SOC 운영 모델 — Tier·교대·역할

SOC 운영의 뼈대는 "누가, 어느 깊이까지, 언제 본다" 이다. 규모가 커질수록 이 구조가 품질을 좌우한다.

분석가 Tier 체계

대부분의 SOC는 분석 깊이에 따라 계층을 나눈다.

계층	역할	주로 다루는 것
L1 (트리아지)	알람 1차 선별, 오탐 걸러내기, 정해진 기준으로 에스컬레이션	대량 알람, 룩업·기본 확인
L2 (분석)	정탐 심층 분석, 범위·영향 판단, 대응 실행	상관분석 결과, 다중 이벤트 연계
L3 (고급·헌팅)	신종 위협 분석, 위협 헌팅, 탐지 콘텐츠 개발	미탐 영역, 룰·유스케이스 설계

• 에스컬레이션: L1이 기준을 넘는 건을 L2로, L2가 사고로 판단하면 침해대응(IR)으로 넘긴다. "언제 올릴지"의 기준이 명확해야 병목과 누락이 줄어든다.
• 헌팅(L3) 은 알람을 기다리지 않고 가설을 세워 로그를 뒤지는 선제 활동이다. 탐지 룰이 못 잡는 영역을 메운다.

24x7 교대와 인수인계

보안 이벤트는 시간을 가리지 않으므로 24시간 365일 운영이 전제다.

• 교대조 구성(주/야/심야)과 피로도 관리가 탐지 품질에 직결된다.
• 인수인계(handover) 가 운영의 약한 고리다. 진행 중 사건, 보류 알람, 임시 차단 상태가 교대 때 유실되면 사고로 이어진다. 인수인계 양식과 "열린 건" 추적을 표준화한다.

대규모 원격관제에서 달라지는 것

다수 고객사(또는 다수 사업부)를 한 관제센터에서 보는 경우, 단일 조직 관제와 다른 문제가 생긴다.

• 멀티테넌시 격리: 고객사별 데이터·권한·뷰가 섞이면 안 된다. 분석가 접근 통제와 데이터 분리가 필수.
• 일관된 품질: 분석가·교대·고객사마다 판단이 달라지지 않도록 런북과 기준의 표준화가 핵심. 규모가 커질수록 "개인기"가 아니라 "표준"으로 돌아가야 한다.
• SLA: 고객사별 대응 시간·보고 주기가 계약으로 정해진다. 지표(다음 문서)가 SLA 준수의 근거가 된다.
• PM·QM 분리: 운영을 끌고 가는 PM(Project Manager)과 품질을 보는 QM(Quality Manager)을 두어, 처리량과 품질을 함께 관리한다.

운영 형태별 고려

형태	핵심 고려
자체	인력 확보·유지, 24x7 번아웃, 탐지 콘텐츠 내재화
위탁(MSSP)	조직 맥락 전달, 기밀·로그 공유 범위, 책임 경계(RACI)
하이브리드	1차=위탁/심층=내부의 경계, 인수인계·에스컬레이션 연결

요약

• Tier(L1~L3)로 깊이를, 교대로 시간을, 런북·SLA로 일관성을 담보한다.
• 규모가 커질수록 성패는 탐지 기술이 아니라 표준화와 인수인계에서 갈린다.