SOCアナリストの参画初月にやること｜現場で信頼される進め方

SOCアナリストの参画初月は、監視の範囲とエスカレーションの基準を覚え、現場の基準どおりに判断と記録を回せる状態をつくり、月末に気づいた改善点を整理して出すのが基本です。初月から目立つ改善を出すことより、「この人の判断と記録なら任せられる」と思ってもらうことが、その後の任される範囲を決めます。

SOCは交代で動くチームの仕事なので、外部から入った人の判断がずれると、ほかの担当者や顧客の負担に直結します。この記事では、初月のゴール、週ごとの進め方、案件の型による重心の違い、避けたい動き、月末の振り返りを整理します。参画前の準備全般は参画前に準備しておくことで扱っています。

初月のゴールを3つに分ける

初月にやることは多く見えますが、ゴールは次の3つに絞れます。

1つ目と2つ目が土台で、3つ目は土台ができてから出すものです。順番を逆にしないことが、初月の進め方の要になります。

1週目：監視の範囲と約束を覚える

最初に読む資料

1週目は、手を動かす前に資料を読む時間を取ります。読んでおきたいのは次のものです。

• 手順書：アラートの種類ごとの確認の手順と、上げる・上げないの基準
• 監視の対象の一覧：端末、サーバー、クラウド、ネットワーク機器のどこまでを見ているか
• 顧客や社内との約束：報告までの時間、連絡の手段、夜間の連絡先
• 過去の対応記録：よく出るアラート、誤検知として閉じた事象、上げた事象の例
• 製品の構成：SIEMやEDRの画面、よく使う検索、ダッシュボード

過去の対応記録は、手順書に書かれていない「この現場の判断の癖」を知る手がかりになります。どの事象をどの根拠で閉じたかを読むと、基準の実際の使われ方が見えてきます。

権限と使ってよい道具を確かめる

1週目のうちに、自分に与えられた権限と、行ってよい対応の範囲を確かめます。

• 端末の隔離やプロセスの停止を自分で行ってよいか、承認が要るか
• ログを手元に保存してよいか、使ってよい道具は何か
• 指示を誰から受け、シフトをどう決めるか

この3点は、あとからつまずきの種になりやすいところです。業務委託で参画している場合、勤務の時間や作業の手順まで細かく指示される形は、実態によっては偽装請負の問題になります。線引きは偽装請負の記事を参照してください。

2週目：現場の基準で判断と記録を回す

迷った事象は根拠を添えて確かめる

2週目からは、実際のアラートを担当する時間が増えます。この時期は、迷った事象を自分の判断と根拠を添えてリーダーに確かめるのが基本です。「上げるべきか分かりません」ではなく、「送信元が普段と違い、同じ端末で別の検知も出ているため上げたいと考えます」のように伝えると、判断の筋が見えて、確かめる側の負担も減ります。

記録の型をそろえる

記録は、現場の決まった形式に合わせます。何を見て、何を確かめ、なぜその判断をしたか、次に何を待っているかを短く書く型を、早いうちに自分の中で固めておくと、交代のときに迷いません。事象を攻撃の流れのどこに当たるかで説明する現場では、MITRE ATT&CKのような共通の言葉を使うと、記録がほかの担当者にも通じやすくなります。

よく使う検索を控えておく

現場の製品で何度も使う検索の条件は、許されている範囲で、現場の環境の中に自分用の控えとしてまとめておきます。検索言語に慣れていない製品の場合、この控えが立ち上がりの速さを大きく変えます。

3〜4週目：任される範囲を広げ、改善の種をまとめる

リーダーの確かめなしで回せる事象を増やす

3週目以降は、2週目に確かめた判断の結果を振り返り、現場の基準と合っていた事象の種類を、自分だけで回せる範囲として広げていきます。判断がずれていた事象は、何が違ったのかを手順書の言葉で整理しておきます。

改善の種は根拠と一緒に書き留める

1か月現場にいると、誤検知が多いルール、手順書の分かりにくい箇所、担当者によって判断が分かれる事象が見えてきます。これらは、気づいた日にその場で直そうとせず、件数や具体的な場面と一緒に書き留めておきます。

月末に優先順位をつけて出す

月末には、書き留めた改善の種を、影響の大きさと直しやすさで並べ、リーダーに出します。全部を一度に出すより、「まず誤検知の多いこのルールの条件を見直したい」のように1〜2点に絞るほうが、受け入れてもらいやすくなります。手順書やルールを直す権限が誰にあるかも確かめたうえで提案してください。

案件の型によって初月の重心は変わる

監視サービスの事業者の案件

複数の顧客を見る現場では、顧客ごとの報告の決まりと連絡の手段を覚えることが初月の重心になります。顧客の取り違えや報告の形の誤りは信頼を大きく損ねるため、1週目から顧客ごとの違いを一覧にしておくと安心です。

事業会社の社内SOCの案件

一つの会社の環境を深く見る現場では、社内の業務やシステムの普段の動きを知ることが重心になります。情報システム部門や業務部門の誰に何を聞けばよいかを早めにつかむと、誤検知の見分けが速くなります。

SIEM・EDRの導入・移行の案件

立ち上げの現場では、ログの取り込みの状況と、運用が始まったときの手順の整い具合を確かめることが重心になります。手順書がまだない場合も多く、初月のうちに「運用が始まる前に決めておくべきこと」の一覧をつくると、その後の仕事が進めやすくなります。

初月に避けたい動き

• 前の現場の基準で判断する：上げる・上げないの基準は現場ごとに違います。慣れるまでは今の現場の手順書を優先します
• 権限があるからと対応の操作を行う：画面で押せても、承認の決まりを確かめるまでは提案にとどめます
• 迷いを一人で抱え込む：結論が出ないまま時間が過ぎると、事象が広がることがあります
• 初月から大きな改善を言い出す：現場の事情を知らないまま出した案は、受け入れられにくくなります
• 情報を手元に持ち出す：調査のためでも、許可のない保存や私用の道具の利用は避けます。考え方は秘密保持契約の記事をご覧ください

1か月の終わりに振り返ること

月末には、次の点を自分で振り返り、必要ならリーダーや窓口と話す時間を取ります。

1. 任される範囲：リーダーの確かめなしで回せる事象の種類は増えたか
2. 判断のずれ：確かめた判断のうち、現場の基準とずれていたものは何か、なぜずれたか
3. 時間帯と稼働：シフトや延長が、契約で決めた条件の範囲に収まっているか
4. 業務の範囲：契約に書かれた段や成果物と、実際の仕事がずれていないか。ずれがあれば業務範囲が変わったときの記事を参照
5. 次の1〜2か月：出した改善案のうち、どれをいつ進めるか

振り返りの結果は、自分用の控えとして短く残しておくと、2か月目以降に任される範囲が広がったときの比べる材料になります。判断のずれが続いている事象の種類があれば、その種類だけを集めて手順書の基準と見比べ、次の月に確かめる点として持ち越してください。参画初期の動き方全般は参画初期の進め方も参考になります。

よくある質問

手順書がほとんどない現場です。何から始めればよいですか？

過去の対応記録を読み、よく出るアラートと、その閉じ方・上げ方の例を集めるところから始めます。そのうえで、判断に迷った事象をリーダーに確かめた結果を自分の控えにまとめていくと、それが手順書の下書きにもなります。手順書づくりを任されるかどうかは、範囲を確かめてから進めてください。

初月から夜間の枠に入るよう頼まれました。どうすればよいですか？

契約で時間帯の条件を決めている場合は、その範囲かどうかをまず確かめます。夜間は相談できる人が少ないことも多いため、入る場合は、迷ったときの連絡先と、判断を保留してよい事象の扱いを事前に決めておくと安心です。

1か月たっても製品の操作に慣れません。どうすればよいですか？

よく使う検索の条件を控えにまとめ、使う場面ごとに整理し直してみてください。それでも調査に時間がかかる場合は、どの操作で手が止まっているかを具体的にしてリーダーに相談します。「絞る・集める・比べる」の考え方は製品が変わっても共通なので、考え方を先に固めると操作も覚えやすくなります。