サイバー攻撃と防御の実務
あるSOCでは、SIEMが1日に1440件の警告を出し、警告は1日を通して均等に発生する。SOARの自動処理で75%の警告が分析者の確認なしに処理され、残りの警告には1件あたり平均10分の分析者の作業が必要である。分析者は休みなく作業できるものとして、警告を発生のペースに遅れずに処理するために、常に配置が必要な分析者の最小の人数はどれか。
- A2人
- B3人
- C10人
答えと解説を見る
正解：B. 3人
分析者が確認する警告は 1440 × (1 − 0.75) = 360件/日で、1時間あたり 360 ÷ 24 = 15件です。1人の分析者は1時間に 60 ÷ 10 = 6件を処理できるので、必要な人数は 15 ÷ 6 = 2.5人となり、切り上げて3人です。SOARの自動処理がなければ1時間に60件となり、60 ÷ 6 = 10人が必要になります。実際には休憩やほかの業務があり、警告の件数も時間帯によって変わるので、稼働率に余裕を持たせて人数を決めます。
- A. 2.5人を切り捨てた値で、1時間に12件しか処理できず、警告がたまっていきます。
- B. 正しい。15 ÷ 6 = 2.5人を切り上げて3人です。
- C. SOARの自動処理がないとして、すべての警告(1時間に60件)を人が確認する場合の人数です。