Quanto custa um SOC gerenciado no Brasil? Modelos de precificação

O custo de um SOC gerenciado no Brasil depende do volume de logs, dos endpoints e do nível de resposta contratado, incluindo MDR. Para uma base hipotética de 100 endpoints, este artigo simula mensalidades de R$ 8 mil a R$ 15 mil. Esses valores são exemplos de cálculo, não uma faixa de preços comprovada para o mercado brasileiro.

Para planejar seu orçamento, você precisa separar três categorias: preços efetivamente cotados, dados externos verificáveis e premissas de simulação. Neste guia, os exemplos de mensalidade pertencem à terceira categoria.

O que é SOC e SOC MDR?

• SOC (Security Operations Center): É o centro de operações de segurança. Trata-se de uma equipe dedicada dentro de uma organização responsável por monitorar, detectar, analisar e responder a incidentes de segurança cibernética em tempo integral.
• MDR (Managed Detection and Response): É o serviço de detecção e resposta gerenciada. Em vez de construir e gerenciar sua própria equipe de segurança, a empresa contrata um provedor externo que fornece a tecnologia, os especialistas e os processos necessários.
• A principal diferença: A diferença aparece no trabalho contratado. Monitorar e notificar (SOC tradicional) exige um escopo diferente de investigar ameaças e executar contenção autorizada ativamente (MDR).

Como interpretar as faixas de orçamento de SOC?

Uma faixa de orçamento só é útil quando acompanha as condições que a produziram. Ao ler uma estimativa, verifique o número de ativos, a cobertura de atendimento, as licenças, o volume de dados e a responsabilidade pela contenção.

Neste exemplo, o cálculo de entrada usa 100 endpoints multiplicados por R$ 80 mensais. O segundo cenário mantém os mesmos 100 endpoints e assume R$ 150 por unidade. Os valores unitários foram escolhidos para demonstrar o cálculo e precisam ser substituídos por propostas comerciais.

Um ambiente com poucos equipamentos e grande produção de logs pode demandar outra estrutura de cobrança, mesmo sem aumento no inventário.

SOC básico, MDR avançado e equipe interna: comparação de custos

SOC básico, MDR avançado e equipe interna têm estruturas de custo diferentes. A tabela a seguir simula dois serviços para 100 endpoints e uma equipe de cinco profissionais. As mensalidades são hipotéticas; o salário tem fonte pública. 

“SOC Básico” e “MDR Avançado” são rótulos usados neste comparativo, não categorias universais de contratação. Considere o escopo descrito, e não apenas o nome do plano. Ferramentas e responsabilidades precisam ser confirmadas individualmente.

O salário de R$ 11.600 vem do 50º percentil nacional para Analista de Segurança Pleno na projeção salarial 2027 da Robert Half, consultada em novembro de 2026. Percentil salarial não deve ser tratado automaticamente como salário médio ou mediano do mercado.

O fator de 1,7 é uma hipótese de planejamento para encargos, benefícios e provisões. Não representa uma alíquota legal única nem uma referência validada para qualquer empregador. Peça ao financeiro a composição efetiva de custo de pessoal antes de usar o resultado.

O que entra no SOC básico?

No SOC básico, o provedor acompanha eventos, analisa alertas e comunica ocorrências. Sua equipe mantém a responsabilidade pela resposta que não estiver contratada. Isso exige um fluxo interno de acionamento, inclusive fora do expediente quando o negócio precisar dessa cobertura.

Se você já possui especialistas de resposta, esse arranjo pode complementar a operação. Confirme quem recebe o alerta, quem decide sobre interrupções e quem executa as mudanças. Um contrato de notificação não elimina o custo interno de investigar e conter.

O que muda no SOC MDR?

No cenário de SOC MDR, o serviço inclui investigação e ações de contenção previstas em contrato. Isolar um endpoint, bloquear um indicador malicioso ou revogar uma sessão são exemplos de ações possíveis, dependentes das integrações e das permissões disponíveis.

Caça proativa a ameaças, chamada threat hunting, pode compor o escopo. Sua presença não deve ser presumida pelo nome “avançado”. Pergunte pela periodicidade, pelos ambientes cobertos e pelo registro das investigações, além da resposta a alertas automatizados.

Como calcular a equipe interna de SOC?

A equipe interna combina remuneração, escala, liderança, engenharia de detecção e ferramentas. Cinco salários não demonstram capacidade de manter um SOC ininterrupto: faltam avaliar ausências, férias, sobreposição, simultaneidade de incidentes e disponibilidade de especialistas.

Por isso, a tabela não prova uma economia percentual entre modelos, somente estruturas de custo. Para uma decisão financeira defensável, dimensione uma operação interna e um serviço terceirizado com cobertura e responsabilidades equivalentes.

Como funciona a precificação de SOC e MDR?

A cobrança de SOC e MDR pode usar endpoints, ingestão de logs, capacidade contratada ou pacotes de serviço. Cada modelo exige uma previsão diferente de crescimento. Para comparar propostas, identifique a unidade faturável, a franquia, os excedentes e o que acontece quando seu ambiente ultrapassa o limite contratado.

