация-заказчик платит за услугу по подписке (обычно в расчете на количество контролируемых узлов / количество контролируемых рабочих мест / поток событий).

Как это работает на практике:

Провайдер помогает определить критически важные элементы инфраструктуры для мониторинга (серверы, рабочие станции, сетевые устройства).

На вашей стороне внедряются специализированные компоненты системы мониторинга, которые собирают логи безопасности и отправляют их провайдеру через защищенные каналы.

На стороне провайдера эти логи обрабатываются специалистами с целью выявить подозрения на инциденты ИБ. При выявлении инцидента вам немедленно отправляется alert с описанием проблемы и рекомендациями.

Вы применяете рекомендации, а провайдер формирует отчет об инциденте для ваших записей и регуляторов.

Преимущества:

1. Низкие первоначальные затраты. Нет необходимости в капитальных вложениях. Услугу можно оплачивать помесячно.

2. Предсказуемая стоимость на период заключения договора.

3. Доступ к опыту и экспертизе. Провайдер работает с множеством компаний, видит актуальные тренды угроз, знает, как реагировать на новые типы атак. Аналитики постоянно повышают компетенции и одними из первых узнают об изменениях в трендах угроз.

4. Масштабируемость. Можно легко добавить или убрать хосты в рамках лицензии на SIEM, а также расширить объем поступающих событий (EPS).

5. Свежие инструменты. Провайдер постоянно обновляет технологии, не нужно самостоятельно отслеживать новые версии ПО.

6. Идеально для регионов. Компаниям в Екатеринбурге, Новосибирске, Краснодаре не нужно нанимать SOC-аналитиков в своем городе; они получают услугу от провайдера, который находится, например, в Москве, но работает круглосуточно.

Недостатки:

1. Неполный контроль. Данные передаются третьей стороне, нужны строгие соглашения о конфиденциальности.

2. Возможная задержка реагирования. Зависит от SLA (Service Level Agreement); типичные критерии – реагирование в течение 1–4 часов.

Для кого подходит: 

Малые и средние организации (100–1000 сотрудников), региональные филиалы крупных корпораций, компании, которые не хотят отвлекаться на управление SOC и хотят сосредоточиться на своем основном бизнесе.

Модель 3: Гибридная модель.

Комбинация первых двух подходов. Организация строит собственную локальную систему мониторинга (SIEM) на своей территории, которая собирает логи и выполняет первичный анализ, но часть функций (глубокий анализ, корреляция событий, расследование сложных инцидентов и прочее) делегирует внешнему провайдеру.

Как это выглядит на практике:

У организации есть собственный SIEM в локальной сети, который видит все, что происходит на ваших серверах в реальном времени.

Ваши специалисты осуществляют мониторинг событий безопасности. В случае выявления подозрения на инцидент, либо в случае возникновения сложности в анализе, вы подключаете провайдера. Также возможен вариант, когда вы предоставляете доступ к SIEM-провайдеру и уже специалисты провайдера анализируют события и выявляют подозрения на атаки, предоставляя результаты и набор рекомендаций.

Для обычных событий вы полагаетесь на себя, для сложных или подозрительных – подключаете провайдера.

В результате вы получаете лучшее из обоих моделей: контроль + экспертиза.

Преимущества:

1. Оптимальный баланс контроля и стоимости.

2. Быстрое реагирование на локальные угрозы.

3. Масштабируемость. Можно легко расширять функции.

4. Быстро усилить покрытие мониторинга внутри организации и приобрести экспертизу.

Недостатки:

1. Сложность интеграции. Требуется работающая, надежная связь между вашей локальной системой и системой провайдера.

2. Нужна собственная экспертиза. Хотя вы и полагаетесь на провайдера, вам все равно нужна собственная команда для управления SIEM.

Для кого подходит: малые и средние организации (100–1000 сотрудников), которые хотят иметь контроль, но не готовы к большим тратам на внутренний SOC; организациям с дополнительными требованиями регуляторов. Организации, которые в последующем хотят перейти на внутренний мониторинг. Также данный формат мониторинга подойдет и крупным организациям, которым нужно взять определенный сегмент инфраструктуры или филиала под наблюдение.

Как выбрать провайдера?

Если вы задумались о приобретении SOC по гибридной модели или SOC-как-услуги, далее нужно ответственно подойти к выбору провайдера. Мы собрали критерии, на которые точно нужно обратить внимание при обеспечении ИБ для соответствия требованиям регуляторов.

• Наличие лицензии ФСТЭК России на техническую защиту конфиденциальной информации (ТЗКИ) – данная лицензия дает право оказывать услуги по мониторингу информационной безопасности, включая анализ угроз, обнаружение инцидентов и реагирование.

• Наличие сертифицированных в ФСБ России средств защиты каналов передачи данных.

• Необходимый перечень технологий зависит от потребностей и бюджета услуги, но как правило выделяют следующее ПО:

• SIEM – для сбора событий и их корреляции в инциденты ИБ.

