En säkerhetscentral övervakar larm, utreder incidenter och dokumenterar åtgärder. Här förklaras SOC-roller, GDPR och säkerhetsskydd, samt hur företag jämför intern drift, extern SOC och MDR-tjänster.
En SOC övervakar säkerhetslarm, bedömer risker och ser till att rätt händelser eskaleras och dokumenteras. Valet mellan intern SOC, extern SOC och MDR beror främst på verksamhetens bemanning, kontrollbehov, avtal och förmåga att hantera incidenter.
För organisationer med egen säkerhetskompetens kan en intern modell ge mer direkt kontroll, medan extern övervakning eller en MDR-tjänst kan ge tillgång till bredare bevakning och specialistkompetens.
Loggar kan innehålla personuppgifter, vilket gör GDPR och tydliga regler för databehandling viktiga. Säkerhetskänslig verksamhet kan dessutom behöva bedöma säkerhetsskyddslagen.
Innan en tjänst upphandlas bör både SLA, eskaleringsvägar och personuppgiftsbiträdesavtal granskas.
Överblick
- En SOC övervakar, prioriterar, utreder och dokumenterar säkerhetshändelser.
- GDPR kan bli relevant när loggar eller ärendesystem behandlar personuppgifter.
- Intern SOC, extern SOC och MDR-tjänst bör jämföras utifrån bemanning, ansvar, svarstid och avtalsvillkor.
| Modell | Bemanning och tillgänglighet | Kontrollnivå | Avtals- och kostnadsdrivare |
|---|---|---|---|
| Intern SOC | Bygger på egen bemanning och intern kompetens | Hög direkt kontroll över arbetssätt och prioriteringar | Kompetens, bemanning, verktyg och interna processer |
| Extern SOC | Övervakning enligt avtalad täckning och SLA | Delad kontroll; kräver tydliga eskaleringsrutiner | Loggvolym, täckningstid, SLA och ansvarsfördelning |
| MDR-tjänst | Kan kombinera övervakning med specialistanalys och incidentrespons | Beror på tjänstens omfattning och kundens behörighetsmodell | Teknisk täckning, EDR/SIEM-integration och responstjänster |
Vad gör en säkerhetscentral och vilket ansvar har analytikern?
En säkerhetscentral, ofta kallad Security Operations Center eller SOC, arbetar vanligtvis med kontinuerlig säkerhetsövervakning. Målet är inte att reagera på varje tekniskt larm på samma sätt, utan att identifiera vilka händelser som behöver kontrolleras, prioriteras och hanteras vidare.
Från säkerhetslarm till prioriterad incident
Ett larm kan vara en signal från exempelvis ett övervakningsverktyg, en loggkälla eller en endpoint-lösning. SOC-analytikern gör en första triage: kontrollerar sammanhanget, värderar allvaret och avgör om händelsen ska stängas, följas upp eller eskaleras. En bekräftad eller komplex händelse kan behöva tas vidare till specialister, IT-drift, ledning eller extern incidentrespons.
Övervakning, utredning, eskalering och dokumentation
SOC-arbetet omfattar normalt larmtriage, analys, eskalering och dokumentation. Dokumentationen behöver beskriva vad som upptäcktes, vilka kontroller som gjordes, vem som informerades och vilka nästa steg som beslutades. Tydliga eskaleringsvägar minskar risken för att kritiska händelser fastnar mellan teknik, verksamhet och ansvariga funktioner.
Vad SOC-rollen normalt inte kan besluta ensam
En analytiker kan utreda och rekommendera åtgärder, men beslut om större verksamhetsåtgärder, kommunikation, juridisk rapportering eller långvariga systemförändringar ligger ofta hos utsedda ansvariga. Därför bör mandat, kontaktvägar och beslutsgränser vara dokumenterade innan en incident uppstår.
Juridiska ramar för loggar, personuppgifter och incidenter
Teknisk övervakning är också en fråga om datahantering. Loggar kan innehålla uppgifter som gör att GDPR blir relevant, beroende på vilken information som samlas in och varför.
GDPR vid insamling och analys av säkerhetsloggar
Det är viktigt att veta vilka loggar som samlas in, vilket syfte de har och vem som får åtkomst. För bred logginsamling kan skapa onödig hantering av uppgifter. En genomtänkt loggstyrning omfattar därför behörigheter, åtkomstkontroller och rutiner för hur data används i ärendehantering och analys.
