Apa itu Operasi Keamanan?
Operasi keamanan, atau SecOps, adalah pekerjaan berkelanjutan untuk menemukan, menyelidiki, dan menanggapi ancaman siber di lingkungan TI yang aktif . Ini menggabungkan sumber daya manusia, alat keamanan, intelijen ancaman, dan proses respons yang jelas. Tujuannya adalah untuk mendeteksi aktivitas berbahaya sejak dini dan bertindak sebelum kerusakan semakin meluas.
SecOps tidak didefinisikan oleh jumlah produk, ukuran tim, atau keberadaan pusat operasi keamanan (SOC) formal. Pertanyaan kuncinya adalah apakah organisasi tersebut secara aktif mengoperasikan kemampuan keamanannya setiap hari.
Suatu perusahaan mungkin memiliki firewall, perlindungan endpoint, alat keamanan cloud, dan platform deteksi dan respons yang diperluas (XDR). Namun, perusahaan tersebut mungkin masih memiliki SecOps yang lemah jika peringatan tidak ditinjau secara konsisten atau investigasi hanya ditangani ketika sumber daya tersedia. Perusahaan yang lebih kecil dapat mempertahankan SecOps yang efektif melalui tim internal yang terfokus, layanan terkelola, atau model hibrida.
Prinsip ini tercermin dalam NIST SP 800-137 tentang Pemantauan Berkelanjutan Keamanan Informasi . NIST menjelaskan bahwa pemantauan berkelanjutan harus memberikan organisasi visibilitas yang cukup untuk memahami risiko dan merespons tepat waktu.
Analogi sederhana tentang SecOps
Memasang kamera dan alarm saja tidak serta merta menciptakan operasi keamanan. Operasi dimulai ketika seseorang mengawasi sistem tersebut, memeriksa aktivitas mencurigakan, dan mengoordinasikan respons. Teknologi keamanan bekerja dengan cara yang sama. Alat-alat tersebut menciptakan kemampuan; SecOps (Operasi Keamanan) memanfaatkan kemampuan tersebut.
Apa yang Membuat Operasi Keamanan Disebut “Operasi”?
Kata "operasi" adalah bagian terpenting dari istilah tersebut. Kata ini menandai perbedaan antara memiliki teknologi keamanan dan menjalankan pertahanan aktif.
Perangkat keamanan harus mengarah pada tindakan.
Banyak organisasi menggunakan alat keamanan untuk mengumpulkan dan menganalisis log dari seluruh lingkungan mereka dan menghasilkan peringatan, tetapi tidak secara konsisten menerjemahkan peringatan tersebut menjadi investigasi dan tindakan yang tepat waktu. Operasi keamanan menciptakan jalur yang dapat diandalkan dari deteksi hingga pengambilan keputusan. Tim SecOps memprioritaskan sinyal yang relevan, mengumpulkan konteks, dan mengoordinasikan tindakan ketika mengkonfirmasi adanya ancaman.
Otomatisasi dapat menangani pekerjaan rutin. Ia dapat memperkaya peringatan, mengelompokkan peristiwa terkait, dan menyaring kesalahan positif yang diketahui. Namun, manusia tetap perlu menetapkan prioritas dan memutuskan bagaimana insiden yang serius atau tidak pasti harus ditangani.
Kontinuitas lebih penting daripada ukuran tim.
Tim keamanan yang besar tidak selalu memberikan SecOps yang kuat. Beberapa anggota tim mungkin fokus pada kepatuhan, arsitektur, kesadaran, atau manajemen kerentanan. Peran-peran tersebut menambah nilai, tetapi tidak secara otomatis memberikan deteksi dan respons berkelanjutan.
Uji yang lebih bermakna adalah apakah organisasi tersebut mampu mengidentifikasi, menyelidiki, dan mengatasi ancaman yang kredibel dalam jangka waktu yang dapat diterima. Pekerjaan ini dapat dilakukan oleh analis keamanan internal, penyedia eksternal, atau keduanya.
Operasi keamanan (SecOps) harus membentuk lingkaran tertutup.
