# SOC como serviço: o que é, o que entrega e quando contratar — Citeo > SOC como serviço é a contratação de um centro de operações de segurança externo, que monitora registros e alertas do ambiente, investiga eventos suspeitos... Fonte: https://mail.citeo.com.br/artigo/soc-como-servico-o-que-e-quando-contratar · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Segurança# SOC como serviço: o que é, o que entrega e quando contratar **Redação Citeo** Publicado em 18/10/2026 Revisado em 18/10/2026 5 min de leitura Resposta rápidaSOC como serviço é a contratação de um centro de operações de segurança externo, que monitora registros e alertas do ambiente, investiga eventos suspeitos e orienta ou executa a resposta. Faz sentido quando a empresa precisa de vigilância contínua e não tem equipe para mantê-la internamente. SOC como serviço é a contratação de um centro de operações de segurança externo, que monitora continuamente os registros e alertas do ambiente da empresa, investiga eventos suspeitos e orienta ou executa a resposta a incidentes. A sigla vem do inglês *Security Operations Center*. Faz sentido contratar quando a empresa precisa de vigilância contínua, inclusive fora do horário comercial, e não tem equipe nem estrutura para manter isso internamente. O serviço também aparece com outros nomes, como SOC gerenciado ou MDR (*managed detection and response*). Os nomes variam de fornecedor para fornecedor. O que importa é o que está escrito no contrato. ## O que um SOC faz na prática? Um SOC transforma registros técnicos em decisões. O trabalho típico envolve: - **Coletar registros (logs)** de servidores, estações, firewall, nuvem, e-mail e sistemas críticos. - **Correlacionar eventos** para identificar padrões que, isolados, não chamariam atenção. - **Triar alertas**, separando falsos positivos do que merece investigação. - **Investigar** eventos suspeitos para entender o que aconteceu e o alcance. - **Responder ou orientar a resposta**, como bloquear uma conta, isolar uma máquina ou acionar a equipe do cliente. - **Relatar** periodicamente o que foi visto, o que foi tratado e o que precisa melhorar. A diferença entre um SOC útil e um gerador de alertas está na investigação e na resposta. Receber centenas de notificações por e-mail não é monitoramento. ## Por que monitoramento ganhou peso? Dois movimentos aumentaram a importância de detectar rápido. O primeiro é técnico. Na edição 2025 do OWASP Top 10, a lista de riscos mais críticos em aplicações web, a categoria A09 passou a se chamar "Security Logging and Alerting Failures". A troca de "monitoramento" por "alerta" reforça que não basta registrar: é preciso que alguém seja avisado e aja. O segundo é regulatório. Pela Resolução CD/ANPD nº 15/2024, o controlador tem três dias úteis para comunicar à ANPD e aos titulares um incidente com dados pessoais que possa causar risco ou dano relevante, contados a partir do conhecimento do fato. E deve manter registro de todos os incidentes por no mínimo cinco anos. Sem detecção e registros organizados, a empresa demora a saber o que aconteceu e tem dificuldade de documentar a resposta. O tema é detalhado em [comunicação de incidente à ANPD](/artigo/comunicacao-de-incidente-a-anpd). ## SOC interno, SOC como serviço ou modelo híbrido? CritérioSOC internoSOC como serviçoHíbridoInvestimento inicialAlto: ferramentas, sala, contrataçãoBaixo a moderadoModeradoCobertura fora do horárioExige escala com várias pessoasNormalmente incluída, conforme contratoFornecedor cobre fora do horárioConhecimento do negócioMaior, a equipe conhece o contextoDepende da integração e do tempo de casaEquipe interna traz contextoControle sobre ferramentas e dadosTotalCompartilhado, definido em contratoCompartilhadoTempo para começarLongoMais curtoIntermediárioIndicado paraGrandes empresas e setores muito reguladosPMEs e empresas médias sem equipe dedicadaEmpresas com pequena equipe de segurança Não existe resposta universal. Uma empresa média com um ou dois profissionais de segurança costuma se beneficiar do modelo híbrido: o fornecedor cuida da vigilância contínua e a equipe interna trata o que exige contexto de negócio. ## Quando contratar um SOC como serviço? Alguns sinais indicam que chegou a hora: 1. A empresa tem sistemas críticos acessíveis pela internet e ninguém olha os registros com frequência. 2. Clientes, parceiros ou seguradoras começaram a perguntar como a empresa detecta e responde a incidentes. 3. A empresa trata dados pessoais em volume relevante, ou dados sensíveis, financeiros ou de autenticação. 4. Houve um incidente recente e a investigação foi difícil por falta de registros. 5. A equipe de TI acumula a função de segurança e não consegue acompanhar alertas. 