美国智库发布报告探讨私营企业在网络与安全运营中心方面的做法对美国空军的启示

美国兰德公司近日发布报告——《私营企业在网络与安全运营中心方面的做法——空军部的最佳实践》，旨在研究私营企业网络运营中心（NOC）和安全运营中心（SOC）的组织、人员配置及最佳实践，并为美国空军部在建立指挥控制联合网络与安全运营中心（C2NSOC）过程中提供参考。报告基于2025年12月提交给空军部的原始研究成果，综合SANS研究所历年调查及行业文献，系统分析了私营部门在网络安全与网络性能保障方面的成熟经验。

报告首先介绍了私营部门NOC与SOC的核心职能，NOC主要负责确保网络可用性和性能，涵盖本地、云端及远程环境。其分析师持续监控交换机、路由器、应用服务器及云服务，以网络正常运行时间、吞吐量和延迟为绩效指标。SOC则聚焦于保护企业资产免受网络威胁，分析师监控日志和告警以检测入侵、恶意软件及内部滥用，绩效通过检测时间、事件响应速度和合规结果衡量。两者的具体运作边界在实践中可能模糊，但职能区分总体清晰。

报告识别了NOC和SOC在“位置与权限”维度上的三种结构维度：集中式、分布式和外包式。集中式模型（占私营企业38%）由一个中心处理全公司运营，成本效益高且便于管理，但存在单点故障风险。分布式模型建立多个区域中心，覆盖地理时区并支持本地合规，但协调成本高。混合模式中，“跟随太阳”模式将监测职责按全球营业时间依次传递，确保7×24小时覆盖且无需分析师长期夜班，约半数需全天候运营的SOC采用此模式。

报告认为，私营部门普遍采用分级人员配置：一级分析师负责告警分类和升级，二级人员深入调查，三级或专业角色负责高级事件响应、数字取证和工具调优。出于成本考虑，许多企业将常规告警监测外包给托管安全服务提供商（MSSP），而将事件响应、架构设计等敏感职能保留在内部。2025年调查显示，最普遍的SOC规模为2至10人；员工总数少于1万人的企业通常设2至5名分析师，超过10万人的大型企业则设26至100名。约24%的SOC采用云端服务实现完全外包。

报告指出，自动化、集成化和人工智能技术的进步深刻改变了私营部门的人力配置格局。SIEM平台、SOAR工具和AI分析使组织能够用更少的分析师处理海量数据。自动化监测工具可识别网络异常并自动解决部分故障，减少了一级分析师的需求。但技术应用也带来新挑战：自动化生成的告警数量激增，过度依赖工具可能导致人员技能退化，配置错误的自动化系统可能将小异常放大为大规模服务中断。因此，最优人力结构可能从“金字塔”转变为“沙漏型”——少量一级人员、高度精干的二三级专家、以及大量负责系统集成与验证的工程师。

报告强调，私营部门的最佳实践不能直接移植到空军C2NSOC。私营企业以利润为导向，优化效率、可扩展性和合规性；空军则以任务为驱动，优先保障网络韧性和任务保证而非成本效率。私营部门可接受的宕机风险、外包监控职能、自动化决策及较灵活的人员缩减，在军事指挥控制环境下可能带来不可接受的风险。空军需要的是正的人类控制权和指挥链问责制。因此，报告建议空军采用分级人员配置、整合劳动力和技术规划、部署自动化监测工具、定期评估、采用“跟随太阳”式全天候覆盖，并融合NOC与SOC职能。但这些做法必须经过调整，以“任务保证”取代“成本削减”为核心目标，构建兼顾行业效率与军事高要求的混合模型。

如有需要，请联系我司！