Nem todos os SOC são iguais: como compreender e escolher o centro de operações de segurança certo

Há dez anos, dizer a alguém que a tua organização tinha um Security Operations Centre significava algo específico. Implicava uma equipa dedicada de analistas a vigiar ecrãs ininterruptamente, à procura de ameaças em todo o ambiente de TI, com as pessoas, os processos e a tecnologia para detetar, conter e responder a incidentes a qualquer hora.

Hoje, o termo foi esticado até quase se partir. Um fornecedor comercializa um “SOC” que funciona 24/7 com vários papéis, threat hunting e resposta a incidentes. Outro comercializa um “SOC” que vigia alertas de endpoint durante o horário de expediente e reencaminha por email qualquer coisa suspeita. Ambos se autodenominam da mesma forma.

Para quem quer que seja responsável pela ciber-resiliência, seja um CISO numa organização de média dimensão, um responsável de TI a preparar-se para a NIS2 ou um membro do conselho de administração a ponderar o risco, isto importa. Escolher o tipo errado de SOC significa pagar por uma capacidade que não obténs, ou pior, assumir que estás protegido quando não estás.

Este guia responde às perguntas que os compradores realmente fazem, pela ordem em que tendem a fazê-las. Explica o que é realmente um Security Operations Centre, como se relaciona com o termo cada vez mais comum Managed Detection and Response, porque é que a definição se erodiu, os principais tipos de SOC que vais encontrar hoje no mercado e como escolher o que se adequa ao teu risco, setor e orçamento.

Uma breve nota sobre posicionamento antes de começarmos: a Guardian360 não opera um SOC. Fornecemos visão contínua da superfície de ataque e gestão de vulnerabilidades que reforça qualquer SOC com que uma organização escolha trabalhar. Ao longo deste artigo usamos cinco dos nossos parceiros, nomeadamente NFIR, SLTN, Intermax, Beterbeschermd e Trustteam, como exemplos honestos de como diferentes modelos de SOC se apresentam na prática. O objetivo não é recomendar um em detrimento de outro, mas ajudar-te a reconhecer qual o modelo que melhor se adequa à tua situação.

O que é, realmente, um Security Operations Centre?

Um Security Operations Centre é, na sua essência, a função dentro ou fora de uma organização responsável pela monitorização, deteção, análise e resposta contínuas a ciberameaças. É uma combinação de três coisas: pessoas, processos e tecnologia. Retira uma delas e deixas de ter um SOC.

O lado da tecnologia inclui tipicamente uma plataforma Security Information and Event Management (SIEM) que agrega logs de todo o ambiente de TI, ferramentas Endpoint Detection and Response (EDR) ou Extended Detection and Response (XDR), capacidade de deteção de rede e um sistema de gestão de casos. Cada vez mais, os SOC modernos acrescentam ferramentas Security Orchestration, Automation and Response (SOAR), feeds de threat intelligence e User and Entity Behaviour Analytics (UEBA).

O lado dos processos abrange casos de uso de deteção, playbooks, caminhos de escalonamento, procedimentos de resposta a incidentes, cadências de reporte e melhoria contínua. Um SOC sem playbooks documentados é, em termos práticos, um grupo de pessoas com dashboards.

O lado das pessoas é onde muitos “SOC” ficam discretamente aquém. Um verdadeiro SOC tem analistas em vários níveis, tipicamente triagem L1, investigação L2, threat hunting L3 e resposta a incidentes. Tem também engenheiros que afinam as deteções, um gestor de SOC e, idealmente, uma ligação ao nível de CISO com a organização cliente. Funciona continuamente, porque os atacantes não trabalham das nove às cinco.

Se um fornecedor te está a oferecer aquilo a que chama um SOC, o teste mais simples é perguntar: quem está a vigiar às três da manhã de um domingo, o que estão efetivamente a fazer e que autoridade têm para agir?

Qual é a diferença entre um SOC e Managed Detection and Response?

Os termos “SOC” e “MDR” são usados de forma tão intercambiável no mercado que vale a pena destrinçá-los.

Um SOC é a função operacional: as pessoas, processos e tecnologia que monitorizam, detetam, analisam e respondem. A expressão descreve uma capacidade, não uma oferta comercial em particular. Uma organização pode operar o seu próprio SOC, contratar o SOC de um fornecedor ou operar um modelo híbrido.

Managed Detection and Response é o invólucro comercial mais usado para empacotar a capacidade de SOC para o mercado de média dimensão. Num serviço MDR, o fornecedor assume a responsabilidade pelas ferramentas de monitorização, frequentemente EDR ou XDR, aplica os seus próprios analistas e playbooks ao teu ambiente e reporta as constatações e ações de volta ao cliente. Na prática, quase todos os serviços de SOC externalizados oferecidos hoje a organizações de média dimensão são vendidos sob o rótulo MDR ou uma variante próxima.

