Sätt KPI:er för en SOC genom att mäta täckning, larmkvalitet, upptäcktstid, responstid och riskreduktion. Guiden visar mål, tröskelvärden, vanliga misstag och hur du jämför intern drift med en extern MDR- eller SOC-tjänst.
Överblick
- Följ först täckningsgrad, larmkvalitet, MTTA, MTTD/eskalering och dokumenterad åtgärd.
- Bedöm SOC-resultat mot kritiska tillgångar, hotbild och riskaptit, inte mot högsta möjliga larmvolym.
- Jämför intern SOC, hybridmodell och MDR utifrån ansvar, SLA, skalbarhet och kostnadsdrivare i SEK.
| Beslutsfaktor | Intern SOC | Hybrid-SOC | Extern MDR/SOC-tjänst |
|---|---|---|---|
| Operativt ansvar | Främst internt team | Delat mellan intern funktion och partner | Övervakning och initial analys kan ligga hos leverantör enligt avtal |
| Kontroll över prioriteringar | Hög, om kompetens och bemanning finns | Hög för verksamhetskritiska beslut | Kräver tydliga eskaleringsvägar och ansvar i SLA |
| Skalbarhet | Beror på egen rekrytering, beredskap och verktyg | Kan anpassas stegvis | Beror på tjänstens omfattning, integrationer och loggvolym |
| Viktiga kostnadsdrivare | Personal, SIEM, loggvolym, integrationer och beredskap | Kombination av interna och externa resurser | Loggvolym, systemmiljö, täckning, SLA och åtgärdsansvar |
Börja med fem KPI:er som visar om säkerhetsövervakningen fungerar
En bra KPI-modell ska visa om SOC-funktionen ser rätt saker, prioriterar rätt och leder till åtgärder. Mätetalen behöver vara tillräckligt enkla för veckovis driftuppföljning, men samtidigt relevanta för ledningens riskbeslut.
Täckningsgrad för kritiska system och loggkällor
Mät hur stor del av era prioriterade system, identiteter och informationsflöden som faktiskt skickar användbara data till säkerhetsövervakningen. Endpoint-skydd, identitetsloggar, nätverk, molntjänster och e-post täcker olika delar av riskbilden. Följ därför varje datakälla separat i stället för att rapportera en enda generell täckningssiffra.
Larmkvalitet och andel falska positiva
Hög larmvolym är inte automatiskt ett tecken på god säkerhet. Den kan lika gärna bero på felkonfigurationer, låg filtrering eller regler som saknar verksamhetskontext. Följ hur stor del av larmen som efter analys bedöms relevanta, och dokumentera vilka regler eller integrationer som behöver justeras.
Tid till bekräftelse, upptäckt och eskalering
MTTA mäter tiden från att ett larm skapas tills någon har bekräftat och tagit ansvar för det. MTTD används för att följa tiden tills en säkerhetshändelse upptäcks. För eskalering bör ni ha ett separat mått som visar när rätt intern ägare eller extern part har fått tillräckligt underlag för att agera.
Andel incidenter som får dokumenterad åtgärd och återkoppling
En incidentprocess är inte färdig när larmet stängs. Följ andelen incidenter där åtgärd, ansvarig, beslut och återkoppling är dokumenterade. Detta gör det möjligt att se om SOC-arbetet minskar återkommande risker eller bara hanterar samma typ av händelse om och om igen.
Välj mätetal utifrån affärsrisk, inte bara SOC-teamets arbetsvolym
SOC-KPI:er ska hjälpa verksamheten att fatta beslut. Därför behöver de utgå från vad som kan påverka drift, information, kunder eller affärskritiska processer.
Klassificera tillgångar, identiteter och informationsflöden
Identifiera vilka system och identiteter som är mest kritiska. Koppla sedan varje prioriterad tillgång till relevanta loggkällor och detektioner. En hög täckning för mindre viktiga system väger inte upp en blind fläck i en central molntjänst, e-postmiljö eller identitetsplattform.
Sätt olika mål för kritiska, höga och normala incidenter
Alla händelser har inte samma affärskritiska konsekvens. Använd därför olika mål för bekräftelse, analys och eskalering beroende på prioritet. Rimliga målnivåer för MTTA, MTTD och MTTR måste bedömas utifrån riskprofil, öppettider och incidentprocess – de kan inte väljas som en universell standard.