• VM – для поиска, оценки и приоритизации уязвимостей в инфраструктуре.

• SandBox – для анализа вредоносного ПО.

• IRP / SOAR – для инцидент менеджмента и реагирования.

• EDR – для защиты конечных устройств, автоматизированного сбора и реагирования.

• TI-feeds – потоки данных об угрозах для обогащения событий ИБ, содержащие данные об актуальных киберугрозах, индикаторах компрометации и тактиках злоумышленников Эти данные помогают аналитику предсказать вектор атаки и быстрее принимать решения, обогащать экспертизой события ИБ.

• Организация мониторинга 24/7

• Наличие статуса корпоративного центра ГосСОПКА для выполнения требований в части информирования регулятора о компьютерных атаках и инцидентах, а также отправки отчетности (актуально для субъектов КИИ и ГИС).

• Проведение периодических мероприятий по контролю уровня защищенности: анализ уязвимостей, инвентаризация, пентесты (актуально для субъектов КИИ).

Таким образом, используя этот чек-лист, у вас получится собрать необходимую информацию для выбора провайдера услуг под ваши требования. Стоит отметить, что это общее требование к провайдеру, которое может не учитывать ваши индивидуальные потребности в мониторинге. Вы можете изменить чек-лист под собственные нужды или обратиться за консультацией в наш центр мониторинга SOCRAT. Специалисты сформируют для вас индивидуальное предложение.

SOCRAT – Корпоративный центр ГосСОПКА

FAQ: Ответы на главные вопросы о SOC

Внедрение центра мониторинга и управления безопасностью (SOC) часто окружено мифами и техническими сомнениями. Мы собрали 6 самых частых вопросов, которые задают руководители ИБ и ИТ-директора российских компаний, и дали на них развернутые ответы.

1.  Как SOC помогает выполнять требования 152-ФЗ и ФСТЭК России?

SOC закрывает ключевые организационно-технические требования регуляторов. Во-первых, обеспечивается непрерывный мониторинг событий безопасности. Во-вторых, ведется журнал инцидентов и расследований, необходимый для отчетности перед ФСТЭК России и отправкой уведомлений в Роскомнадзор, если произошла утечка персональных данных. В-третьих, SOC контролирует доступы и выявляет несанкционированные действия, что напрямую связано с требованиями по защите персональных данных.

2.  Можно ли масштабировать услугу, если компания вырастет?

Да, модель SOC-как-услуги (SOCaaS) легко масштабируется. Добавление новых филиалов, серверов или рабочих мест происходит путем изменения лицензии и настройки новых коннекторов. Не нужно закупать новое «железо» для расширения мощности SIEM-системы, так как ресурсы провайдера эластичны.

3.  Есть ли возможность протестировать SOC перед покупкой?

Да, большинства провайдеров предлагают этап – пилотный проект. В течение 2–4 недель SOC подключается к части инфраструктуры в тестовом режиме. Вы видите реальное количество выявленных угроз и качество работы аналитиков, прежде чем подписывать долгосрочный контракт.

4.  Что лучше: облачный SOC или развернутый у себя (On-premise)?

Для 90% компаний оптимальным выбором является облачный (аутсорсинговый) SOC из-за скорости запуска и отсутствия капитальных затрат. On-premise решение имеет смысл только для организаций со специфическими требованиями к изоляции контура (например, некоторые госсекторы или производство), где вынос данных за периметр запрещен даже технически.

5.  Как SOC мониторит безопасность при гибридном формате работы и удаленных сотрудниках?

Защита не привязана к периметру офиса. Провайдер собирает телеметрию с endpoint-агентов, VPN-шлюзов, облачных сервисов. Это позволяет отслеживать подозрительную активность независимо от того, где находится пользователь: в головном офисе, региональном филиале или работает из дома.

6.  Помогает ли SOC взаимодействовать с ГосСОПКА?

Да, это одна из ключевых функций. SOC автоматизирует сбор и форматирование данных для обязательной отчетности перед НКЦКИ (ГосСОПКА), а также помогает оперативно осуществлять обмен информацией с регулятором. Это снижает административную нагрузку на вашу команду и минимизирует риски штрафов за нарушение сроков уведомления. С ГосСОПКА обязаны взаимодействовать операторы персональных данных, субъекты КИИ, государственные органы и ведомства.

Заключение

SOC – это не статья расходов, а стратегическая инвестиция в непрерывность вашего бизнеса и защиту репутации. Особенно это актуально в условиях санкционного давления, роста целевых атак на российский сегмент и ужесточения требований регуляторов.

Готовы перейти от борьбы с инцидентами к их предупреждению? Оставьте заявку на расчет стоимости SOC-услуг для вашей компании. Специалист КСБ-СОФТ свяжется с вами для подготовки индивидуального коммерческого предложения.

Хотите сначала изучить тему глубже? Скачайте подробную презентацию о возможностях нашего SOC-центра.