SecOps yang efektif lebih dari sekadar menutup peringatan. Ia belajar dari peringatan tersebut. Deteksi yang terlewatkan seharusnya mengarah pada peningkatan logika deteksi. Respons yang lambat seharusnya mengarah pada revisi playbook. Kesalahan positif yang berulang seharusnya mendorong penyempurnaan aturan deteksi yang relevan.
Siklus umpan balik ini membantu operasi meningkat dari waktu ke waktu. Tanpa itu, tim keamanan dapat tetap sibuk sementara organisasi tetap rentan terhadap masalah yang sama.
SecOps vs. Keamanan Siber, SOC, dan Operasi TI
Istilah-istilah ini saling terkait, tetapi tidak dapat saling menggantikan.
SecOps vs. keamanan siber
Keamanan siber adalah disiplin ilmu yang lebih luas. Disiplin ini mencakup tata kelola, risiko, arsitektur, kepatuhan, pencegahan, manajemen kerentanan, dan respons insiden.
SecOps adalah bagian yang bertugas melindungi lingkungan operasional dari ancaman aktif dan yang terus berkembang. Fokusnya adalah pada aktivitas yang terjadi di dalam lingkungan tersebut, termasuk lalu lintas jaringan yang tidak biasa, akun yang diretas, dan akses mencurigakan ke data sensitif.
Keamanan siber menetapkan arah keamanan yang lebih luas; SecOps menjalankan sebagian dari strategi tersebut setiap hari.
SecOps vs. pusat operasi keamanan (SOC)
Pusat operasi keamanan (SOC) adalah salah satu cara untuk mengatur operasi keamanan. SOC dapat berupa ruangan fisik, tim virtual, layanan pihak ketiga, atau kombinasi dari model-model tersebut.
Microsoft mendeskripsikan SOC sebagai fungsi yang memantau lingkungan, mendeteksi ancaman, menanggapi insiden, dan meningkatkan keamanan.
Perbedaannya sangat jelas: SecOps adalah kemampuan, sedangkan SOC adalah model penyampaian. Sebuah organisasi dapat menjalankan SecOps tanpa membangun SOC 24/7 sendiri. Yang penting adalah cakupan yang dapat diandalkan dan jalur tindakan yang jelas.
Operasi Keamanan vs. Operasi TI
Operasi TI menjaga agar sistem tetap tersedia dan andal. Operasi keamanan melindungi sistem tersebut dari aktivitas berbahaya atau tidak sah.
Kedua tim sering bekerja sama selama insiden terjadi. Tim keamanan dapat meminta tim TI untuk mengisolasi perangkat, menonaktifkan akun, atau memulihkan layanan. Hak pengambilan keputusan yang jelas sangat penting karena tindakan keamanan yang cepat juga dapat memengaruhi operasional bisnis.
Bagaimana Cara Kerja Operasi Keamanan?
SecOps yang matang menghubungkan empat aktivitas, di mana masing-masing aktivitas saling mendukung.
Pertahankan visibilitas dan konteks.
SecOps membutuhkan pandangan yang jelas tentang lingkungan operasional. Sinyal-sinyal yang berguna dapat berasal dari titik akhir, lalu lintas jaringan, identitas, email, aplikasi, dan layanan cloud.
Tujuannya bukanlah untuk mengumpulkan setiap kemungkinan kejadian. Mengumpulkan data dalam jumlah berlebihan yang kurang bermanfaat dapat meningkatkan gangguan operasional dan biaya penyimpanan. Tujuannya adalah untuk menyimpan cukup bukti yang berguna untuk mendeteksi ancaman dan merekonstruksi apa yang terjadi.
Intelijen ancaman menambahkan konteks eksternal. Intelijen ini dapat menunjukkan metode penyerang, kerentanan, atau kampanye mana yang sedang aktif. Hal ini membantu tim keamanan untuk fokus pada ancaman yang relevan dengan sistem mereka sendiri.