• Cobrança por endpoint ou ativo

Na cobrança por ativo, você multiplica a quantidade de unidades elegíveis pelo preço contratado. Verifique se computadores, servidores físicos, máquinas virtuais e identidades contam da mesma forma. Um usuário pode utilizar vários dispositivos; portanto, usuário e endpoint não são unidades intercambiáveis.

Defina também como ativos temporários entram na medição. Ambientes de desenvolvimento podem criar e excluir máquinas durante o mês. O contrato deve explicar se considera pico, média, inventário final ou outra regra de contagem.

• Cobrança por volume de logs

Na cobrança por dados, você precisa conhecer o volume que será coletado e analisado. SIEM, sigla para gestão de informações e eventos de segurança, é a plataforma que centraliza e correlaciona esses registros. Seu licenciamento pode ser um componente separado do serviço humano.

EPS significa eventos por segundo. GB/dia mede volume de dados por dia. As duas métricas não são equivalentes: eventos têm tamanhos diferentes. Evite converter EPS em gigabytes usando uma proporção fixa sem medir o tamanho dos registros do seu ambiente.

• Cobrança por capacidade e franquias

Pacotes por capacidade podem reunir um limite de ativos, dados e fontes integradas. Peça que a proposta descreva cada franquia, sua unidade e a regra de expansão. Uma mensalidade fixa perde previsibilidade quando os limites são indefinidos.

Considere a sazonalidade. Uma aplicação pode gerar mais eventos em períodos de campanhas, fechamento financeiro ou processamento intenso. Inclua esses cenários no levantamento para avaliar a cobrança de excedentes e a possibilidade de contratar capacidade temporária.

• Pacotes com ferramentas incluídas

Um pacote pode reunir plataforma e operação, mas você precisa verificar as licenças efetivamente incluídas. EDR significa detecção e resposta em endpoints; XDR amplia a correlação entre fontes; SOAR reúne orquestração e automação de respostas.

Não presuma que todo MDR inclui todas essas tecnologias. Pergunte quem mantém os agentes, quem corrige falhas de coleta e como você acessa as evidências. Ao encerrar o contrato, confirme a exportação de registros e o custo de transição.

Quais custos podem ficar fora da mensalidade?

Implantação, conectores, armazenamento, excedentes e resposta especializada podem ficar fora da mensalidade de SOC. O orçamento precisa incluir despesas iniciais e recorrentes, além das atividades mantidas pela sua equipe. Solicite uma lista de exclusões e simule crescimento de ativos e logs antes de comparar o custo anual.

• Implantação e integração

A implantação pode envolver inventário, instalação de agentes, configuração de coletores e definição dos procedimentos de resposta. Exija entregáveis e critérios de aceite. “Serviço ativado” precisa significar fontes conectadas e testes concluídos, não apenas credenciais de acesso entregues.

Integrações personalizadas exigem atenção adicional. Um sistema legado pode precisar de tratamento específico de logs. Peça que o fornecedor identifique o trabalho incluído e o que será cobrado por hora, projeto ou conector.

• Retenção e recuperação de registros

Armazenar logs para consulta imediata pode ter condições diferentes de arquivá-los para investigação futura. Verifique prazo de retenção, velocidade de recuperação, integridade e custos de exportação. Não confunda armazenamento disponível com capacidade de pesquisa já incluída.

Defina os períodos com segurança, jurídico e conformidade. Evite atribuir à LGPD um prazo universal de retenção para todos os logs. A política deve considerar finalidade, necessidade, obrigações aplicáveis e características das informações registradas.

• Perícia e recuperação após incidentes

Contenção, investigação forense e restauração são atividades diferentes. Um contrato pode prever isolamento de uma máquina e excluir sua reconstrução. Registre quem preserva evidências, quem acompanha a recuperação e quem fornece informações para avaliações jurídicas.

A contratação de SOC também não substitui backup em nuvem nem um plano de recuperação. Para o orçamento, separe detecção, contenção e retomada dos serviços. Essa divisão evita atribuir ao fornecedor uma responsabilidade que não foi contratada.

Fórmula para o primeiro ano

Orçamento anual = implantação + 12 mensalidades + licenças separadas + excedentes previstos + trabalho interno + serviços adicionais contratados. Use essa fórmula como estrutura, substituindo cada componente por valores cotados e premissas identificáveis.

Se um item ainda não tem valor, marque “pendente de cotação”. Um campo vazio não deve virar custo zero. Para contingências, apresente uma reserva aprovada internamente, sem confundi-la com uma taxa obrigatória do fornecedor.

Como comparar propostas com o mesmo escopo?

Compare propostas de SOC usando o mesmo inventário, volume de dados, retenção, cobertura e autoridade de resposta. A mensalidade isolada não mostra o trabalho que continuará com sua equipe. Formalize os prazos, as exclusões, a portabilidade e os critérios de aceite para avaliar preço e capacidade operacional conjuntamente.

• Defina prazos e responsabilidades

SLA é o acordo de nível de serviço. Separe prazo para reconhecer um alerta, iniciar investigação, notificar e executar contenção. Não trate todos como “tempo de resposta”. O contrato precisa indicar quando cada cronômetro começa e quais dependências podem interrompê-lo.

MTTD é o tempo médio de detecção; MTTR pode ter significados diferentes entre fornecedores. Peça a definição adotada, o período medido e a criticidade dos casos. Uma média histórica não equivale a um prazo máximo contratual.

• Estabeleça a autoridade de contenção

Documente as ações que dispensam nova autorização e as que exigem aprovação. Isolar um servidor crítico pode proteger dados e interromper atendimento. O procedimento deve combinar segurança com continuidade, considerando os sistemas e responsáveis disponíveis em cada horário.

O mesmo cuidado vale para credenciais e serviços integrados. Defina acessos mínimos, trilhas de auditoria e revogação ao término do contrato. Terceirizar a execução não elimina sua responsabilidade de governança.

• Valide cobertura e qualidade da operação

Monte uma lista de fontes: estações, servidores, identidade, rede, aplicações e nuvem. Registre o que será monitorado e quais integrações precisam ser testadas. Uma fonte desconectada pode criar uma lacuna mesmo quando o inventário do contrato parece completo.

Negocie uma validação técnica com critérios de sucesso. Você pode testar recebimento de registros, geração de alertas e execução de procedimentos autorizados. Defina duração e escopo da avaliação com o fornecedor, sem pressupor um prazo universal de prova de conceito.

• Confirme localização e saída do serviço

Identifique onde registros são armazenados, quem pode acessá-los e se existem subcontratados. A localização importa para a governança, mas não garante conformidade isoladamente. A discussão sobre hospedagem local deve acompanhar controles e responsabilidades.

Solicite um plano de saída: formato de exportação, período disponível para retirada, eliminação de cópias e continuidade durante a migração. Esses pontos ajudam a evitar dependência operacional e despesas não previstas na troca de parceiro.

Avalie também os critérios de infraestrutura e o escopo das certificações apresentadas. Uma certificação do ambiente físico não demonstra, sozinha, todos os processos do serviço de segurança. Peça evidências correspondentes à operação que você está contratando.

Como contextualizar o custo de uma violação cibernética?

A IBM informou custo médio de R$ 7,44 milhões por violação no Brasil em 2026. A amostra global incluiu 602 organizações, sendo 42 brasileiras. Esse resultado contextualiza impactos financeiros, mas não estima a perda da sua empresa nem demonstra retorno garantido com SOC, MDR ou qualquer tecnologia específica.

O Cost of a Data Breach 2026, conduzido pelo Ponemon Institute e patrocinado e analisado pela IBM, avaliou organizações com violações entre março de 2025 e fevereiro de 2026. O comunicado brasileiro foi divulgado em outubro de 2026.

No recorte nacional, o estudo apontou médias de R$ 12,55 milhões em saúde, R$ 8,96 milhões em tecnologia e R$ 8,63 milhões em serviços. São resultados dos grupos estudados, não tarifas de recuperação nem valores inevitáveis para qualquer organização desses setores.

Para sua decisão, combine referências externas com análise própria: sistemas afetados, duração tolerável da interrupção, compromissos contratuais e esforço de recuperação. Não divida a média de perdas pela mensalidade para anunciar que o SOC “se paga” em determinado período.

Compare a proposta com seu plano de disaster recovery, ou recuperação de desastres. Monitorar ameaças e restaurar serviços são capacidades complementares. O orçamento deve sustentar ambas quando a continuidade do negócio depender delas.

Como dimensionar seu orçamento de segurança?

Comece o orçamento de SOC pelo inventário de ativos, pelas fontes de logs e pelas responsabilidades de resposta. Depois, solicite propostas sobre a mesma base técnica e compare o custo anual completo. Na HostDime, a conversa consultiva pode partir desse levantamento para definir uma solução compatível com sua operação.

Prepare um documento curto com ativos, sistemas críticos, integrações existentes, volume de dados, retenção desejada e pessoas responsáveis. Inclua limites operacionais: quando uma máquina pode ser isolada, quais serviços não admitem interrupção e quem aprova mudanças fora do expediente.

Use a lista para avaliar SOC gerenciado com critérios consistentes. Um parceiro deve explicar como o preço muda quando você adiciona fontes, amplia retenção ou aumenta a profundidade da resposta. Solicite essas condições antes da assinatura.

A HostDime oferece SOC gerenciado e MDR com monitoramento 24x7, análise especializada e resposta a incidentes conforme o escopo contratado. A HostDime integra tecnologia e equipe técnica para apoiar a detecção e a contenção de ameaças.

A HostDime mantém infraestrutura própria para sustentar serviços de ambientes críticos. Para avaliar o projeto, comece pelo inventário e pelos requisitos de resposta; com essa base, nossa equipe pode discutir cobertura, integrações e orçamento junto com seu time.

Próximo passo: reúna o inventário dos ativos e uma amostra representativa do volume de logs. Use esse material para uma avaliação técnica de cobertura e, depois, solicite uma proposta de SOC ou MDR com mensalidade, implantação, franquias e responsabilidades discriminadas.