Apa Itu SOC? Pengertian, Fungsi, Cara Kerja

Serangan siber jarang datang di jam kerja. Banyak yang justru terjadi tengah malam, saat akhir pekan, atau ketika tim IT sedang cuti panjang. Masalahnya, sering kali tidak ada yang sadar sampai dampaknya sudah terasa.

Skalanya pun tidak kecil. BSSN mencatat sekitar 5,16 miliar anomali trafik internet sepanjang 2025, atau rata-rata 182 potensi serangan per detik (disampaikan Deputi BSSN, via Periskop). Dengan volume sebesar itu, mengandalkan antivirus, firewall, dan pengecekan di jam kantor saja sudah tidak cukup.

Karena itulah semakin banyak organisasi membangun atau menggunakan SOC. Panduan ini menjelaskan apa itu SOC, bagaimana tim SOC bekerja dari satu alert sampai laporan, siapa saja yang ada di dalamnya, dan model SOC mana yang paling masuk akal untuk organisasi Anda.

Apa Itu SOC?

SOC (Security Operations Center) adalah tim, proses, dan teknologi yang bertugas memantau sistem perusahaan, mendeteksi ancaman siber, lalu meresponsnya, biasanya selama 24 jam penuh. Dalam bahasa Indonesia, SOC sering disebut pusat operasi keamanan siber.

Hampir semua aktivitas digital di perusahaan Anda meninggalkan jejak berupa log, mulai dari server, laptop karyawan, jaringan, aplikasi, sampai layanan cloud. SOC mengumpulkan semua log itu di satu tempat, memilah mana yang normal dan mana yang mencurigakan, lalu bergerak cepat saat ada yang tidak beres.

Satu hal yang perlu dipahami: SOC bukan produk yang tinggal dipasang. Ada tiga unsur yang harus berjalan bersamaan:

• Orang: analis keamanan dengan peran berjenjang, dari memeriksa alert sampai memburu ancaman tersembunyi.
• Proses: playbook yang menentukan siapa melakukan apa saat insiden terjadi, termasuk jalur eskalasi dan batas waktu respons.
• Teknologi: platform yang mengumpulkan log, menghubungkan kejadian, dan membantu respons otomatis.

Kalau salah satunya tidak ada, SOC tidak akan bekerja dengan baik. Tools yang mahal percuma jika tidak ada yang membaca alert-nya, dan analis sehebat apa pun akan kesulitan tanpa log yang lengkap.

Sebagai catatan, singkatan SOC juga dipakai untuk hal lain, misalnya System on Chip di dunia elektronik atau laporan audit SOC 2. Di artikel ini, yang kita bahas adalah SOC dalam konteks keamanan siber.

Bagaimana Cara Kerja SOC?

Pada dasarnya, SOC menjalankan siklus yang sama berulang kali, siang dan malam. Setiap tahap saling terkait, dan seberapa cepat tiap tahap berjalan akan menentukan seberapa besar kerusakan yang sempat terjadi.

[Diagram alur kerja SOC: Kumpulkan, Deteksi, Triase, Investigasi, Respons, Laporkan]

1. Kumpulkan

Langkah pertama adalah mengumpulkan log dari firewall, server, endpoint, email, aplikasi, dan cloud ke platform SIEM secara real time. Semakin lengkap sumbernya, semakin sedikit titik buta yang bisa dimanfaatkan penyerang.

2. Deteksi

SIEM lalu menghubungkan kejadian dari berbagai sumber. Satu kali gagal login mungkin cuma salah ketik, tapi ratusan percobaan login gagal ke banyak akun dalam lima menit jelas bukan kebetulan.

3. Triase

Tidak semua alert berarti bahaya, dan kebanyakan memang bukan. Analis memeriksa setiap alert, menyisihkan false positive, lalu mengurutkan sisanya berdasarkan tingkat urgensi.

4. Investigasi

Alert yang terbukti valid kemudian ditelusuri lebih dalam. Akun mana yang terdampak? Perangkat apa saja yang terlibat? Apakah penyerang sudah berpindah ke sistem lain?

5. Respons

Begitu ancaman terkonfirmasi, tim langsung bergerak menahannya, misalnya dengan mengisolasi perangkat, memutus sesi akun, atau memblokir alamat IP. Untuk langkah yang berdampak ke operasional bisnis, SOC membawanya ke manajemen lengkap dengan konteksnya.

6. Laporkan dan perbaiki

Setelah insiden selesai, SOC mencatat kronologinya, memperbarui aturan deteksi, dan memberi rekomendasi perbaikan. Lalu siklusnya dimulai lagi dari awal.

