Que métricas você reportaria para mostrar que o SOC está fazendo o trabalho dele?

Reporte métricas de resultado junto com as de atividade. As úteis são tempo até detectar e tempo até conter por severidade, a proporção de incidentes achados pelas suas próprias detecções versus reportados de fora, cobertura de detecção validada contra as suas técnicas prioritárias, taxa de falsos positivos por regra, e a idade das exceções de risco abertas. Evite contagem bruta de alertas e tickets fechados como números de destaque, já que eles premiam ruído em vez de resultado de segurança.

O meu destaque é a proporção de incidentes que a gente mesma detectou versus os que a gente ficou sabendo por um usuário, um cliente, um fornecedor ou a polícia. Esse número sozinho diz se a função está funcionando. Abaixo dele, tempo até detectar e tempo até conter separados por severidade, porque tirar média de um phishing reportado com uma tentativa de ransomware esconde tudo que importa. Depois cobertura contra as técnicas que a gente decidiu serem prioridade para o nosso modelo de ameaça, classificada por teste de validação e não por autoavaliação, e taxa de falsos positivos por regra, para o trabalho de tuning ter um número atrelado. Eu deliberadamente evito liderar com volume de alertas ou tickets fechados, porque esses sobem quando o ambiente fica mais barulhento, e eu já vi um time ser parabenizado por uma métrica que era pura regressão de telemetria. Quando um mês é ruim, eu apresento com o motivo e a correção, porque no momento em que você cura o dashboard você perde a capacidade de pedir orçamento de cara limpa.