Mendeteksi dan menyelidiki ancaman siber
Suatu insiden yang mungkin terjadi dapat dimulai dengan malware, login yang tidak biasa, atau perubahan perilaku pengguna. Analis keamanan kemudian memutuskan apakah sinyal tersebut tidak berbahaya, merupakan false positive, atau ancaman nyata.
Investigasi yang baik bergantung pada konteks. Analis perlu mengetahui siapa yang melakukan tindakan tersebut, sistem apa yang terpengaruh, dan apakah tanda-tanda terkait muncul di tempat lain.
Platform modern dapat menghubungkan sinyal yang sebelumnya terpisah. Deteksi dan respons yang diperluas (XDR) dapat menggabungkan bukti dari titik akhir, jaringan, identitas, email, dan layanan cloud. Hal ini membantu analis melihat jalur serangan yang lebih luas daripada hanya meninjau setiap peringatan secara terpisah.
Teknologi dapat mempercepat investigasi, tetapi tidak menghilangkan kebutuhan akan penilaian manusia. Tim SecOps tetap harus menilai dampak bisnis dan memutuskan kapan harus bertindak.
Mengendalikan, memperbaiki, dan memulihkan
Ketika suatu insiden dikonfirmasi, prioritas bergeser ke meminimalkan kerusakan. Respons dapat berupa mengisolasi perangkat, memblokir lalu lintas berbahaya, atau menonaktifkan akun yang disusupi. Tim kemudian menghapus akses penyerang dan memulihkan layanan yang terpengaruh.
Tim penanggulangan insiden jarang bekerja sendirian. Staf TI, tim cloud, pemilik aplikasi, dan pemimpin bisnis semuanya dapat memiliki peran. SecOps menyediakan bukti dan koordinasi yang dibutuhkan untuk mendukung penanganan, perbaikan, dan pemulihan tepat waktu.
NIST SP 800-61 Revisi 3 menempatkan persiapan, deteksi, respons, dan pemulihan dalam manajemen risiko siber yang lebih luas. Hal ini mencerminkan poin penting: respons insiden bukanlah tugas darurat yang terpisah, melainkan bagian dari model operasional berkelanjutan.
Belajar dan berkembang
Setiap investigasi harus meningkatkan pertahanan di masa depan. Tim dapat memperbarui deteksi, menutup celah visibilitas, atau mengubah langkah respons. Tim juga dapat mencari aktivitas serupa sebelum peringatan lain muncul.
Di sinilah SecOps mengambil pendekatan proaktif. Tim menggunakan apa yang dipelajari dari investigasi dan intelijen ancaman untuk mencari aktivitas terkait, menutup celah, dan mempersiapkan diri menghadapi ancaman yang terus berkembang.
Model Operasi Keamanan
Organisasi dapat menjalankan SecOps dengan berbagai cara. Model terbaik bergantung pada risiko, keterampilan internal, cakupan yang dibutuhkan, dan tingkat kendali yang ingin dipertahankan oleh organisasi.
Operasi Keamanan Mandiri
Dalam model yang dikelola sendiri, organisasi memiliki teknologi, analis, dan keputusan respons. Tim keamanan internal membangun deteksi, terus memantau lingkungan, dan mengoordinasikan tindakan.
Model ini menawarkan kendali langsung dan konteks bisnis yang kuat. Namun, model ini juga membutuhkan investasi berkelanjutan dalam sumber daya manusia, pelatihan, integrasi, dan cakupan. Akuisisi teknologi hanyalah langkah pertama; organisasi juga harus mempertahankan kemampuan operasional yang dibutuhkan untuk menggunakannya secara efektif.
Operasi Keamanan yang dikelola sepenuhnya
Dalam model yang dikelola sepenuhnya, penyedia eksternal menangani sebagian besar pekerjaan pemantauan, investigasi, dan respons. Hal ini sering kali diberikan melalui layanan deteksi dan respons terkelola (MDR).
Model ini dapat menyediakan analis keamanan berpengalaman dan cakupan yang lebih luas tanpa perlu membangun seluruh fungsi secara internal. Pelanggan tetap memegang kendali atas keputusan bisnis utama dan pemulihan. Penyedia menjalankan tugas keamanan yang telah ditentukan; mereka tidak mengambil alih semua tanggung jawab.