6. A operação funciona fora do horário comercial, mas a vigilância não. Antes de contratar, vale ter o básico em ordem: inventário de sistemas, autenticação multifator nas contas críticas e backups testados. Um SOC detecta problemas; ele não substitui a higiene de segurança. Veja também o guia de [MFA e gestão de acessos](/artigo/mfa-e-gestao-de-acessos-para-pmes). ## O que exigir no contrato de SOC como serviço? O contrato é onde a maioria das frustrações nasce ou é evitada. Defina por escrito: - **Escopo de fontes monitoradas.** Quais sistemas, contas e ambientes enviam registros. O que fica de fora. - **Horário de cobertura.** Monitoramento 24x7 ou apenas em horário comercial. - **O que o fornecedor pode fazer sozinho.** Bloquear contas, isolar máquinas, ou apenas recomendar. - **Níveis de serviço.** Tempo para triar um alerta, para escalar um incidente crítico e para emitir relatório, conforme a severidade. - **Canais de escalonamento.** Quem do seu lado recebe o aviso, por qual meio, e o substituto. - **Retenção e propriedade dos registros.** Por quanto tempo os logs ficam guardados, onde, e como você os recebe ao fim do contrato. - **Tratamento de dados pessoais.** Os registros costumam conter dados pessoais; o contrato deve tratar o fornecedor como operador, nos termos da LGPD. - **Relatórios.** Periodicidade, conteúdo e reunião de revisão. - **Saída.** Como a operação é transferida se o contrato acabar. Os critérios gerais de contratação de fornecedores de segurança estão em [como contratar uma empresa de cibersegurança](/artigo/como-contratar-empresa-de-ciberseguranca-2026). ## Como avaliar se o SOC está entregando? Um SOC bem contratado mostra resultado em métricas acompanhadas com o fornecedor. Peça no relatório mensal: - Quantidade de alertas recebidos, investigados e escalados. - Tempo médio entre o alerta e a triagem, e entre a triagem e o escalonamento. - Incidentes confirmados e como foram tratados. - Fontes de registro que pararam de enviar dados no período. - Recomendações de melhoria e o que foi implementado. Faça também testes. Um exercício combinado, como um pentest ou uma simulação controlada, mostra se o SOC percebe o que deveria. Se o teste passa despercebido, o contrato precisa ser revisto. ## Próximo passo Para comparar fornecedores de monitoramento e resposta, veja as [empresas de cibersegurança](/empresas/cyber) e os [rankings](/rankings) da categoria, calculados com [metodologia pública](/metodologia). Se a sua empresa oferece SOC como serviço, [crie ou reivindique o perfil gratuito](/cadastro) e descreva o escopo que entrega. ## Fontes - [OWASP — Introdução ao Top 10:2025](https://top10.owasp.org/2025/0x00_2025-Introduction/) — renomeação da categoria A09 para "Security Logging and Alerting Failures" - [OWASP — OWASP Top 10:2025](https://top10.owasp.org/2025/) — lista oficial das categorias da edição 2025 - [ANPD — Comunicação de incidente de segurança](https://www.gov.br/anpd/pt-br/canais_atendimento/agente-de-tratamento/comunicado-de-incidente-de-seguranca-cis) — prazo de três dias úteis para comunicar a ANPD e os titulares - [Mattos Filho — ANPD publica regulamento de comunicação de incidente de segurança](https://www.mattosfilho.com.br/unico/regulamento-incidente-seguranca/) — prazo contado do conhecimento do incidente e registro por no mínimo cinco anos - [Planalto — Lei nº 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — dever de adotar medidas de segurança (art. 46) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### SOC como serviço e MDR são a mesma coisa? Os termos se sobrepõem e cada fornecedor usa de um jeito. Em geral, MDR enfatiza detecção e resposta ativa, e SOC como serviço pode incluir apenas monitoramento e notificação. Em vez de se guiar pelo nome, compare o que o contrato diz sobre investigação e resposta. ### Pequena empresa precisa de SOC? Nem sempre. Se a empresa ainda não tem autenticação multifator, backups testados e atualização de sistemas, esses itens vêm primeiro. Quando o básico está em ordem e há dados ou sistemas críticos, um SOC como serviço com escopo reduzido pode fazer sentido. ### O SOC substitui a equipe de TI? Não. O SOC detecta e investiga, mas muitas ações de correção dependem de quem administra os sistemas. A integração entre o fornecedor e a TI interna precisa estar definida, com responsáveis e prazos. ### Quanto custa um SOC como serviço? O preço varia conforme o número de fontes de registro, o volume de dados, o horário de cobertura e o nível de resposta incluído. Para comparar propostas, peça que todas sejam montadas sobre o mesmo escopo de fontes, horário e níveis de serviço. ### O fornecedor do SOC terá acesso a dados pessoais? Provavelmente sim, porque registros de acesso e de e-mail costumam conter dados pessoais. Por isso o contrato deve definir o fornecedor como operador, com regras de segurança, retenção, sigilo e descarte compatíveis com a LGPD. ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura