資安 SOC 是什麼？SOC 與 SIEM 差異、中小企業需要嗎？
資安 SOC 是什麼？SOC（Security Operations Center，資安監控中心）是負責持續監控、偵測、分析並回應資安事件的團隊與運作機制；SIEM（安全資訊與事件管理）則是 SOC 用來蒐集與關聯日誌的工具。簡單說，SOC 是「人加流程」，SIEM 是其中最重要的一套系統。
不少 IT 主管在評估「要不要 24 小時監控」時，會把買 SIEM 和建 SOC 當成同一件事，結果系統買了，告警卻沒人看。以下說明兩者差異、自建與委外的取捨、資安法對監控的要求，以及中小企業務實的做法；若想先盤點現況再決定，可參考資安健診服務。
一句話結論：有專責資安團隊且需要掌握所有日誌時，自建 SOC 並搭配 SIEM；沒有專責人力的中小企業，委外 MDR 或 SOC 服務通常比自己買 SIEM 更務實。
SOC 是什麼？資安監控中心在做什麼
SOC 是組織偵測、分析與回應資安事件的運作中心，結合人員、流程與技術，持續監看網路、伺服器、端點與雲端服務的異常。美國 MITRE 在《11 Strategies of a World-Class Cybersecurity Operations Center》中，把 SOC 定位為事件偵測、分析與回應的運作焦點。
台灣業界常稱為「資安監控維運中心」。典型分工是第一線分析師過濾告警、第二線調查與處置，再往上做威脅獵捕與改善偵測規則。SOC 是否有價值，不在螢幕牆多大，而在告警發生後多久有人判斷、能不能採取行動。
SIEM 是什麼？它不會自己處理事件
SIEM 是蒐集各系統的資安資料，並透過單一介面呈現成可採取行動資訊的工具，這是美國國家標準暨技術研究院（NIST）SP 800-128 的定義。它把防火牆、伺服器、AD、端點防護與雲端服務的日誌集中起來，依規則關聯出可疑事件。
關鍵在於 SIEM 只會「發現」，不會「處理」。沒有人調校規則與判讀，SIEM 往往每天產生大量告警，真正重要的那幾筆反而被淹沒。實務上也常見企業導入 SIEM 後只用來保存日誌、應付稽核，告警卻沒有人看。
SOC 與 SIEM 差異比較
SOC 和 SIEM 的差別，是團隊與工具的差別：SIEM 是 SOC 的核心系統之一，但有 SIEM 不等於有 SOC。下表整理兩者與常見委外服務 MDR（託管式偵測與回應）的差異。
| 比較項目 | SIEM | 自建 SOC | 委外 MDR／SOC 服務 |
|---|---|---|---|
| 本質 | 軟體或雲端平台 | 內部團隊加流程與工具 | 外部團隊代為監控與回應 |
| 主要工作 | 蒐集、保存、關聯日誌 | 監控、分析、處置、改善 | 監控、分析，依合約協助處置 |
| 需要的人力 | 需有人調校與判讀 | 輪班分析師與主管 | 內部窗口，負責配合處置 |
| 24 小時監控 | 系統本身不判斷 | 需多人輪班才做得到 | 多數服務提供 |
| 日誌與資料控制 | 自己保管 | 完全掌握 | 依合約約定存放與保存 |
| 適合 | 已有團隊，需要工具 | 大型企業、金融業 | 無專責資安人力的企業 |
自建 SOC 還是委外 MDR？
自建 SOC 的優勢是完全掌握資料與流程，代價是人力：全年無休的監控需要多人輪班，還要有人持續調校規則、更新情資。委外 MDR 或 SOC 服務能立即取得 24 小時監控，但企業仍要指定內部窗口，決定告警發生時誰能隔離主機、停用帳號。
很多企業最後選擇混合模式：日間由內部 IT 處理一般告警，夜間與假日交給委外服務監看；或日誌由自己的 SIEM 保存，分析與回應委外。不論哪種，簽約前都要寫清楚雙方在事件發生時各做什麼，否則半夜接到通知卻沒人有權限處理，監控等於白做。
中小企業需要 SOC 嗎？資安法怎麼規定
回到 SOC 是什麼的本質：重點是「有人看告警」，所以多數中小企業不需要自建 SOC，但仍需要這樣的機制。依《資通安全責任等級分級辦法》，A 級與 B 級特定非公務機關須建置資通安全監控管理機制與端點偵測及應變機制，並依主管機關指定方式提交資料，C 級則無此要求。
A、B 級的監控範圍須涵蓋端點偵測及應變機制、資通安全防護、目錄服務系統與核心資通系統的日誌，以及資通設備紀錄，並應於初次受核定或等級變更後一年內完成導入。不屬於資通安全管理法適用對象的一般企業，則可依風險決定：至少讓端點防護與郵件系統的告警有人處理，再視預算擴大到委外監控。
下表是依企業條件的選擇建議（實務經驗，非法規要求）：
| 企業條件 | 建議做法 |
|---|---|
| 50 人以下、無專責 IT 資安 | 端點防護加委外監控，先確保告警有人回應 |
| 有 IT 人員、無專責資安 | 委外 MDR，內部負責處置與改善 |
| 有資安團隊、多據點或上市櫃 | 自建 SIEM，夜間與假日委外 |
| A、B 級特定非公務機關、金融業 | 依法建置監控機制，自建或委外皆可，須保留紀錄 |
選擇 SOC 服務商要問哪些問題？
挑選 SOC 或 MDR 服務時，重點不是儀表板好不好看，而是發生事件時對方會做什麼、多快通知、能不能協助處置。資安署每年辦理資安服務廠商評鑑，SOC 是評鑑的服務類別之一，可作為篩選參考。
簽約前至少問清楚五件事：監控範圍涵蓋哪些系統與雲端服務、高風險告警多久內通知、對方能否直接隔離主機或停用帳號、日誌存放在哪裡及保存多久、合約結束後資料如何交還。事件發生後的通報義務仍由企業自己承擔，流程可參考資安事件通報的整理。
還沒有 SOC，現在可以先做什麼？
先列出公司已有哪些會產生告警的系統，例如端點防護、防火牆、郵件安全與雲端服務，再確認每一種告警現在由誰收、多久會看。很多企業會發現，問題不是缺少工具，而是告警寄到一個沒人看的信箱。
整體資安狀況可以先透過資安健診盤點，再決定監控要做到多深；需要協助評估自建或委外，歡迎從一場 30 分鐘的諮詢開始。
SOC 與 SIEM 常見問題
中小企業需要 SOC 嗎？
多數中小企業不需要自建 SOC，但需要確保重要告警有人處理。人力有限時，可先讓端點防護與郵件安全的告警由 IT 或委外服務回應；若屬資安法 A、B 級特定非公務機關，則依法必須建置監控管理機制與端點偵測及應變機制。
SOC 一定要 24 小時嗎？
不一定，取決於風險與法規要求。攻擊常發生在夜間與連假，24 小時監控能縮短發現時間，但自建全天候輪班的成本很高。折衷做法是日間內部處理、夜間與假日委外，並設定高風險告警自動通知值班人員。
資安法要求監控嗎？
有。依《資通安全責任等級分級辦法》附表，A 級與 B 級特定非公務機關須完成資通安全監控管理機制建置並持續維運，依主管機關指定方式提交監控資料，監控範圍包含端點偵測及應變、目錄服務與核心系統日誌；C 級特定非公務機關則沒有此項要求。
參考資料
- 資通安全責任等級分級辦法 – 附表二、四、六特定非公務機關應辦事項（監控管理與端點偵測）。數位發展部 · 民國 115 年 1 月 7 日修正
- Security Information and Event Management Tool – SIEM 定義（引自 SP 800-128）。NIST
- 11 Strategies of a World-Class Cybersecurity Operations Center – SOC 的定位與運作策略。MITRE · 2022 年
