SOC gerenciado: o que é, quanto custa e como escolher?

Empresas que precisam monitorar a segurança da informação integralmente, mas não querem manter um centro de operações próprio, encontram no serviço de SOC gerenciado uma solução. Entenda o que é serviço, quais empresas oferecem, as diferenças entre SOC, MDR e MSSP e o que avaliar em cada segmento, incluindo agilidade, conformidade com a LGPD e eficácia.

O que é SOC gerenciado?

SOC gerenciado é um serviço de segurança cibernética em que uma empresa externa é contratada para monitorar eventos de segurança, detectar ameaças, investigar alertas e responder proativamente a incidentes. Com o SOC gerenciado, é possível contratar uma operação de monitoramento como serviço, sem montar um time de SOC próprio interno.

A sigla SOC também designa relatórios de auditoria (SOC 1 e SOC 2) e softwares de saúde ocupacional. No entanto, neste artigo estamos falando de SOC no sentido de Security Operations Center, o centro que monitora ambientes digitais, servidores, redes, endpoints, aplicações e nuvem.

Como funciona um SOC gerenciado?

Um SOC gerenciado funciona com uma equipe que utiliza detecção avançada baseada em IA, inteligência global contra ameaças e engenheiros especializados disponíveis 24/7 para conter riscos cibernéticos antes que eles afetem sua operação. As ferramentas coletam registros de atividade e geram alertas quando identificam algo suspeito, além de agirem proativamente para impedí-las. Analistas investigam os alertas e, quando confirmam uma ameaça, executam ou orientam a resposta, conforme o contrato.

Na prática, o trabalho de um SOC gerenciado segue quatro etapas:

1. Conectar o ambiente: integrar os servidores, computadores, serviços em nuvem e outros ativos incluídos no monitoramento.

2. Monitorar atividades: acompanhar acessos, alterações e comportamentos que possam indicar um ataque, no horário de cobertura contratado.

3. Investigar alertas: verificar o que aconteceu, quais sistemas foram afetados e qual é a gravidade do risco.

4. Responder ao incidente: bloquear acessos, isolar equipamentos ou orientar a equipe interna, conforme as permissões e responsabilidades acordadas.

Por exemplo: se uma conta apresenta um acesso suspeito seguido de uma transferência incomum de dados, o SOC cruza esses sinais, investiga e pode bloquear a conta, caso tenha autorização. Depois, registra o ocorrido e recomenda medidas para evitar que o problema se repita.

Com o SOC gerenciado, a empresa não precisa não precisa montar um SOC próprio, mas continua responsável por decisões de negócio, autorizações e correções que não estejam incluídas no serviço.

A metodologia de defesa costuma integrar quatro frentes: Blue Team para defender, Red Team para testar a segurança, Purple Team para transformar os testes em melhorias e White Team para acompanhar governança e conformidade.

• Blue Team - defesa: monitora o ambiente, investiga alertas e responde a incidentes. Atua na proteção contínua de sistemas e redes e na gestão de vulnerabilidades.

• Red Team - testes ofensivos: realiza simulações autorizadas de ataques e testes de invasão para identificar falhas e avaliar como as defesas reagem. O objetivo é encontrar caminhos que um invasor poderia explorar, dentro dos limites definidos para cada teste.

• Purple Team - integração: conecta os resultados dos testes ofensivos ao trabalho de defesa. As descobertas ajudam a ajustar alertas, regras de detecção e procedimentos de resposta.

• White Team - governança: supervisiona os testes e acompanha a aderência a padrões e requisitos aplicáveis, como ISO e PCI, conforme o escopo do projeto.

Na prática, o Red Team testa um cenário de ataque, o Blue Team verifica sua capacidade de detectar e responder, e o Purple Team usa os resultados para aprimorar a proteção. O White Team acompanha as regras e os critérios de avaliação. Assim, a segurança não depende apenas de ferramentas, mas também envolve defesa, testes e melhoria contínua, com atividades e responsabilidades previstas no escopo contratado.

Como funciona a metodologia de defesa SOC da HostDime?

A HostDime combina detecção avançada baseada em inteligência artificial, inteligência global contra ameaças e engenheiros especializados disponíveis 24/7. O objetivo é identificar sinais de ataque e agir para conter riscos antes que causem impactos maiores à operação.

A infraestrutura de alta performance e o suporte especializado 24/7 da HostDime complementam essa atuação. A cobertura depende dos ativos integrados, das ferramentas configuradas e do escopo contratado. A empresa continua responsável pelas decisões de negócio, autorizações e correções que não estejam incluídas no serviço.

Qual a diferença entre SOC, MDR e MSSP?

SOC é o centro de operações que monitora e responde a incidentes. MDR (Managed Detection and Response) é o serviço gerenciado de detecção e resposta, normalmente centrado em endpoints e baseado em XDR. MSSP (Managed Security Service Provider) é o provedor que opera serviços de segurança contínuos, como firewall, SIEM e gestão de vulnerabilidades, e pode incluir um SOC.

O que um SOC gerenciado entrega na prática?

Um SOC gerenciado entrega monitoramento contínuo de logs e alertas, triagem por analistas, investigação de incidentes, contenção e orientação de remediação, gestão de vulnerabilidades e relatórios para auditoria. O escopo exato muda por contrato e deve constar no SLA, com tempos máximos de detecção, de notificação e de resposta.

Os componentes técnicos mais comuns são:

• Monitoramento 24/7 com monitoramento de infraestrutura e segurança, coletando logs de servidores, firewalls, endpoints, nuvem e aplicações.
• Correlação de eventos em SIEM e detecção de comportamento em XDR.
• Gestão contínua de vulnerabilidades: varredura periódica, priorização por risco e acompanhamento da correção.
• Inteligência de ameaças e monitoramento de vazamento de credenciais.
• Resposta a incidentes com playbooks: isolamento de hosts, bloqueio de contas e IPs, preservação de evidências.
• Relatórios para LGPD, ISO 27001 e auditorias externas.

Um SOC gerenciado faz resposta a ransomware?

Sim, quando o contrato inclui resposta a incidentes. O SOC detecta sinais típicos, como criptografia em massa, movimentação lateral e uso indevido de credenciais, e isola os hosts antes da propagação. A recuperação depende de backup externo, imutável e testado: o SOC reduz o dano, e o backup e Disaster Recovery devolve a operação.

Quanto custa um SOC terceirizado?

O custo de um SOC terceirizado varia conforme o número de ativos monitorados, o volume de logs ingeridos, o horário de cobertura, o tempo de resposta contratado e as ferramentas incluídas. A cobrança costuma ser mensal, por ativo ou por volume de dados. O valor final depende de um levantamento do ambiente, e o contrato deve prever faturamento em reais.

Plataformas de SIEM e XDR de fabricantes estrangeiros costumam ser precificadas em dólar e por volume de ingestão de dados, o que gera variação de fatura quando o câmbio ou o volume de logs mudam. Faturamento em real e regra clara para ingestão de dados dão previsibilidade ao orçamento de segurança.

Vale a pena terceirizar o SOC ou montar equipe própria?

Terceirizar compensa quando a empresa não tem equipe de segurança dedicada ou não consegue manter cobertura 24 horas. Um posto de monitoramento contínuo soma 8.760 horas por ano, e um analista trabalha cerca de 1.900 horas, o que exige entre quatro e cinco profissionais por posto, antes de contar licenças, treinamento e rotatividade.

O modelo híbrido é comum em empresas com equipe de TI madura. O provedor opera o monitoramento e a primeira resposta durante as 24 horas, e a equipe interna mantém a governança, o conhecimento do negócio e a aprovação de ações em sistemas críticos.

Como escolher um provedor de SOC gerenciado?

Escolha o provedor de SOC gerenciado pelo que ele comprova: SLA com tempos de detecção e resposta em números, certificações auditáveis (ISO 27001, ISO 22301, SOC 2), operação própria e não revendida, ferramentas declaradas, retenção de logs compatível com a LGPD e suporte em português com escalonamento humano.

Critérios para comparar propostas:

• SLA: tempo máximo de detecção (MTTD), de notificação e de contenção (MTTR), com cláusula de compensação por descumprimento.
• Certificações: confirmar se a empresa auditada é a que presta o serviço, e não apenas o data center subcontratado.
• Cobertura: 24x7x365, idioma do atendimento e canal de escalonamento técnico.
• Ferramentas: SIEM, XDR e SOAR utilizados, titularidade das licenças e portabilidade dos dados ao fim do contrato.
• Localização: onde ficam os coletores, os logs e a plataforma de análise.
• Playbooks: roteiros documentados para ransomware, vazamento de credenciais e ataques DDoS.
• Relatórios: periodicidade e formato aceitos por auditores.

Por que o SOC e os dados devem ficar no Brasil?

Se os usuários finais do seu sistema estão no Brasil, manter o SOC e os logs no páis reduz a latência entre o ambiente monitorado e a plataforma de análise, mantém os dados sob a jurisdição brasileira e simplifica a conformidade com a LGPD, que regula a transferência internacional de dados pessoais. Logs de segurança contêm IPs, usuários e identificadores, que podem configurar dados pessoais.

Latência

A coleta de logs e as ações automáticas de contenção, como isolar um host ou bloquear um IP, dependem de uma rota curta entre o ambiente do cliente e a plataforma do SOC. Uma plataforma hospedada em data center brasileiro, com interconexão a operadoras nacionais, reduz o tempo de ida e volta em relação a plataformas na América do Norte ou na Europa.

Soberania de dados

Logs, alertas e evidências forenses ficam sujeitos à legislação e às decisões judiciais brasileiras, e o provedor responde perante a lei do país. Em setores regulados, essa previsibilidade jurídica pesa na contratação.