Operasi Keamanan Hibrida
Model hibrida membagi pekerjaan. Tim internal dapat tetap fokus pada strategi dan respons yang berorientasi bisnis, sementara penyedia layanan menambahkan pemantauan, keahlian khusus, atau cakupan di luar jam kerja.
Model ini cocok untuk organisasi dengan anggota tim internal yang kompeten tetapi tidak mampu memberikan cakupan berkelanjutan di seluruh lingkungan. Efektivitasnya lebih bergantung pada apakah model gabungan tersebut memberikan kepemilikan yang jelas, cakupan yang konsisten, dan tindakan yang tepat waktu, daripada labelnya.
Mengapa SecOps Penting?
SecOps mengurangi waktu antara aktivitas penyerang dan tindakan pertahanan yang efektif. Waktu tersebut penting karena penyerang menggunakannya untuk memperluas akses mereka.
Penyerang membutuhkan waktu
Setelah mendapatkan akses, penyerang dapat menjelajahi sistem, mencuri kredensial, atau mengakses data sensitif. Semakin lama aktivitas tersebut tersembunyi, semakin besar kerusakan yang dapat ditimbulkannya.
Laporan M-Trends 2025 dari Mandiant menemukan waktu rata-rata global selama 11 hari untuk insiden yang diselidiki pada tahun 2024. Mediannya adalah 10 hari ketika organisasi korban mendeteksi aktivitas berbahaya itu sendiri, dibandingkan dengan 26 hari ketika mereka diberitahu oleh entitas eksternal.
Temuan ini menyoroti pentingnya mempertahankan kemampuan deteksi yang andal, baik yang dioperasikan secara internal, melalui penyedia MDR, atau melalui model hibrida. Organisasi dengan operasi keamanan yang mapan lebih siap untuk mengidentifikasi dan menyelidiki ancaman canggih sebelum berkembang menjadi pelanggaran besar.
Perangkat keamanan hanya menciptakan nilai ketika perangkat tersebut mendorong tindakan.
Organisasi sering mengukur cakupan keamanan dengan menghitung perangkat yang dilindungi atau sumber data yang terhubung. Angka-angka ini menggambarkan potensi cakupan, bukan hasil keamanan.
SecOps mengubah cakupan menjadi tindakan. Ini menentukan sinyal mana yang penting, apa artinya, dan apa yang harus dilakukan selanjutnya. Platform yang meningkatkan volume peringatan tanpa meningkatkan prioritas atau investigasi dapat menambah beban kerja tanpa meningkatkan hasil keamanan.
Operasi yang berjalan dengan baik juga meningkatkan kemampuan alat dari waktu ke waktu. Deteksi menjadi lebih akurat, kesalahan positif berkurang, dan otomatisasi dapat mengambil alih pekerjaan yang lebih rutin.
SecOps memperkuat ketahanan
Pencegahan tidak akan menghentikan setiap serangan. Akun dapat dicuri, kerentanan dapat dieksploitasi, dan sistem yang tepercaya dapat disalahgunakan.
SecOps memberikan organisasi cara yang dapat diulang untuk merespons ketika pencegahan gagal. Ini membantu orang memahami insiden, membatasi kerusakan, dan memulihkan layanan penting. Hal ini menjadikan SecOps sebagai kemampuan ketahanan bisnis sekaligus fungsi keamanan.
Apa yang Menghambat Operasi Keamanan (SecOps) untuk Bekerja Secara Efektif?
Kendala utama terhadap SecOps yang efektif seringkali bukanlah kurangnya teknologi, melainkan kesulitan dalam mengoperasikan teknologi keamanan sebagai kemampuan yang koheren dan berkelanjutan.
Keterampilan, Kapasitas, dan Cakupan yang Terbatas
Operasi keamanan (SecOps) yang efektif membutuhkan kapasitas analis dan keahlian spesialis yang memadai untuk menyelidiki ancaman yang kredibel dalam jangka waktu yang dapat diterima. Memberikan tanggung jawab keamanan kepada staf TI yang ada tidak secara otomatis menciptakan kemampuan operasional yang berkelanjutan.
