SOC como serviço é a contratação de um centro de operações de segurança externo, que monitora registros e alertas do ambiente, investiga eventos suspeitos e orienta ou executa a resposta. Faz sentido quando a empresa precisa de vigilância contínua e não tem equipe para mantê-la internamente.
SOC como serviço é a contratação de um centro de operações de segurança externo, que monitora continuamente os registros e alertas do ambiente da empresa, investiga eventos suspeitos e orienta ou executa a resposta a incidentes. A sigla vem do inglês Security Operations Center. Faz sentido contratar quando a empresa precisa de vigilância contínua, inclusive fora do horário comercial, e não tem equipe nem estrutura para manter isso internamente.
O serviço também aparece com outros nomes, como SOC gerenciado ou MDR (managed detection and response). Os nomes variam de fornecedor para fornecedor. O que importa é o que está escrito no contrato.
O que um SOC faz na prática?
Um SOC transforma registros técnicos em decisões. O trabalho típico envolve:
- Coletar registros (logs) de servidores, estações, firewall, nuvem, e-mail e sistemas críticos.
- Correlacionar eventos para identificar padrões que, isolados, não chamariam atenção.
- Triar alertas, separando falsos positivos do que merece investigação.
- Investigar eventos suspeitos para entender o que aconteceu e o alcance.
- Responder ou orientar a resposta, como bloquear uma conta, isolar uma máquina ou acionar a equipe do cliente.
- Relatar periodicamente o que foi visto, o que foi tratado e o que precisa melhorar.
A diferença entre um SOC útil e um gerador de alertas está na investigação e na resposta. Receber centenas de notificações por e-mail não é monitoramento.
Por que monitoramento ganhou peso?
Dois movimentos aumentaram a importância de detectar rápido.
O primeiro é técnico. Na edição 2025 do OWASP Top 10, a lista de riscos mais críticos em aplicações web, a categoria A09 passou a se chamar "Security Logging and Alerting Failures". A troca de "monitoramento" por "alerta" reforça que não basta registrar: é preciso que alguém seja avisado e aja.
O segundo é regulatório. Pela Resolução CD/ANPD nº 15/2024, o controlador tem três dias úteis para comunicar à ANPD e aos titulares um incidente com dados pessoais que possa causar risco ou dano relevante, contados a partir do conhecimento do fato. E deve manter registro de todos os incidentes por no mínimo cinco anos. Sem detecção e registros organizados, a empresa demora a saber o que aconteceu e tem dificuldade de documentar a resposta. O tema é detalhado em comunicação de incidente à ANPD.
SOC interno, SOC como serviço ou modelo híbrido?
| Critério | SOC interno | SOC como serviço | Híbrido |
|---|---|---|---|
| Investimento inicial | Alto: ferramentas, sala, contratação | Baixo a moderado | Moderado |
| Cobertura fora do horário | Exige escala com várias pessoas | Normalmente incluída, conforme contrato | Fornecedor cobre fora do horário |
| Conhecimento do negócio | Maior, a equipe conhece o contexto | Depende da integração e do tempo de casa | Equipe interna traz contexto |
| Controle sobre ferramentas e dados | Total | Compartilhado, definido em contrato | Compartilhado |
| Tempo para começar | Longo | Mais curto | Intermediário |
| Indicado para | Grandes empresas e setores muito regulados | PMEs e empresas médias sem equipe dedicada | Empresas com pequena equipe de segurança |
Não existe resposta universal. Uma empresa média com um ou dois profissionais de segurança costuma se beneficiar do modelo híbrido: o fornecedor cuida da vigilância contínua e a equipe interna trata o que exige contexto de negócio.
Quando contratar um SOC como serviço?
Alguns sinais indicam que chegou a hora:
- A empresa tem sistemas críticos acessíveis pela internet e ninguém olha os registros com frequência.
- Clientes, parceiros ou seguradoras começaram a perguntar como a empresa detecta e responde a incidentes.
- A empresa trata dados pessoais em volume relevante, ou dados sensíveis, financeiros ou de autenticação.
- Houve um incidente recente e a investigação foi difícil por falta de registros.
- A equipe de TI acumula a função de segurança e não consegue acompanhar alertas.
- A operação funciona fora do horário comercial, mas a vigilância não.
