il questionario chiede se abbiamo un SOC o SIEM, cosa significa

SOC e SIEM sono entrambi parte della rilevazione e della risposta

SOC sta per security operations center: un team o servizio che monitora continuamente i log e gli avvisi. SIEM sta per security information and event management: il software che raccoglie i dati di log dai sistemi, li correla e genera avvisi. Spesso vanno insieme — il SIEM è lo strumento, il SOC sono le persone che lo usano — ma non è un requisito. Un SOC può anche lavorare con altri strumenti, e un SIEM può funzionare senza un team separato dietro di esso che guarda 24/7.

Se non hai nessuno dei due, "no" è la risposta corretta, non un compromesso. Molti clienti pongono questa domanda come indicatore di quanto è maturo il tuo rilevamento e risposta, non come requisito in sé. Quello che puoi invece aggiungere: come le vulnerabilità e gli incidenti vengono comunque notati e gestiti da te, anche senza SOC o SIEM — ad esempio tramite la procedura per la gestione degli incidenti di sicurezza e il processo di identificazione e correzione delle vulnerabilità. Questo dà un quadro più realistico di un semplice "no" senza spiegazione, ed è più vicino a quello che il cliente vuole veramente sapere.

Da dove viene: articolo 21 paragrafo 2 NIS2 e Annex A di ISO 27001

La domanda di solito non viene letteralmente da una norma — né l'articolo 21 paragrafo 2 della direttiva NIS2, né l'Allegato A della ISO/IEC 27001 menzionano SOC o SIEM come parte separata obbligatoria. Entrambi richiedono che un'organizzazione sia in grado di rilevare gli incidenti di sicurezza e di rispondere ad essi, e un SOC o SIEM è un modo per farlo, non un fine in sé. I clienti che ricadono sotto la Legge sulla cibersicurezza — il recepimento olandese della NIS2, che entra in vigore il 15 agosto 2026 — a volte traducono questo requisito di rilevamento in questa domanda concreta nel loro stesso questionario, anche se la norma sottostante non usa la parola SIEM.