Conformidade com a LGPD

A Lei 13.709/2018 (LGPD) exige, no art. 46, medidas de segurança técnicas e administrativas e, no art. 48, a comunicação de incidentes relevantes à ANPD e aos titulares. A regulamentação da Agência Nacional de Proteção de Dados (ANPD) fixa prazo de três dias úteis para essa comunicação. O SOC fornece a linha do tempo e as evidências que sustentam o relato.

Por que a classificação Tier III importa para um SOC?

A plataforma de monitoramento precisa estar no ar quando o ambiente do cliente falha. As características do Tier III, segundo o Uptime Institute, são:

• Manutenção concomitante: componentes de energia e refrigeração podem ser substituídos sem desligar a operação.
• Disponibilidade de 99,982% ao ano, equivalente a cerca de 1,6 hora de indisponibilidade anual.
• Múltiplos caminhos de distribuição de energia e refrigeração.

Qual SOC gerenciado contratar por segmento?

O SOC adequado depende das normas e dos ativos do setor: bancos e fintechs seguem as regras do Banco Central, hospitais protegem dados sensíveis de saúde, indústrias monitoram redes de automação (OT), varejo e e-commerce lidam com PCI DSS e picos de tráfego, e órgãos públicos exigem contratação formal e proteção de dados em ambiente certificado.

• SOC gerenciado para banco e fintech

Instituições financeiras precisam de retenção de logs, trilha de auditoria e plano de resposta a incidentes alinhados à Resolução CMN 4.893/2021 e às normas do Banco Central para instituições de pagamento. O SOC deve classificar incidentes relevantes e fornecer as evidências para a comunicação ao regulador.

• SOC para hospital e operadora de saúde

Dados de saúde são dados pessoais sensíveis pela LGPD, e um sistema de prontuário indisponível interrompe o atendimento. O SOC deve monitorar sistemas assistenciais, servidores de imagem e dispositivos conectados, com cobertura 24/7 e resposta rápida a ransomware.

| Leia também: Setor de saúde leva até 279 dias para conter vazamentos de dados

• SOC para indústria

Ambientes de automação (OT) convivem com equipamentos legados que não aceitam agentes de segurança. O SOC industrial combina monitoramento passivo de rede, segmentação entre TI e OT e alertas sobre comandos anômalos, com referência na norma IEC 62443.

• SOC para varejo e e-commerce

O PCI DSS exige registro e monitoramento dos acessos a dados de cartão. O SOC precisa tratar picos sazonais de tráfego, como a Black Friday, tentativas de preenchimento automático de credenciais (credential stuffing) e ataques DDoS.

• SOC para órgão público

A contratação segue as regras de licitação e costuma exigir dados em território nacional e ambiente certificado. A HostDime Brasil atende o Tribunal de Justiça da Paraíba em projeto que exigiu proteção de dados em ambiente certificado.

• SOC para empresa sem equipe de segurança

Nesse caso o provedor assume a operação completa: monitoramento, triagem, resposta e relatórios, com um ponto focal que traduz os incidentes para a diretoria. O contrato deve definir quais ações o SOC executa sem aprovação prévia, como isolar um servidor comprometido.

• SOC para empresa média

Empresas médias costumam começar por MDR em endpoints e servidores, somado à gestão de vulnerabilidades, e ampliam para SIEM conforme crescem as fontes de log e as exigências de auditoria.

Como a HostDime Brasil oferece segurança gerenciada?

A HostDime Brasil opera data center próprio em João Pessoa (PB) e operação também em São Paulo, com arquitetura Tier III e certificações internacionais, e oferece serviços de cibersegurança, backup e monitoramento sobre essa infraestrutura. O desenho da solução é feito sob medida para cada cliente, com atendimento local em português e contato direto com a equipe técnica.

O data center da HostDime Brasil é apresentado como o mais certificado da América Latina, e a infraestrutura própria dá ao operador controle sobre energia, segurança física, acesso e expansão. As certificações auditadas pertencem ao ambiente e serviços que o cliente contrata diretamente, sem intermediários. Os projetos corporativos e governamentais da empresa partem de um desenho de solução feito por especialistas, e o faturamento é em reais.

Qual o primeiro passo para contratar um SOC gerenciado?

O primeiro passo é inventariar os ativos que precisam de monitoramento (servidores, endpoints, firewalls, aplicações e nuvem) e definir o tempo máximo aceitável de detecção e resposta. Com esse levantamento, o provedor dimensiona escopo, ferramentas e custo, e a empresa compara propostas por SLA, certificações e localização dos dados.

A equipe da HostDime Brasil pode conduzir esse levantamento junto ao time de TI da empresa e apresentar uma proposta com escopo, SLA e plano de resposta a incidentes, com a operação e os dados mantidos em data center Tier III no Brasil.