Uma empresa da Fortune 500 que atua em três indústrias reguladas descobre uma violação. Seu CSOC interno detecta a intrusão inicial na rede corporativa. Sua subsidiária na divisão de serviços financeiros, que opera um CSOC separado sob requisitos de conformidade diferentes, identifica atividade suspeita de transferência eletrônica seis horas depois. Uma terceira subsidiária na área de saúde nota consultas anômalas ao banco de dados na manhã seguinte. Cada CSOC enxerga um fragmento. Nenhum enxerga o escopo completo.
Esse cenário se repete com frequência em organizações grandes o suficiente para operar múltiplos centros de operações de segurança. A questão que ele levanta é estrutural: quando uma organização precisa de um único CSOC e quando a complexidade de suas operações exige um JSOC — um Joint Security Operations Center que correlaciona inteligência entre entidades operacionais distintas?
A resposta depende de três variáveis: o número de ambientes operacionais distintos, as restrições regulatórias que regem cada um e o cenário de ameaças que os conecta. Para um panorama mais amplo dos quatro modelos de SOC, consulte também o nosso guia sobre SOC vs CSOC vs GSOC vs JSOC.
CSOC: O Modelo Padrão
Um Cyber Security Operations Center é uma instalação de organização única. Ele monitora, detecta e responde a ameaças contra a infraestrutura de uma entidade. Os analistas do CSOC são funcionários ou prestadores de serviço dessa entidade. Suas ferramentas são adquiridas e configuradas para o ambiente dessa entidade. Suas regras de detecção são ajustadas para a baseline dessa entidade. Seus procedimentos de resposta a incidentes são regidos pelas políticas e obrigações de conformidade dessa entidade.
A NIST Special Publication 800-61, “Computer Security Incident Handling Guide”, revisada em agosto de 2012 e ainda a referência básica para a resposta a incidentes federal, descreve a função do SOC em termos que pressupõem uma única fronteira organizacional. O documento define o escopo da equipe de resposta a incidentes como “os sistemas de informação da organização e os dados que eles processam, armazenam ou transmitem”. Essa premissa de entidade única vale para a maioria dos CSOCs.
O modelo de CSOC funciona bem quando a organização tem um ambiente de tecnologia relativamente homogêneo, um único regime regulatório e um perímetro de rede claramente definido. A maioria das empresas de médio porte, das agências governamentais no nível de departamento e das empresas autônomas operam de forma eficaz com uma estrutura de CSOC. Contudo, o modelo se desfaz em escala. Quando uma organização adquire subsidiárias, expande-se para indústrias reguladas ou opera através de fronteiras internacionais com diferentes leis de proteção de dados, um único CSOC tem dificuldade para manter o contexto e a consciência de conformidade necessários para cada ambiente operacional. Um analista treinado na rede corporativa da empresa-mãe pode não compreender os requisitos de tratamento de dados clínicos de uma subsidiária de saúde ou as obrigações de monitoramento de transações de uma divisão de serviços financeiros.
JSOC: O Modelo Multientidade
Um Joint Security Operations Center existe especificamente para resolver esse problema multientidade. Em vez de forçar organizações distintas a um único modelo operacional, um JSOC cria uma camada analítica compartilhada que preserva a autonomia de cada participante, ao mesmo tempo em que viabiliza a correlação de inteligência entre fronteiras. Saiba mais sobre o conceito no nosso artigo sobre como os Joint Security Operations Centers defendem a infraestrutura crítica.
O Joint Cyber Defense Collaborative (JCDC) da CISA operacionaliza esse conceito em nível nacional. O collaborative inclui representantes de múltiplas agências federais, empresas de tecnologia e operadores de infraestrutura crítica. Cada participante mantém sua própria infraestrutura de SOC e autoridade de resposta a incidentes. A camada do JSOC fornece inteligência de ameaças compartilhada, regras de detecção coordenadas e um quadro operacional comum durante incidentes significativos.
O Department of Defense opera múltiplos JSOCs em diferentes níveis de classificação e comandos geográficos. A Cyber National Mission Force do USCYBERCOM opera joint operations centers onde ramos das forças armadas, agências de inteligência e nações aliadas compartilham inteligência de ameaças cibernéticas e coordenam operações defensivas. Essas instalações são regidas por memorandos de entendimento detalhados que definem as autoridades de cada participante, os limites de compartilhamento de dados e as responsabilidades operacionais.
