SOC Analyst — løn 2026: 58.411 kr. om måneden

En SOC analyst arbejder i en sikkerhedsvagtcentral — den afdeling, der holder øje med, om nogen angriber virksomhedens systemer. Forkortelsen dækker det engelske udtryk for netop sådan en central.

• Alarmerne: systemerne udsender advarsler hele døgnet, og analytikeren vurderer hver enkelt: er det et angreb eller en falsk alarm
• Undersøgelsen: ved en reel hændelse følges sporene — hvilken maskine, hvilken bruger, hvad blev der gjort
• Inddæmning: en ramt maskine tages af nettet, og en misbrugt konto spærres, før skaden breder sig
• Eskalering: de alvorlige sager sendes videre til de mere erfarne hold med den viden, der er samlet
• Dokumentation: hver sag skrives ned, fordi forløbet skal kunne gennemgås bagefter
• Forbedring: falske alarmer skal skæres væk, og nye angrebsformer skal give nye alarmer
• Vagt: i mange organisationer er centralen bemandet i skiftehold hele døgnet

Den faglige kerne er at skelne det farlige fra det mærkelige. Der sker konstant usædvanlige ting i et stort netværk, og langt det meste er harmløst. Værdien ligger i at finde det ene, der ikke er.

Rollen findes i store virksomheder med egen overvågning, i finanssektoren, i forsyning og hos de leverandører, der driver overvågning for andre.

Hvilken lovgivning dækker denne rolle? Virksomheder i kritiske sektorer er omfattet af NIS2-direktivet, der stiller krav om risikostyring og om at kunne opdage og rapportere hændelser. Er personoplysninger berørt af et brud, skal det som hovedregel anmeldes til Datatilsynet inden 72 timer efter databeskyttelsesforordningen. Overvågning af medarbejdernes brug af systemerne er i sig selv behandling af personoplysninger og kræver et lovligt grundlag samt information til medarbejderne. Uberettiget adgang til it-systemer er strafbart efter straffeloven, og alvorlige angreb bør anmeldes til politiet.

Arbejdspladsen er overvågningssystemet (SIEM) — Microsoft Sentinel, Splunk eller Elastic — hvor logs fra hele organisationen samles, og hvor alarmerne kommer ind.

På de enkelte maskiner ligger EDR-værktøjer som Microsoft Defender eller CrowdStrike, der viser, hvad der faktisk skete på computeren, og som kan isolere den fra nettet.

Dertil kommer sagssystemer, hvor hændelser dokumenteres, trusselsefterretning om kendte angrebsformer og adresser, og MITRE ATT&CK som fælles sprog for at beskrive, hvad en angriber gjorde.