Koppla varje KPI till ansvarig ägare och beslutad åtgärd
Varje mätetal bör ha en ansvarig ägare, en definierad datakälla och en åtgärd när resultatet avviker. Om larmkvaliteten försämras kan ägaren exempelvis behöva se över regler, integrationer eller prioriteringslogik. Utan en sådan koppling blir rapporteringen lätt administrativ i stället för styrande.
Jämför intern SOC, hybridmodell och extern MDR-tjänst
Valet mellan egen drift och extern säkerhetsövervakning handlar sällan bara om teknik. Det handlar om vem som kan bevaka miljön, analysera larm, eskalera korrekt och bära ansvar när en incident kräver snabb samordning.
Kontroll, kompetens och tillgänglighet
En intern SOC kan ge nära kontroll över miljö, prioriteringar och verksamhetskunskap. En hybridmodell kan passa när interna säkerhetsansvariga vill behålla beslut om risk och åtgärd, men behöver extern analyskapacitet. En MDR-tjänst eller extern SOC kan vara relevant när specialistkompetens eller bemanning dygnet runt saknas, förutsatt att rollerna är tydligt avtalade.
Kostnadsdrivare: personal, SIEM, loggvolym, integrationer och beredskap
En seriös kostnadsbedömning i SEK behöver underlag om systemmiljö, loggvolym, integrationsbehov och bemanningskrav. För intern drift påverkar personal, beredskap, SIEM och kontinuerlig utveckling budgeten. För en extern MDR- eller SOC-tjänst påverkar bland annat omfattning, datakällor, rapportering och SLA. Jämför därför offertunderlag med samma kravbild.
Vad som ska stå i SLA, rapportpaket och eskaleringsrutiner
Ett SLA bör skilja på larmbekräftelse, initial analys, eskalering och åtgärdsansvar. Undvik formuleringar där allt ryms i ett otydligt tidsmått. Rapportpaketet bör visa täckning, larmkvalitet, prioriterade incidenter, öppna förbättringar och eventuella blinda fläckar. Klargör också vem som kontaktas, när kontakt sker och vem som får fatta beslut om begränsning eller återställning.
Så inför du KPI:erna i praktiken utan att skapa rapportering för rapporteringens skull
Införandet ska ge bättre prioriteringar, inte fler presentationsbilder. Börja med de fem viktigaste KPI:erna och utöka först när datakvaliteten är tillräcklig.
Definiera mätmetod och datakälla för varje nyckeltal
Skriv ner startpunkt, stoppunkt, datakälla, ansvarig och undantag för varje KPI. Definiera särskilt MTTR: begreppet kan avse tid till respons eller tid till återställning. Om definitionen skiftar mellan rapporter går det inte att jämföra resultat över tid eller mellan en intern SOC och en extern leverantör.
Skapa en baslinje innan ni sätter förbättringsmål
Samla först in resultat enligt samma definitioner under en inledande period. Baslinjen visar var problem finns: bristande täckning, många falska positiva, långsam eskalering eller svag dokumentation. Sätt därefter förbättringsmål som är kopplade till risk och tillgängliga resurser.
Följ upp veckovis operativt och månadsvis med ledningen
Veckovis uppföljning passar för larmregler, eskaleringar och öppna förbättringsåtgärder. Månadsvis uppföljning bör lyfta riskbild, täckningsluckor, resursbehov och förändringar som kräver beslut. Ledningen behöver inte varje larm, men behöver se om säkerhetsövervakningen skyddar de mest prioriterade delarna av verksamheten.
Vanliga misstag som försvagar SOC-rapporteringen
Att belöna antal stängda larm i stället för korrekt prioritering
Om teamet bedöms på mängden stängda ärenden kan snabb hantering få företräde framför rätt analys. Följ hellre larmkvalitet, eskaleringsprecision och dokumenterade åtgärder för prioriterade incidenter.
Att blanda ihop bekräftelse, analys, åtgärd och återställning i samma tidsmått
Det döljer var processen bromsar. En snabb bekräftelse betyder inte att analysen är klar, och en slutförd analys betyder inte att systemet är återställt. Separata mått ger ett mer användbart underlag för SLA och förbättringsarbete.
Att ignorera blinda fläckar i moln, identitet och tredjepartssystem
En SOC kan inte upptäcka händelser som saknar relevant telemetri. Rapportera därför kända luckor öppet, särskilt för molntjänster, identitetsloggar, e-post och system som hanteras av tredje part. En tydlig begränsning är bättre än en missvisande känsla av full täckning.
