SOC próprio ou SOC como serviço? Como decidir sem errar a conta

O que um SOC precisa ter para funcionar

Um Security Operations Center não é uma ferramenta, é uma operação. Para produzir o resultado que se espera dele, precisa reunir ao menos cinco elementos ao mesmo tempo: cobertura contínua, engenharia de detecção, inteligência de ameaça, processo de resposta e alguém com alçada para agir.

Falta um, o conjunto não entrega. Ferramenta de correlação sem engenharia de detecção gera alerta que ninguém confia. Cobertura 24x7 sem processo de resposta gera registro de incidente, não contenção. É por isso que a comparação entre próprio e contratado precisa olhar a operação inteira, e não a linha de licença.

A conta de turno, que quase ninguém faz

Cobrir 24 horas por dia, todos os dias do ano, é aritmética antes de ser estratégia. Uma semana tem 168 horas. Uma pessoa em jornada padrão cobre cerca de 40. Só para manter uma posição sempre ocupada, são pouco mais de quatro pessoas, e isso antes de considerar férias, treinamento, atestado e rotatividade. Na prática, o número usado no mercado para dimensionar uma posição 24x365 fica em torno de cinco profissionais.

Agora multiplique pelo número de posições que uma operação real exige: analista de triagem, analista de investigação, engenheiro de detecção, coordenação. O time mínimo de um SOC próprio que funcione de verdade raramente cabe em menos de uma dezena de pessoas, e cada uma delas está num mercado de escassez, com rotatividade alta e salário em disputa.

É essa conta, e não o preço da plataforma, que costuma decidir a viabilidade.

O que o modelo como serviço entrega

Ao contratar, você entra numa operação que já existe. Isso significa três coisas concretas:

• A cobertura contínua já está montada, com plantão e escalonamento definidos, sem depender da sua capacidade de contratar em três turnos.
• O repertório de detecção já foi acumulado em outros ambientes, o que reduz o tempo até o alerta virar confiável.
• O custo é dimensionado por consumo, normalmente por volume de eventos, ativos e integrações, em vez de por folha de pagamento.

A vantagem decisiva raramente é preço. É tempo. Um SOC próprio maduro leva meses para produzir detecção de qualidade, porque essa maturidade é construída incidente a incidente.

O que você perde, e como compensar

Seria desonesto tratar o modelo contratado como escolha sem contrapartida. Você perde proximidade e conhecimento tácito do ambiente: quem está fora não sabe, no primeiro mês, que aquele comportamento estranho é a rotina de um sistema legado.

Isso se compensa, e o contrato deve prever como:

• Onboarding com levantamento de ativos críticos, exceções conhecidas e o que não pode parar em nenhuma hipótese.
• Matriz de alçada explícita: quem autoriza uma contenção que derruba serviço, e em que horário.
• Ciclo de ajuste de detecção, com redução de falso positivo medida e revisada.
• Uma pessoa do lado do cliente como ponto de decisão, mesmo que acumule a função.

Sem alçada definida, o alerta chega rápido e a decisão demora, o que anula o ganho de tempo do monitoramento.

SOC, NOC e CSIRT não são a mesma operação

A confusão é frequente e atrapalha o dimensionamento. O NOC cuida da disponibilidade e do desempenho: o serviço está no ar e respondendo. O SOC cuida da ameaça: alguém está tentando entrar, escalar privilégio ou exfiltrar dado. O CSIRT é a equipe de resposta a incidente, acionada quando algo já aconteceu.

Compartilham ferramenta e às vezes espaço, mas resolvem perguntas diferentes. Contratar NOC pensando que se está contratando SOC é um erro comum, e só aparece no primeiro incidente.

O modelo híbrido, que costuma ser a resposta real

Na prática, a escolha binária é falsa. O arranjo mais comum em organização de porte médio é híbrido: a cobertura contínua e a engenharia de detecção vêm de fora, e ficam dentro a alçada de decisão, o conhecimento do ambiente e a relação com as áreas de negócio.

Esse desenho aproveita a escala de quem opera 24x365 sem terceirizar a decisão, que é justamente a parte que não deveria sair de casa.

Como comparar propostas sem se enganar

Proposta de SOC é difícil de comparar porque cada fornecedor recorta o escopo de forma diferente. Perguntas que revelam o que está e o que não está incluído:

• Resposta está no escopo ou apenas notificação? Quem executa a contenção?
• Quantas fontes de log estão incluídas, e qual o custo de acrescentar uma?
• Qual o tempo de retenção dos eventos, e o que acontece com o histórico ao fim do contrato?
• Onde o dado é processado, e o que ocorre se ele não puder sair do ambiente?
• Como o falso positivo é medido e reduzido ao longo do contrato?
• Qual o compromisso de tempo para triagem e para escalonamento, por severidade?

O critério de decisão

Se a organização tem escala para sustentar dez ou mais especialistas em regime contínuo, e segurança é parte do produto que ela vende, o SOC próprio se justifica. Nos demais casos, a pergunta útil não é quanto custa manter, é quanto tempo você levaria para chegar ao mesmo nível de detecção, e quanto vale o intervalo até lá.

Enquanto a operação não existe, a exposição não espera pelo planejamento.