Supaya lebih kebayang, ini contoh sederhana. Seorang staf keuangan membuka email berisi tautan palsu, dan tak lama kemudian akunnya login dari alamat IP di luar negeri, larut malam. SIEM menandai aktivitas itu, dan analis menemukan aturan forwarding baru yang diam-diam meneruskan semua email ke alamat eksternal.

Sesi akun langsung diputus, kata sandi direset, aturan forwarding dihapus, dan email phishing yang sama ditarik dari kotak masuk karyawan lain. Keesokan paginya, manajemen sudah menerima laporan kronologi lengkap. Tanpa SOC, kejadian seperti ini sering baru ketahuan saat datanya sudah beredar di forum peretas.

Fungsi Utama SOC

Cara paling mudah memahami fungsi SOC adalah lewat NIST Cybersecurity Framework 2.0, kerangka keamanan siber yang banyak dipakai di berbagai industri. Peran SOC paling terasa di tiga fungsinya, yaitu Detect, Respond, dan Recover.

1. Pemantauan 24/7

Penyerang suka memilih waktu saat tidak ada yang berjaga, seperti tengah malam, akhir pekan, atau libur panjang. Dengan pemantauan 24/7, ancaman yang muncul pukul tiga pagi di hari Lebaran tetap mendapat perhatian yang sama dengan ancaman di jam kantor.

2. Deteksi ancaman

SOC memakai aturan korelasi dan analisis perilaku untuk menandai aktivitas yang tidak biasa. Misalnya, akun yang biasanya hanya aktif dari Jakarta tiba-tiba mengunduh ribuan file dari luar negeri.

3. Respons insiden

Begitu serangan terkonfirmasi, SOC bergerak menahan penyebarannya. Semakin cepat ditangani, semakin sedikit data dan sistem yang ikut terdampak.

4. Investigasi dan forensik

Setelah ancaman berhasil ditahan, tim mencari tahu dari mana penyerang masuk, seberapa luas dampaknya, dan data apa saja yang terekspos. Hasilnya dipakai untuk perbaikan sekaligus pelaporan ke regulator.

5. Threat hunting

Tidak semua penyerang memicu alert, karena sebagian masuk dan bergerak diam-diam. Lewat threat hunting, analis aktif mencari jejak mereka berdasarkan hipotesis dan informasi ancaman terbaru, sebelum kerusakan terjadi.

6. Pelaporan dan kepatuhan

SOC juga menyiapkan log, bukti, dan laporan rutin yang dibutuhkan saat audit. Manajemen mendapat gambaran risiko secara ringkas, sementara tim teknis mendapat detail dan langkah perbaikannya.

Baca Juga: Apa Itu Managed SOC? Manfaat, Cara Kerja, dan Cara Memilih

Struktur Tim SOC: Siapa Saja di Dalamnya?

Kebanyakan SOC membagi analisnya ke beberapa tingkat atau tier. Alert rutin diselesaikan cepat di tier awal, sedangkan kasus yang rumit diteruskan ke analis yang paling berpengalaman.

Masalahnya, mencari orang untuk mengisi peran-peran ini tidak mudah. SANS 2025 SOC Survey menempatkan kekurangan staf terampil sebagai tantangan terbesar SOC, dan 62% profesional SOC menilai organisasinya belum cukup berupaya mempertahankan talenta terbaik.

Teknologi yang Digunakan SOC

Di balik kerja analis, ada sejumlah teknologi yang membantu mereka melihat dan bertindak lebih cepat. Ini yang paling umum dipakai:

1. SIEM (Security Information and Event Management)

SIEM mengumpulkan log dari seluruh sistem dan menggabungkannya menjadi satu gambaran utuh. Bisa dibilang, SIEM adalah fondasi hampir semua SOC.

2. EDR dan XDR

EDR (Endpoint Detection and Response) memantau aktivitas di laptop dan server, dan bisa mengisolasi perangkat dari jarak jauh. XDR memperluas pemantauan itu ke email, jaringan, dan cloud.

3. SOAR

SOAR (Security Orchestration, Automation, and Response) menjalankan langkah respons secara otomatis, seperti memblokir IP berbahaya atau menonaktifkan akun yang dibobol. Dengan begitu, analis bisa fokus ke kasus yang memang butuh penilaian manusia.

4. Threat intelligence

Threat intelligence memberi konteks soal indikator serangan terbaru, kelompok peretas yang sedang aktif, dan kampanye yang menyasar industri tertentu. Tanpa konteks ini, alert hanyalah deretan data.