Roller mellan personuppgiftsansvarig och personuppgiftsbiträde
När en extern SOC-leverantör behandlar personuppgifter för kundens räkning kan ett personuppgiftsbiträdesavtal behövas. Avtalet bör tydliggöra behandlingen, ansvarsfördelningen och hur åtkomst till data hanteras. Det räcker inte att en leverantör erbjuder säkerhetsövervakning; databehandling och avtalsvillkor behöver också granskas.
När säkerhetsskydd och NIS2 behöver bedömas närmare
Säkerhetsskyddslagen kan vara relevant för verksamheter som bedriver säkerhetskänslig verksamhet. NIS2 innebär högre krav på cybersäkerhetsåtgärder och incidenthantering för berörda organisationer, men den konkreta tillämpningen beror på svensk lagstiftning och verksamhetens omfattning. Bedöm därför organisationens situation separat i stället för att utgå från att ett regelverk automatiskt gäller.
Intern SOC, extern SOC eller MDR – jämförelse av värde och kostnadsdrivare
En jämförelse bör börja med verksamhetens faktiska behov, inte bara med vilken teknik som redan finns. SIEM, EDR och övervakningstjänster kan ingå i olika omfattning beroende på leverantör och avtal.
Bemanning dygnet runt, kompetens och svarstider
En intern SOC ger ofta nära koppling till verksamheten och direkt kontroll över prioriteringar. Samtidigt kräver modellen bemanning, kompetens och stabila processer. En extern SOC-tjänst kan vara rimlig när den egna organisationen saknar kapacitet för kontinuerlig övervakning. En MDR-tjänst kan passa när behovet även omfattar avancerad analys eller incidentrespons.
SIEM, EDR och incidentrespons som delar av tjänsten
SIEM används för att samla och analysera loggar. EDR är inriktat på övervakning och upptäckt på enheter. En MDR-tjänst är en hanterad tjänst där övervakning kan kombineras med analys och respons. Begreppen överlappar inte helt, vilket gör det viktigt att kontrollera exakt vad som faktiskt ingår i offertunderlaget.
Frågor att ta med i offert- och SLA-underlag
Fråga vilka loggkällor som omfattas, när övervakningen sker och hur incidenter eskaleras. Kontrollera även ansvar vid misstänkta angrepp, rapporteringsformat, behörigheter och hur personuppgifter behandlas. Exakta priser för SOC, SIEM och MDR varierar med miljö, loggvolym, täckningstid och SLA, så ett kravanpassat underlag är mer användbart än en generell prisjämförelse.
Praktiskt arbetssätt vid ett misstänkt säkerhetsangrepp
En fungerande incidentprocess behöver vara enkel nog att användas under press. Den bör samtidigt ge tillräcklig spårbarhet för efterföljande analys.
Triage: kontrollera, avgränsa och prioritera
Börja med att kontrollera larmets sammanhang och om det finns tecken på en verklig säkerhetshändelse. Avgränsa därefter vad som berörs och prioritera utifrån möjlig påverkan. Alla larm är inte lika brådskande, men varje bedömning bör kunna följas i dokumentationen.
Eskalering till IT, ledning, dataskydd eller extern incidentrespons
Förutbestämda kontaktvägar gör att rätt funktion kan involveras snabbt. Det kan handla om IT-drift för tekniska åtgärder, ledning för verksamhetsbeslut, dataskyddsfunktion för frågor om personuppgifter eller extern incidentrespons vid behov av specialiststöd.
Beviskedja, dokumentation och lärdomar efter incidenten
Spara relevanta observationer och beslut på ett strukturerat sätt. Efter hanteringen bör organisationen gå igenom vad som fungerade, vilka larm som saknade kontext och om eskaleringsrutinerna behöver justeras. Otestade rutiner är en vanlig svaghet, även när tekniken i sig är välkonfigurerad.
Vanliga risker och misstag i säkerhetsövervakningen
Att behandla alla larm som lika brådskande
Om varje larm får samma prioritet riskerar teamet att missa händelser som kräver snabb hantering. En tydlig triagemodell hjälper analytiker att skilja rutinmässiga signaler från incidenter som behöver eskaleras.
Otydliga behörigheter och otillräcklig loggstyrning
För många behörigheter kan öka risken för felaktig åtkomst. För lite styrning av logginsamlingen kan samtidigt göra analysen svår och databehandlingen onödigt omfattande. Fastställ därför vilka roller som får se vad och varför.
