Vad är en SOC-analytiker? Roll, ansvar, nivåer och svensk lönmarknad

En SOC-analytiker (Security Operations Center-analytiker) är en cybersäkerhetsspecialist som övervakar säkerhetshändelser i realtid, analyserar potentiella incidenter och vidtar åtgärder för att skydda organisationen mot cyberhot. SOC-analytiker arbetar typiskt i 24×7-skift i ett Security Operations Center — antingen internt hos större företag eller hos en specialiserad managed security service provider (MSSP) som tjänsteförsäljer SOC-funktionen till flera kunder.

Den här guiden förklarar SOC-analytikerns roll, de tre vanliga seniornivåerna (Tier 1, Tier 2, Tier 3), arbetsuppgifter, kompetenskrav, svensk lönsmarknad och karriärväg.

Vad gör en SOC-analytiker?

I praktiken arbetar SOC-analytiker genom fyra huvudområden:

• Övervakning av säkerhetshändelser — kontinuerligt granska loggar och larm från SIEM-verktyg (Splunk, Microsoft Sentinel, IBM QRadar, Elastic Security), EDR (CrowdStrike, SentinelOne, Microsoft Defender), brandväggar och nätverkssensorer.
• Triage och inledande utredning — bedöma om ett larm representerar en verklig incident eller false positive, klassificera allvarlighetsgrad, eskalera till nästa nivå när det behövs.
• Incident response — när en incident bekräftas: vidta omedelbara åtgärder för att begränsa skadan (isolera berörda system, blockera angripare, samla bevis).
• Rapportering och dokumentation — skriva incident-rapporter, uppdatera runbooks, kommunicera till ledning och berörda affärsenheter.

De tre SOC-analytikernivåerna

Vilka kompetenser krävs?

• Grundläggande nätverk (TCP/IP, DNS, HTTP, kryptering)
• Operativsystem (Windows, Linux administration)
• Säkerhetsverktyg (SIEM, EDR, brandväggar, paketanalys)
• Hotaktörer och attackmönster (MITRE ATT&CK-ramverket)
• Logghantering och queryspråk (KQL för Sentinel, SPL för Splunk)
• Skript- och automationskunskap (Python, PowerShell)
• Stresstålighet — under en allvarlig incident kan trycket vara stort

Vanliga certifieringar: CompTIA Security+, GIAC GSEC/GCIH, Certified SOC Analyst (CSA), Microsoft SC-200, AWS Security Specialty.

Internt SOC vs outsourcad MSSP

Svenska företag har två huvudval för SOC-funktionen:

För svenska företag som söker MSSP-baserad SOC erbjuder partners som Opsio 24×7 SOC-tjänster med svenska kontaktpunkter.

Vanliga frågor

Vad är en SOC-analytiker?

En SOC-analytiker är en cybersäkerhetsspecialist som övervakar säkerhetshändelser i realtid, analyserar potentiella incidenter och försvarar organisationen mot cyberhot. Arbetar typiskt i 24×7-skift internt hos större företag eller hos en MSSP. Huvudansvar: övervakning, triage av larm, incident response och rapportering.

Vad gör en SOC-analytiker i praktiken?

En SOC-analytiker övervakar säkerhetshändelser från SIEM-verktyg (Splunk, Sentinel, QRadar), EDR (CrowdStrike, Defender), brandväggar och sensorer; gör triage av larm för att skilja verkliga incidenter från false positives; vidtar omedelbara åtgärder vid bekräftade incidenter (isolering, blockering, bevisinsamling); och skriver incident-rapporter med rekommendationer.

Vilka är de tre SOC-analytikernivåerna?

Tier 1 (junior, 0-2 år) fokuserar på övervakning och triage av larm. Tier 2 (mellan, 2-5 år) gör djupare utredning, hotjakt och incident response. Tier 3 (senior, 5+ år) hanterar avancerad analys, forensik, threat intelligence och mentoring av junior personal. SOC Manager (8+ år) leder hela teamet.

Vad tjänar en SOC-analytiker i Sverige?

2026 svenska bruttolöner: Tier 1 SOC-analytiker 35 000–48 000 kr/månad; Tier 2 45 000–70 000 kr; Tier 3 65 000–95 000 kr; SOC Manager 85 000–130 000 kr. Lönerna är högst i Stockholm-regionen och inom finans/försäkring; lägre i mindre städer och allmän industri.

Vilka kompetenser behöver man som SOC-analytiker?

Grundläggande nätverk (TCP/IP, DNS, kryptering), Windows och Linux-administration, säkerhetsverktyg (SIEM, EDR, brandväggar, paketanalys), kunskap om hotaktörer och MITRE ATT&CK-ramverket, queryspråk (KQL för Sentinel, SPL för Splunk), grundläggande skripting (Python, PowerShell), samt stresstålighet. Vanliga certifieringar: CompTIA Security+, GIAC GSEC/GCIH, CSA, Microsoft SC-200.

Internt SOC eller outsourcad MSSP — vad är bäst?

Internt SOC kostar 8-25 miljoner kr/år för ett 24×7-team men ger djup på den egna verksamheten — passar stora företag och regulerade branscher. MSSP kostar 1-8 miljoner kr/år beroende på omfattning, startas på 4-8 veckor och ger bredd över flera kunder — passar SMB, snabb start och företag med mindre IT-team.