5. AI dan otomasi

AI membantu SOC memilah ribuan alert yang mustahil diperiksa satu per satu oleh manusia. Menurut IBM Cost of a Data Breach Report 2025, organisasi yang memakai AI dan otomasi secara ekstensif dalam operasi keamanan menekan biaya kebocoran data rata-rata USD 1,9 juta dan mempersingkat siklus insiden 80 hari.

Tim riset kami juga sudah mencoba pendekatan ini secara langsung, yang kami tulis di Fine-Tuning an Open-Weight LLM for the SOC.

Perbedaan SOC dan NOC

SOC dan NOC (Network Operations Center) sering dianggap sama karena sama-sama memantau infrastruktur 24/7. Padahal tujuannya berbeda: NOC memastikan sistem tetap berjalan, sedangkan SOC memastikan sistem tetap aman.

Meski begitu, keduanya tetap perlu bekerja sama. Serangan DDoS, misalnya, terlihat oleh NOC sebagai lonjakan trafik, dan oleh SOC sebagai serangan yang harus segera ditangani.

Model SOC: In-House, Managed, dan Hybrid

Kabar baiknya, Anda tidak harus membangun SOC sendiri. Pilihannya tergantung pada ukuran perusahaan, anggaran, ketersediaan talenta, dan seberapa besar kendali yang Anda inginkan.

Cakupan 24/7 biasanya jadi alasan utama perusahaan memilih managed atau hybrid. SANS 2025 SOC Survey mencatat 79% SOC sudah beroperasi 24/7. Untuk menjaga satu hari penuh, Anda butuh minimal tiga shift analis yang harus direkrut sekaligus dipertahankan.

Mengapa SOC Penting bagi Perusahaan di Indonesia?

SOC sekarang bukan cuma urusan perusahaan teknologi. Ada empat alasan mengapa organisasi di Indonesia makin sulit berjalan tanpanya.

1. Volume ancaman terlalu besar untuk dipantau manual

Dengan miliaran anomali trafik setiap tahun, tidak ada tim IT yang sanggup memeriksa log satu per satu. Data BSSN yang sama juga menunjukkan bahwa 93,78% anomali trafik 2025 terkait aktivitas malware. SOC menggabungkan otomasi dan analis supaya sinyal penting tidak tenggelam di tengah kebisingan.

2. Waktu deteksi menentukan besar kerugian

IBM Cost of a Data Breach Report 2025 mencatat rata-rata global 241 hari untuk mengidentifikasi dan menahan kebocoran data, dengan biaya rata-rata USD 4,44 juta. Laporan yang sama juga menemukan bahwa kebocoran yang ditemukan oleh tim sendiri menghemat sekitar USD 900 ribu dibanding yang justru diungkap oleh penyerang.

3. UU PDP memberi batas waktu 3 x 24 jam

Pasal 46 UU Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi mewajibkan pengendali data memberitahu subjek data dan lembaga secara tertulis paling lambat 3 x 24 jam setelah terjadi kegagalan perlindungan data. Isinya minimal mencakup data apa yang terungkap, kapan dan bagaimana kejadiannya, serta langkah penanganan yang sudah diambil.

Kewajiban ini hampir mustahil dipenuhi kalau kebocoran baru ketahuan berbulan-bulan kemudian. Di sinilah SOC berperan, karena kronologi dan bukti investigasinya bisa langsung dipakai untuk menyusun pemberitahuan tepat waktu. Langkah lengkapnya kami bahas di panduan Data Breach Response kami.

4. Regulator dan auditor meminta bukti, bukan klaim

OJK, BSSN, ISO 27001, dan PCI DSS sama-sama meminta bukti pemantauan dan pencatatan insiden. Log dan laporan SOC menunjukkan bahwa kontrol keamanan Anda benar-benar berjalan, bukan sekadar tertulis di kebijakan.

Tantangan Menjalankan SOC

SOC memang bukan solusi instan. Dengan memahami tantangannya sejak awal, Anda bisa menyusun rencana yang lebih realistis, apa pun model yang dipilih.

1. Alert fatigue

Di awal, SOC sering kebanjiran alert yang sebagian besar ternyata false positive. Kalau aturan deteksinya tidak rutin disetel, analis lama-lama mulai mengabaikan alert, termasuk yang penting.

2. Talenta yang langka

Analis berpengalaman sulit dicari dan mudah pindah ke tempat lain. Saat satu analis senior keluar, ikut hilang juga pemahamannya tentang sistem Anda.