Tim yang lebih kecil mungkin kesulitan untuk mempertahankan pemantauan berkelanjutan sekaligus menanggapi insiden, mengelola alat keamanan, dan mendukung kebutuhan bisnis yang lebih luas. Tekanan ini dapat menciptakan celah dalam cakupan atau membuat personel berpengalaman memiliki terlalu sedikit waktu untuk investigasi yang kompleks. Oleh karena itu, organisasi mungkin perlu menggabungkan sumber daya internal dengan otomatisasi, pengaturan siaga, layanan MDR, atau model operasi hibrida.
Visibilitas yang Terfragmentasi dan Alur Kerja yang Terputus
Informasi keamanan seringkali tersebar di berbagai platform endpoint, identitas, jaringan, cloud, dan aplikasi yang berbeda. Analis mungkin perlu berpindah antar beberapa konsol dan menghubungkan peristiwa terkait secara manual sebelum mereka dapat memahami cakupan suatu insiden.
Tantangannya seringkali bukan kurangnya data, tetapi mengubah sinyal yang terfragmentasi menjadi gambaran yang jelas tentang insiden dan respons yang terkoordinasi. Alat tambahan dapat memperparah masalah ketika alat tersebut memperkenalkan lebih banyak peringatan dan alur kerja tanpa meningkatkan investigasi.
Kepemilikan dan Wewenang Pengambilan Keputusan yang Tidak Jelas
SecOps bergantung pada koordinasi antara keamanan, TI, pemilik aplikasi, dan pemimpin bisnis. Penundaan muncul ketika tanggung jawab atas suatu peringatan tidak jelas, jalur eskalasi kurang terdefinisi dengan baik, atau pihak yang merespons tidak memiliki wewenang untuk mengatasi ancaman yang telah dikonfirmasi.
Penundaan ini tidak selalu disebabkan oleh tata kelola yang lemah. Mengisolasi sistem produksi, menonaktifkan akun penting, atau mengganggu proses bisnis dapat menimbulkan konsekuensi operasional yang signifikan. Oleh karena itu, organisasi membutuhkan hak pengambilan keputusan yang mendukung penanganan tepat waktu sekaligus mempertimbangkan dampak bisnis.
Tekanan Operasional Menghambat Perbaikan
Tim yang berada di bawah tekanan operasional berkelanjutan sering kali fokus pada peringatan atau insiden yang ada di depan mereka. Penyesuaian deteksi, perburuan ancaman, pengembangan panduan, pelatihan, dan perbaikan akar penyebab kemudian berulang kali ditunda.
Hal ini dapat menciptakan siklus di mana tim tetap aktif tetapi terus menghadapi kebisingan peringatan yang sama, kesenjangan visibilitas, dan kelemahan yang berulang. SecOps yang efektif membutuhkan kapasitas tidak hanya untuk menangani ancaman saat ini, tetapi juga untuk meningkatkan cara operasi mendeteksi dan merespons ancaman di masa mendatang.
Bagaimana Organisasi Dapat Membangun SecOps yang Efektif?
Membangun SecOps yang efektif harus dimulai dengan hasil keamanan yang dibutuhkan organisasi dan model operasional yang diperlukan untuk mencapainya. Teknologi harus mendukung model tersebut, bukan mendefinisikannya.
Definisikan Hasil yang Diperlukan dan Model Cakupan
Organisasi harus terlebih dahulu mengidentifikasi sistem, identitas, data, dan layanan bisnis yang paling penting. Kemudian mereka dapat menentukan ancaman mana yang harus dideteksi, seberapa cepat investigasi harus dimulai, dan tingkat respons apa yang dibutuhkan.