No setor privado, o modelo ISAC — Information Sharing and Analysis Centers — funciona como um JSOC de nível setorial. O Financial Services ISAC, o Electricity ISAC e o Health ISAC operam, cada um, plataformas compartilhadas de inteligência de ameaças para as quais seus membros contribuem e das quais extraem informações. Essas organizações empregam seus próprios analistas, que produzem produtos de inteligência correlacionada com base nos dados submetidos pelas organizações membros.
Diferenças Estruturais: Uma Comparação Direta
A distinção entre CSOC e JSOC não é uma questão de tamanho ou sofisticação. Alguns CSOCs — particularmente os operados por grandes empresas de tecnologia — são enormes, empregando centenas de analistas e processando milhões de alertas por dia. Alguns JSOCs são pequenos, com um punhado de analistas coordenando inteligência entre meia dúzia de governos municipais.
A verdadeira diferença é a governança. Um CSOC opera sob uma única estrutura de autoridade. As decisões sobre prioridades de detecção, classificação de incidentes e procedimentos de resposta fluem de uma única cadeia de gestão. Um JSOC opera sob um modelo de governança federado, em que múltiplas autoridades precisam se coordenar. As decisões exigem consenso, negociação ou protocolos pré-estabelecidos que definem como as entidades participantes agirão em cenários específicos.
A NIST Special Publication 800-150 aborda esse desafio de governança diretamente. O guia identifica quatro níveis de maturidade do compartilhamento de informações: ad hoc, documentado, coordenado e automatizado. A maioria dos CSOCs opera no nível coordenado ou automatizado internamente, mas no nível ad hoc ou documentado quando compartilha com parceiros externos. Um JSOC funcional exige que todos os participantes operem no nível coordenado ou acima, com processos claramente definidos sobre o que é compartilhado, quando e com quem.
| Critério | CSOC | JSOC |
|---|---|---|
| Escopo organizacional | Entidade única | Múltiplas entidades federadas |
| Governança | Cadeia de autoridade única | Modelo consensual com MOUs |
| Regimes regulatórios | Um regime dominante | Múltiplos regimes simultâneos |
| Compartilhamento de dados | Interno, irrestrito dentro do perímetro | Sanitizado, controlado por níveis de distribuição |
| Tecnologia de correlação | SIEM/EDR da própria entidade | Plataforma STIX/TAXII + camada de normalização |
| Perfil do analista | Profundidade no ambiente interno | Amplitude interorganizacional + diplomacia |
| Gatilho típico de criação | Necessidade de monitoramento contínuo | Aquisição, divergência regulatória ou incidente significativo |
O curso “Building a World-Class Security Operations Center” do SANS Institute, o SEC511, ensina um framework comparativo para avaliar se um único CSOC ou um modelo de JSOC federado é apropriado. A matriz de decisão considera o número de unidades de negócio distintas, a heterogeneidade regulatória do ambiente operacional, a diversidade técnica da infraestrutura e a sofisticação do cenário de ameaças.
Quando Migrar de CSOC para JSOC
A transição de CSOC para JSOC é normalmente desencadeada por um de três eventos que mudam fundamentalmente o perfil de risco da organização.
Uma aquisição ou fusão é o gatilho mais comum. Quando uma empresa adquire outra com seu próprio SOC, ela enfrenta uma escolha: absorver o SOC adquirido no CSOC da matriz, manter ambos como CSOCs separados ou estabelecer uma camada de JSOC que correlacione inteligência entre os dois. A opção do JSOC é cada vez mais preferida porque preserva o conhecimento institucional e a postura de conformidade da empresa adquirida, ao mesmo tempo em que permite à matriz obter visibilidade entre entidades.
A divergência regulatória é o segundo gatilho. Uma empresa que opera tanto nos Estados Unidos quanto na União Europeia precisa cumprir prazos diferentes de notificação de violações, requisitos de tratamento de dados e obrigações de reporte. Um único CSOC que tente gerenciar ambos os regimes regulatórios ou não desenvolverá expertise em nenhum ou criará silos internos que frustram o propósito de uma operação unificada. Uma estrutura de JSOC permite que cada ambiente regulatório mantenha seu próprio CSOC, compartilhando inteligência de ameaças por meio de uma camada comum.