Antes de contratar, vale ter o básico em ordem: inventário de sistemas, autenticação multifator nas contas críticas e backups testados. Um SOC detecta problemas; ele não substitui a higiene de segurança. Veja também o guia de MFA e gestão de acessos.
O que exigir no contrato de SOC como serviço?
O contrato é onde a maioria das frustrações nasce ou é evitada. Defina por escrito:
- Escopo de fontes monitoradas. Quais sistemas, contas e ambientes enviam registros. O que fica de fora.
- Horário de cobertura. Monitoramento 24x7 ou apenas em horário comercial.
- O que o fornecedor pode fazer sozinho. Bloquear contas, isolar máquinas, ou apenas recomendar.
- Níveis de serviço. Tempo para triar um alerta, para escalar um incidente crítico e para emitir relatório, conforme a severidade.
- Canais de escalonamento. Quem do seu lado recebe o aviso, por qual meio, e o substituto.
- Retenção e propriedade dos registros. Por quanto tempo os logs ficam guardados, onde, e como você os recebe ao fim do contrato.
- Tratamento de dados pessoais. Os registros costumam conter dados pessoais; o contrato deve tratar o fornecedor como operador, nos termos da LGPD.
- Relatórios. Periodicidade, conteúdo e reunião de revisão.
- Saída. Como a operação é transferida se o contrato acabar.
Os critérios gerais de contratação de fornecedores de segurança estão em como contratar uma empresa de cibersegurança.
Como avaliar se o SOC está entregando?
Um SOC bem contratado mostra resultado em métricas acompanhadas com o fornecedor. Peça no relatório mensal:
- Quantidade de alertas recebidos, investigados e escalados.
- Tempo médio entre o alerta e a triagem, e entre a triagem e o escalonamento.
- Incidentes confirmados e como foram tratados.
- Fontes de registro que pararam de enviar dados no período.
- Recomendações de melhoria e o que foi implementado.
Faça também testes. Um exercício combinado, como um pentest ou uma simulação controlada, mostra se o SOC percebe o que deveria. Se o teste passa despercebido, o contrato precisa ser revisto.
Próximo passo
Para comparar fornecedores de monitoramento e resposta, veja as empresas de cibersegurança e os rankings da categoria, calculados com metodologia pública. Se a sua empresa oferece SOC como serviço, crie ou reivindique o perfil gratuito e descreva o escopo que entrega.
Fontes
- OWASP — Introdução ao Top 10:2025 — renomeação da categoria A09 para "Security Logging and Alerting Failures"
- OWASP — OWASP Top 10:2025 — lista oficial das categorias da edição 2025
- ANPD — Comunicação de incidente de segurança — prazo de três dias úteis para comunicar a ANPD e os titulares
- Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança — prazo contado do conhecimento do incidente e registro por no mínimo cinco anos
- Planalto — Lei nº 13.709/2018 (LGPD) — dever de adotar medidas de segurança (art. 46)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
SOC como serviço e MDR são a mesma coisa?
Os termos se sobrepõem e cada fornecedor usa de um jeito. Em geral, MDR enfatiza detecção e resposta ativa, e SOC como serviço pode incluir apenas monitoramento e notificação. Em vez de se guiar pelo nome, compare o que o contrato diz sobre investigação e resposta.
Pequena empresa precisa de SOC?
Nem sempre. Se a empresa ainda não tem autenticação multifator, backups testados e atualização de sistemas, esses itens vêm primeiro. Quando o básico está em ordem e há dados ou sistemas críticos, um SOC como serviço com escopo reduzido pode fazer sentido.
O SOC substitui a equipe de TI?
Não. O SOC detecta e investiga, mas muitas ações de correção dependem de quem administra os sistemas. A integração entre o fornecedor e a TI interna precisa estar definida, com responsáveis e prazos.
Quanto custa um SOC como serviço?
O preço varia conforme o número de fontes de registro, o volume de dados, o horário de cobertura e o nível de resposta incluído. Para comparar propostas, peça que todas sejam montadas sobre o mesmo escopo de fontes, horário e níveis de serviço.
O fornecedor do SOC terá acesso a dados pessoais?
Provavelmente sim, porque registros de acesso e de e-mail costumam conter dados pessoais. Por isso o contrato deve definir o fornecedor como operador, com regras de segurança, retenção, sigilo e descarte compatíveis com a LGPD.