Persyaratan ini memberikan dasar yang lebih jelas untuk memutuskan bagaimana SecOps harus diterapkan. Beberapa organisasi mungkin memerlukan SOC (Security Operations Center) yang beroperasi penuh 24/7. Yang lain mungkin menggabungkan cakupan internal dengan otomatisasi, personel siaga, penyedia MDR (Managed Detection and Response), atau model hibrida. Model yang tepat adalah model yang secara konsisten dapat mendeteksi dan menanggapi risiko yang signifikan dalam jangka waktu yang dapat diterima.
Mengintegrasikan Alur Kerja Visibilitas dan Respons
SIEM, XDR, keamanan endpoint, pemantauan jaringan, otomatisasi, dan intelijen ancaman semuanya dapat berkontribusi pada SecOps. Alat dan proses ini menciptakan nilai yang lebih besar ketika mendukung alur kerja investigasi dan respons yang koheren daripada beroperasi melalui sistem yang terpisah.
Integrasi seharusnya mengurangi peringatan duplikat, pencarian manual, dan perpindahan yang tidak perlu antar konsol. Otomatisasi dapat memperkaya sinyal, mengkorelasikan aktivitas terkait, dan menjalankan langkah-langkah respons yang dapat diprediksi. Analis kemudian dapat fokus pada pekerjaan yang membutuhkan penilaian, konteks bisnis, dan koordinasi.
Tetapkan Kepemilikan dan Hak Pengambilan Keputusan yang Jelas
Organisasi harus menentukan siapa yang memantau sinyal keamanan, siapa yang memimpin investigasi, siapa yang mengoordinasikan respons, dan siapa yang dapat mengotorisasi tindakan pengamanan. Peringatan penting harus memiliki pemilik yang jelas, jalur eskalasi, dan perkiraan jangka waktu respons.
Wewenang pengambilan keputusan harus disepakati sebelum insiden terjadi. Tindakan berisiko rendah dapat diotomatisasi atau disetujui sebelumnya, sementara tindakan yang mengganggu mungkin memerlukan masukan dari pemilik sistem atau pemimpin bisnis. Hal ini memungkinkan organisasi untuk bertindak cepat tanpa mengabaikan konsekuensi operasional dari tindakan penahanan.
Melindungi Kapasitas untuk Peningkatan Berkelanjutan
SecOps yang efektif harus ditingkatkan di antara insiden. Organisasi harus menyisihkan waktu untuk menyempurnakan deteksi, mengurangi false positive, memperbarui playbook, memperkuat integrasi, mengembangkan keterampilan analis, dan mengatasi penyebab berulang dari peristiwa keamanan.
Tanpa kapasitas yang terlindungi untuk pekerjaan ini, tim dapat tetap sibuk dengan peringatan harian sementara kesenjangan visibilitas yang sama, alur kerja yang tidak efisien, dan kelemahan yang berulang terus berlanjut.
Ukurlah Hasil, Bukan Aktivitas
Jumlah peringatan, volume kasus, dan beban kerja analis menunjukkan seberapa banyak aktivitas yang terjadi, tetapi tidak menunjukkan apakah organisasi tersebut menjadi lebih aman.
Ukuran yang lebih bermanfaat menilai seberapa cepat ancaman yang kredibel terdeteksi, seberapa efisien ancaman tersebut diselidiki, apakah penahanan membatasi dampaknya, dan apakah kelemahan yang diidentifikasi selama insiden tersebut diatasi. Metrik juga harus mengungkap penundaan antar tahapan. Deteksi cepat memiliki nilai terbatas jika persetujuan menunda penahanan, sementara penutupan kasus yang cepat tidak berarti jika masalah mendasar tetap ada.
Tujuan pengukuran adalah untuk mengevaluasi dan meningkatkan kinerja keseluruhan operasi SecOps, bukan hanya untuk menunjukkan bahwa tim tersebut sedang sibuk.
Kesimpulan: SecOps Merupakan Kemampuan Operasional
Operasi keamanan tidak didefinisikan oleh jumlah alat, ukuran tim, atau SOC formal. Operasi keamanan ada ketika orang, teknologi, dan proses bekerja sama sebagai kemampuan berkelanjutan untuk memantau ancaman, membuat keputusan yang tepat, mengoordinasikan respons, dan meningkatkan pertahanan dari waktu ke waktu. Itulah perbedaan antara memiliki teknologi keamanan dan mengoperasikannya untuk melindungi organisasi.