Avtal som saknar ansvar, rapportering eller datahantering
En extern SOC- eller MDR-leverantör bör inte bedömas enbart på teknik. Avtalet behöver beskriva ansvar, rapportering, eskalering, åtkomst och databehandling. Oklara SLA-villkor kan skapa osäkerhet när ett larm behöver hanteras utanför normal arbetstid.
Val av övervakningsmodell – beslutsguide för verksamheten
När intern kompetens ger mest kontroll
Intern SOC kan vara lämplig när organisationen har egna resurser för bemanning, analys och incidenthantering samt vill styra processer och prioriteringar nära verksamheten. Modellen kräver dock att kompetens, ansvar och kontinuitet fungerar i praktiken.
När en extern SOC eller MDR-tjänst kan vara mer rimlig
Extern övervakning kan vara ett alternativ när det saknas egen säkerhetsavdelning eller när verksamheten behöver kompletterande specialistkompetens. MDR bör bedömas utifrån vilka delar av övervakning, analys och respons som verkligen ingår, samt vilka åtgärder leverantören får utföra.
Checklista för säkerhet, juridik, SLA och total kostnad
Kontrollera täckningstid, loggkällor, eskaleringsvägar, rapportering, behörigheter, personuppgiftsbiträdesavtal och ansvar vid incidenter. Bedöm också om tjänsten passar organisationens tekniska miljö och om SLA motsvarar verksamhetens behov.
Validera valet och jämför alternativen
Innan ni väljer modell bör ni jämföra intern kapacitet, krav på tillgänglighet, behov av incidentrespons och graden av kontroll över loggar och behörigheter. Granska om leverantörens SLA anger tydliga eskaleringsvägar och om avtalet täcker personuppgiftsbehandling. Kontrollera vilka delar av SIEM, EDR och analystjänst som ingår. Bedöm slutligen kostnadsdrivare som loggvolym, täckningstid och teknisk omfattning. Begär ett kravanpassat underlag från kvalificerade leverantörer och jämför det mot era dokumenterade behov.
Avslutande ord
En SOC är en process och ett ansvar, inte bara ett övervakningsverktyg. Rätt modell beror på hur väl organisationen kan bemanna, prioritera och följa upp säkerhetshändelser. Extern SOC och MDR kan vara värdefulla komplement, men kräver tydliga avtal och en genomtänkt ansvarsfördelning. Juridiska frågor bör bedömas parallellt med den tekniska lösningen.
Praktisk information att ha med sig
SOC beskriver teamet och processen för säkerhetsövervakning. SIEM är ett verktygsområde för logginsamling och analys. MDR är en hanterad tjänst som kan omfatta övervakning, analys och incidentrespons. Tydlig dokumentation av larm, beslut och eskalering gör både den dagliga driften och efterarbetet mer hanterbart.
Viktiga förbehåll
Om NIS2, säkerhetsskyddslagen eller andra branschspecifika regler gäller för en viss organisation måste bedömas utifrån verksamhetens förutsättningar. Rapporteringsfrister, behörig myndighet och konkreta skyldigheter kan variera. Granska alltid avtal, databehandling och teknisk kapacitet innan en extern SOC- eller MDR-tjänst väljs.
Vanliga frågor
Q1. Vad är skillnaden mellan en SOC, SIEM och en MDR-tjänst?
A1. En SOC är funktionen eller teamet som övervakar och hanterar säkerhetshändelser. SIEM används för att samla och analysera loggar. MDR är en hanterad tjänst som kan kombinera övervakning, analys och incidentrespons.
Q2. När behöver ett företag ett personuppgiftsbiträdesavtal med sin SOC-leverantör?
A2. Ett personuppgiftsbiträdesavtal kan behövas när en extern leverantör behandlar personuppgifter för kundens räkning, exempelvis i loggar eller ärendehanteringssystem. Den konkreta bedömningen beror på vilken information som behandlas och varför.
Q3. Är en extern SOC lämplig för mindre företag utan egen säkerhetsavdelning?
A3. Det kan vara ett rimligt alternativ när intern bemanning och specialistkompetens saknas. Företaget bör ändå kontrollera tjänstens omfattning, SLA, eskaleringsrutiner, databehandling och ansvar innan avtal tecknas.
