L’approvazione del cliente definisce il limite tra le azioni che un fornitore di servizi di sicurezza è autorizzato a intraprendere autonomamente e quelle che richiedono il permesso del cliente. In un servizio SOC gestito, questo limite dovrebbe essere definito nei contratti e nei piani operativi di risposta, specificando quali azioni sono preapprovate e quali richiedono un’escalation.
Regole di approvazione chiare sono importanti perché attendere la risposta del cliente può ritardare il contenimento, mentre agire oltre i limiti dell’autorità concordata può interrompere i sistemi o violare i requisiti di gestione delle modifiche. Per esempio, un fornitore potrebbe essere preautorizzato a isolare un endpoint compromesso, ma avere bisogno dell’approvazione prima di disabilitare un account aziendale critico. I difensori dovrebbero documentare questi limiti, i contatti per le escalation, le procedure fuori orario e le registrazioni di audit, così che chi interviene possa agire rapidamente senza oltrepassare il proprio mandato.