Pertanyaan yang Sering Diajukan (FAQ) tentang Operasi Keamanan (SecOps)
Operasi keamanan, atau SecOps, adalah fungsi berkelanjutan yang bertanggung jawab untuk mendeteksi, menyelidiki, dan menanggapi ancaman siber di lingkungan TI aktif suatu organisasi. SecOps menyatukan para profesional keamanan, teknologi, intelijen ancaman, dan proses respons untuk mengubah sinyal keamanan menjadi tindakan yang terinformasi. SecOps yang efektif juga meningkat seiring waktu dengan menyempurnakan deteksi, memperbarui prosedur respons, dan mengatasi kelemahan yang diidentifikasi selama investigasi.
Tim SecOps memantau lingkungan organisasi untuk aktivitas mencurigakan, menyelidiki potensi ancaman, dan mengoordinasikan penahanan, perbaikan, dan pemulihan ketika insiden dikonfirmasi. Tim ini dapat menganalisis aktivitas endpoint, identitas, jaringan, email, aplikasi, dan cloud. Tim ini juga meningkatkan aturan deteksi, mengurangi false positive, melakukan perburuan ancaman, memelihara playbook respons, dan bekerja sama dengan tim TI dan bisnis selama insiden keamanan.
SecOps beroperasi sebagai siklus berkelanjutan. Alat keamanan mengumpulkan dan menganalisis data dari seluruh lingkungan, kemudian mengidentifikasi aktivitas yang mungkin mengindikasikan ancaman. Analis keamanan menyelidiki sinyal-sinyal tersebut, menentukan ruang lingkup dan dampaknya terhadap bisnis, serta mengoordinasikan respons yang tepat. Pelajaran dari setiap investigasi kemudian digunakan untuk meningkatkan visibilitas, akurasi deteksi, alur kerja respons, dan kontrol keamanan. Proses siklus tertutup ini membedakan operasi keamanan aktif dari sekadar memiliki teknologi keamanan.
SecOps adalah kemampuan operasi keamanan, sedangkan pusat operasi keamanan, atau SOC, adalah salah satu cara untuk mengatur dan menjalankannya. SOC dapat berupa tim internal, fungsi virtual, layanan yang dialihdayakan, atau pengaturan hibrida. Oleh karena itu, suatu organisasi dapat menjalankan SecOps yang efektif tanpa harus memiliki SOC fisik atau yang dikelola sepenuhnya. Yang penting adalah pemantauan yang konsisten, kepemilikan yang jelas, dan kemampuan untuk menyelidiki dan merespons dalam jangka waktu yang dapat diterima.
SecOps berfokus pada melindungi lingkungan operasional organisasi dari ancaman siber aktif dan yang baru muncul. DevSecOps mengintegrasikan keamanan ke dalam proses pengembangan dan pengiriman perangkat lunak sehingga kerentanan dan risiko keamanan ditangani lebih awal dalam siklus hidup perangkat lunak. Kedua fungsi tersebut tumpang tindih tetapi memiliki tujuan yang berbeda: DevSecOps membantu membangun dan merilis perangkat lunak dengan aman, sementara SecOps memantau dan melindungi sistem, aplikasi, identitas, dan data setelah beroperasi.
Tidak setiap organisasi membutuhkan SOC internal yang beroperasi 24/7. Cakupan yang dibutuhkan bergantung pada risiko bisnis, jam operasional, kewajiban regulasi, dan seberapa cepat organisasi harus merespons ancaman. Beberapa organisasi menggunakan SOC internal penuh waktu, sementara yang lain menggabungkan tim internal dengan otomatisasi, personel siaga, penyedia deteksi dan respons terkelola, atau model hibrida. SecOps yang efektif membutuhkan cakupan yang dapat diandalkan dan tindakan tepat waktu, bukan berarti harus ada staf internal yang siaga sepanjang waktu.