3. Titik buta visibilitas

SOC hanya bisa melihat apa yang dikirim kepadanya. Sistem lama, aplikasi SaaS, atau layanan cloud yang belum terhubung ke SIEM akan menjadi celah yang luput dari pantauan.

4. Pembagian tanggung jawab yang kabur

Saat insiden terjadi, semua orang harus tahu siapa yang memutuskan apa. Tanpa playbook tertulis, waktu justru habis untuk koordinasi, bukan penanganan.

Kapan Perusahaan Anda Membutuhkan SOC?

Kalau beberapa kondisi di bawah ini terasa familiar, mungkin sudah saatnya Anda mempertimbangkan SOC, baik dibangun sendiri maupun managed:

• Anda mengelola data pribadi pelanggan dalam jumlah besar dan tunduk pada UU PDP.
• Industri Anda diawasi ketat, seperti perbankan, fintech, asuransi, kesehatan, atau energi.
• Sistem Anda harus aktif 24/7, misalnya aplikasi pelanggan atau platform transaksi.
• Infrastruktur Anda tersebar di data center dan beberapa layanan cloud.
• Tidak ada yang memantau sistem setelah jam kerja.
• Tim IT sudah kewalahan oleh alert dan tidak sempat menyelidikinya.

Kalau Anda belum yakin di mana saja celah keamanannya, banyak organisasi memulai dengan VAPT.

Dari Memahami SOC ke Menjalankannya

Pada akhirnya, SOC menjawab satu pertanyaan sederhana: kalau ada yang menyusup ke sistem Anda malam ini, berapa lama sampai ada yang tahu? Idealnya, jawabannya dalam hitungan menit, bukan bulan.

Tidak ada satu model yang cocok untuk semua organisasi. Ada yang membangun sendiri, banyak yang bermitra, dan tidak sedikit yang menggabungkan keduanya. Yang penting, siklus deteksi dan respons berjalan setiap saat dengan orang dan proses yang jelas.

Di Zentara, Managed SOC kami berjalan 24/7 di atas ZX, SIEM yang kami kembangkan sendiri. Insiden kritis ditangani analis bersertifikasi GCIA, GCIH, dan OSCP dalam 15 menit, threat hunting sudah termasuk dalam layanan, dan operasional SOC kami tersertifikasi ISO 27001.

Ingin tahu seberapa cepat serangan di sistem Anda akan terdeteksi hari ini? Diskusikan kondisi keamanan Anda dengan tim kami, dan kami bantu petakan bagian mana yang masih belum terpantau.

Frequently Asked Questions

1. Apa kepanjangan SOC dalam keamanan siber?
   SOC adalah singkatan dari Security Operations Center, yaitu pusat operasi yang memantau, mendeteksi, dan merespons ancaman siber di sebuah organisasi secara terus-menerus.
2. Apa perbedaan SOC dan SIEM?
   SIEM adalah teknologi untuk mengumpulkan dan menghubungkan log. Sementara itu, SOC adalah fungsi operasionalnya, yang mencakup orang, proses, dan teknologi, termasuk SIEM. Tanpa analis, SIEM hanya menghasilkan tumpukan alert.
3. Apa tugas analis SOC?
   Analis SOC memeriksa alert, memisahkan ancaman nyata dari false positive, menyelidiki insiden, dan mengambil langkah untuk menahannya. Perannya berjenjang, mulai dari Tier 1 untuk triase sampai Tier 3 untuk threat hunting.
4. Apa perbedaan SOC dan managed SOC?
   SOC adalah fungsi pemantauan dan responsnya. Managed SOC adalah fungsi yang sama, hanya saja dijalankan oleh penyedia eksternal, jadi Anda tidak perlu merekrut analis atau membeli tools sendiri.
5. Apakah perusahaan kecil membutuhkan SOC?
   Perusahaan kecil jarang perlu membangun SOC sendiri. Tapi kalau Anda mengelola data pribadi pelanggan atau sistem transaksi online, managed SOC bisa memberi cakupan 24/7 dengan biaya yang jauh lebih ringan dibanding membangun tim internal.
6. Apakah SOC diwajibkan oleh regulasi di Indonesia?
   UU PDP memang tidak menyebut SOC secara langsung. Namun kewajiban melindungi data pribadi dan melapor dalam 3 x 24 jam saat terjadi kegagalan perlindungan, pada praktiknya, membutuhkan kemampuan deteksi dan investigasi seperti yang dijalankan SOC.