Det moderna slagfältet är inte längre begränsat till geografiska koordinater. I takt med att samhället digitaliserats har cyberrymden etablerats som en fullvärdig militär domän, jämsides med land, sjö, luft och rymd. Denna utveckling har suddat ut gränsen mellan det militära försvaret och det civila näringslivets säkerhetsarbete. När fientliga aktörer använder cyberoperationer för spionage eller sabotage, tvingas civila organisationer att organisera sitt digitala försvar enligt principer som är hämtade direkt från den militära doktrinen.

Navet i detta arbete är ett Security Operations Center(SOC) som är en digital kommandocentral vars struktur, taktik och processer bär tydliga arv från militära underrättelse- och ledningscentraler.

OODA-loopen i den digitala domänen

Ett av de mest framträdande militära koncepten inom modern incidenthantering är OODA-loopen(Observe, Orient, Decide, Act), som ursprungligen utvecklades av den amerikanske militärstrategen och stridspiloten John Boyd. Principen bygger på att den part som snabbast kan observera en förändring, orientera sig i situationen, fatta ett beslut och agera, vinner det taktiska initiativet och utmanövrerar motståndaren.

I en modern SOC är OODA-loopen hårdkodad i det dagliga arbetet. Det handlar om att gå från ett reaktivt förhållningssätt till en dynamisk, kontinuerlig process:

• Observera: Genom konstant datainsamling och övervakning av nätverkstrafik, loggar och användarbeteenden upptäcks avvikelser direkt.
• Orientera: Säkerhetsanalytiker sätter signalerna i ett sammanhang för att skilja bakgrundsbrus från faktiska hot.
• Besluta: Hotets allvarlighetsgrad bedöms och en exakt åtgärdsplan aktiveras utifrån fastställda spelböcker.
• Agera: Incident Response-teamet isolerar det drabbade systemet, blockerar skadlig trafik och oskadliggör hotet innan skadan är skedd.

Doktrinen om ett samordnat försvar

Inom det traditionella försvaret talar man ofta om vikten av samordnade operationer, att olika förband samverkar för att skapa en gemensam lägesbild och skydda kritiska resurser. Enligt Försvarsmaktens officiella doktrinansats för cyberförsvar är just lägesuppfattning och en sammanhållen cyberlägesbild fundamentalt för att kunna avvärja hot från kvalificerade aktörer.

Precis samma filosofi appliceras när man bygger upp ett civilt digitalt värn. En effektiv SOC kan inte arbeta i silor; den måste integrera data från hela IT-miljön – från enskilda klienter och servrar till molntjänster och identitetssystem. Det är genom denna helhetsbild som analytikerna kan upptäcka om en isolerad, till synes harmlös inloggning i själva verket är en del av en koordinerad, sofistikerad attackkedja.

Utmaningen med resursförsörjning

Att hålla en kommandocentral operativ dygnet runt, alla dagar om året, kräver enorma resurser. Inom det militära löses detta genom stående förband med hög tillgänglighet. För civila företag är verkligheten ofta en annan: att bemanna en egen SOC 24/7 med kvalificerade spetsresurser är både ekonomiskt och personellt utmanande för de allra flesta.

Lösningen för många organisationer blir därför att samverka med externa experter. Genom att outsourca övervakningen till en leverantör som erbjuder nyckelfärdigt skydd, får verksamheten tillgång till samma proaktiva försvarsteknologi som de största aktörerna. Att implementera en extern SOC är idag det mest effektiva sättet för civila verksamheter att uppnå den robusthet och krisberedskap som det moderna säkerhetsläget kräver.