Um incidente significativo é o terceiro gatilho. Quando uma campanha de ataque entre organizações revela que CSOCs autônomos não conseguem correlacionar inteligência rápido o suficiente para montar uma defesa eficaz, a liderança frequentemente determina uma estrutura de JSOC. O comprometimento da cadeia de suprimentos da SolarWinds, divulgado em dezembro de 2020, levou múltiplas agências federais a estabelecer capacidades operacionais conjuntas que não existiam antes de o incidente revelar os limites da defesa em silos.
Requisitos de Tecnologia e Integração
Tanto os ambientes de CSOC quanto os de JSOC usam tecnologias centrais semelhantes — SIEM, EDR, NDR, SOAR e plataformas de inteligência de ameaças. O JSOC adiciona uma camada de inteligência compartilhada que exige capacidades específicas e que vai muito além da simples instalação de ferramentas comerciais. Para entender os desafios de calibração do SIEM, consulte o nosso guia de tuning de SIEM para reduzir falsos positivos.
Os protocolos STIX e TAXII, mantidos pela OASIS, fornecem o formato padrão e o mecanismo de transporte para compartilhar inteligência de ameaças entre os participantes do JSOC. O MISP, a plataforma open-source de inteligência de ameaças, é amplamente utilizado como espinha dorsal do compartilhamento porque suporta controles de acesso granulares, níveis de distribuição e tagging que permitem aos participantes controlar o que compartilham e com quem.
A integração baseada em API entre o SIEM de cada participante e a plataforma de correlação do JSOC é essencial. Essa integração precisa ser bidirecional: os participantes enviam telemetria sanitizada ao JSOC, e o JSOC envia de volta inteligência correlacionada. A maioria das plataformas SIEM comerciais suporta essa integração por meio de APIs REST ou conectores TAXII nativos. A própria plataforma de correlação precisa ser capaz de normalizar dados de fontes heterogêneas. Um JSOC que ingere dados do Splunk, do Microsoft Sentinel e do IBM QRadar simultaneamente precisa de uma camada de normalização que mapeie diferentes nomes de campos, formatos de log e taxonomias de detecção para um esquema comum.
Requisitos de Pessoal e Certificações
Os analistas de CSOC precisam de expertise profunda no ambiente de sua organização. Os analistas de JSOC precisam de amplitude em múltiplos ambientes e das habilidades diplomáticas para navegar pelas relações interorganizacionais. Essa diferença de perfil reflete-se diretamente nas certificações valorizadas por cada tipo de operação.
Os analistas de CSOC normalmente buscam certificações GIAC como a GCIA para análise de intrusão ou a GCIH para tratamento de incidentes. Os analistas de JSOC se beneficiam de treinamento adicional em análise de inteligência, frameworks de compartilhamento de informações e nos requisitos legais e regulatórios de cada organização participante. A certificação MITRE ATT&CK Certified Practitioner tornou-se valiosa em ambientes de JSOC porque fornece uma linguagem comum para descrever o comportamento de adversários através de fronteiras organizacionais. Sem essa linguagem compartilhada, a correlação de inteligência entre equipes com backgrounds técnicos diferentes torna-se impraticável.
Tomando a Decisão Final
A escolha entre CSOC e JSOC não é binária. Muitas organizações operam um modelo híbrido: um CSOC primário para o núcleo da empresa, com uma função de JSOC para parcerias específicas, subsidiárias reguladas ou comunidades de compartilhamento de informações. O modelo certo depende do contexto organizacional específico e pode mudar à medida que a organização cresce, adquire novas entidades ou enfrenta novos requisitos regulatórios.
O que permanece constante é o princípio que motivou a criação do modelo de JSOC: adversários sofisticados operam através de fronteiras organizacionais. A defesa eficaz cada vez mais exige o mesmo. Avaliar periodicamente se o modelo atual de operações de segurança ainda atende às necessidades da organização é uma prática essencial de governança de risco cibernético.