Urvalskriterier och jämförelse sammanfattade inför nästa beslut
När egen drift kan motiveras
Egen drift kan vara rimlig när verksamheten har tillgång till rätt kompetens, kan hantera beredskap och behöver nära kontroll över prioriteringar, analys och interna processer. Säkerställ samtidigt att loggkällor, bemanning och förbättringsarbete inte blir beroende av enskilda personer.
När extern övervakning eller MDR är ett bättre alternativ
Extern övervakning kan vara relevant när verksamheten saknar specialistkompetens, behöver större tillgänglighet eller vill få en tydligare leveransmodell med SLA och rapportering. Kontrollera alltid datalagring, incidenthantering, integrationer, ansvarsfördelning och rapportformat innan avtal tecknas.
Checklista för offertunderlag, pilotprojekt och kvartalsvis leverantörsuppföljning
Beskriv prioriterade tillgångar, önskade datakällor, krav på larmbekräftelse, initial analys, eskalering och åtgärdsansvar. Be om en tydlig redovisning av vad som ingår i tjänsten och vilka antaganden som påverkar kostnaden. I ett pilotprojekt bör ni särskilt granska larmkvalitet, kommunikation, rapportering och hur väl leverantören arbetar med era verkliga prioriteringar.
Urvalskriterier och jämförelse
Kontrollera dessa punkter innan ni väljer intern SOC, hybridmodell eller extern MDR-tjänst:
- Vilka kritiska system och loggkällor täcks faktiskt?
- Är MTTA, MTTD och MTTR tydligt definierade med samma mätmetod?
- Skiljer SLA mellan bekräftelse, analys, eskalering och åtgärd?
- Vem ansvarar för beslut, kontaktvägar och dokumenterad återkoppling?
- Är kostnadsdrivarna i SEK transparenta för loggvolym, integrationer, beredskap och rapportering?
Begär offert när ni behöver bemanning dygnet runt, tydliga SLA:er eller saknar specialistkompetens. Kontrollera detaljerade tjänstevillkor, integrationskrav och ansvarsfördelning på respektive leverantörs informationssida.
Avslutning
En SOC-KPI-modell fungerar när den visar både operativ effektivitet och faktisk riskhantering. Börja med täckning, larmkvalitet, tider för bekräftelse och upptäckt samt dokumenterade åtgärder. Gör definitionerna konsekventa innan ni jämför perioder, team eller leverantörer. Då blir KPI:erna ett bättre underlag för säkerhetsbudget, bemanning och upphandling av MDR-tjänster.
Praktisk information att känna till
1. Datakällor ger olika täckning och bör följas upp separat.
2. Hög larmvolym kan visa på dålig filtrering, inte högre säkerhetsnivå.
3. MTTR måste alltid förklaras: respons och återställning är inte samma sak.
4. SLA utan tydligt åtgärdsansvar lämnar ofta ett praktiskt glapp vid incidenter.
Viktiga begränsningar
Det går inte att fastställa lämpliga målnivåer eller exakt kostnad för en intern SOC, extern SOC eller MDR-tjänst utan information om riskprofil, öppettider, incidentprocess, loggvolym och systemmiljö. En specifik leverantör behöver också bedömas mot era krav på datalagring, integrationer, incidenthantering och rapportering. Alla identifierade händelser har inte samma verksamhetspåverkan, vilket måste avspeglas i prioriteringen.
Vanliga frågor
Q1. Vilka KPI:er är viktigast för en mindre organisation som köper extern SOC eller MDR?
A1. Börja med täckningsgrad för kritiska system, larmkvalitet, MTTA, tid till upptäckt eller eskalering samt andel incidenter med dokumenterad åtgärd. Be leverantören redovisa dessa separat och förklara datakälla samt mätmetod.
Q2. Hur jämför man kostnaden för en intern SOC med en extern säkerhetsövervakningstjänst?
A2. Jämför samma omfattning: loggkällor, loggvolym, SIEM, integrationer, beredskap, analys, eskalering, rapportering och åtgärdsansvar. Exakt kostnad i SEK kräver offert och uppgifter om er miljö, så jämför inte enbart ett månadspris mot intern personalkostnad.
Q3. Är MTTR ett tillräckligt KPI för att bedöma om incidenthanteringen är säker och effektiv?
A3. Nej. MTTR kan betyda tid till respons eller tid till återställning och måste definieras tydligt. Det bör kompletteras med bland annat täckningsgrad, larmkvalitet, MTTA, MTTD och dokumenterad åtgärd för att ge en mer rättvis bild.