O que isto significa para os compradores é simples. O rótulo “MDR” diz-te algo sobre o modelo comercial, mas não sobre a profundidade dos analistas, as horas de cobertura, o âmbito da deteção ou a autoridade de resposta incluída. Um MDR especialista 24/7 com resposta a incidentes completa pode ser muito diferente de um MDR 5×8 apenas de endpoints; ambos são vendidos sob as mesmas três letras. As perguntas mais à frente neste artigo foram concebidas para revelar a diferença.

Porque é que o termo “SOC” se diluiu?

Três forças separaram a definição.

A primeira é a inflação de marketing. À medida que as ciberameaças subiram na agenda, “SOC” tornou-se um rótulo que ajudava a vender serviços. A monitorização de endpoints com um serviço de acompanhamento 5×8 foi rebatizada como SOC. Os dashboards de gestão de vulnerabilidades foram rebatizados como componentes de SOC. Onde um rótulo vende, o rótulo espalha-se.

A segunda é a diversidade de fornecedores a entrar neste espaço. As empresas que hoje oferecem serviços semelhantes a SOC partem de pontos muito diferentes. Algumas são empresas de cibersegurança puras que construíram o seu SOC em torno da resposta a incidentes. Outras são fornecedores de alojamento gerido que acrescentaram um Cyber Defence Centre para proteger a sua própria plataforma e depois o ofereceram a clientes. Outras são integradores de TI abrangentes onde a segurança é uma área de especialização entre muitas. Outras são fornecedores regionais de serviços geridos que reconheceram que os seus clientes PME precisavam de algo mais do que antivírus e uma firewall. Cada um destes modelos tem mérito, mas não são o mesmo produto.

A terceira é a ausência de uma norma única e aplicável. Existem bons enquadramentos, incluindo MITRE ATT&CK, o modelo de funções de SOC da SANS e o NIST CSF, mas não há certificação que um comprador possa exigir e confiar como comparador equivalente. A ISO 27001 e o SOC 2 dizem algo sobre como uma organização gere a segurança da informação, mas não certificam a profundidade operacional de um SOC.

O resultado é um mercado onde a mesma palavra abrange serviços muito diferentes a preços muito diferentes. Cabe ao comprador fazer a destrinça.

Quais são os principais tipos de SOC no mercado neerlandês atualmente?

Olhando para os fornecedores com quem trabalhamos, quatro modelos amplos cobrem a maior parte do que vais encontrar. Cada um tem pontos fortes claros, compromissos claros e um cliente ideal claro.

Tipo 1: o SOC especialista de cibersegurança pura

Este é o modelo mais próximo da definição original. Todo o negócio do fornecedor é cibersegurança. O SOC é o coração da operação, rodeado de capacidades adjacentes como testes de intrusão, resposta a incidentes, forense digital e formação de sensibilização em segurança. Os analistas são especialistas profundos e a empresa detém tipicamente acreditações específicas do trabalho de segurança, e não de serviços de TI em geral.

NFIR é um exemplo claro deste arquétipo. Operam um serviço Managed Detection and Response 24/7/365 a partir do seu próprio SOC, a par de um Computer Emergency Response Team que trata da resposta a incidentes, uma prática de testes de intrusão certificada CCV e um braço de forense digital. O seu pessoal tem vetting formal através do Chief of Police e a empresa detém acreditações ISO e BSI focadas no domínio da segurança. A proposta é simples: quando algo grave acontece, a mesma empresa que monitoriza o teu ambiente também pode investigar, conter e reportar sobre o incidente, incluindo o detalhe forense que pode ser necessário para seguradoras, reguladores ou autoridades policiais.

O ponto forte deste modelo é a profundidade. O compromisso é que espera um cliente com um ambiente de TI relativamente maduro. O SOC vai detetar e responder, mas não gere a tua TI mais ampla.

Melhor adequação: organizações que já têm uma função de TI competente, querem um parceiro de segurança especialista e valorizam uma forte capacidade de resposta a incidentes e forense. Isto adequa-se tipicamente a organizações de média dimensão maiores e a grandes empresas, governo, educação e qualquer setor com risco de incidente elevado.

Tipo 2: o SOC integrado num integrador de TI abrangente

Neste modelo, a segurança e o SOC coexistem com outros serviços de TI (posto de trabalho, cloud, redes, aplicações, dados, alojamento) num único portefólio. O ponto forte do modelo é a integração: o parceiro que monitoriza a tua segurança também compreende o teu panorama de TI mais amplo, porque provavelmente construiu partes dele. Muitos destes integradores também operam eles próprios capacidades de alojamento e cloud privada, o que significa que podem alojar, integrar e monitorizar sob o mesmo teto.

SLTN é um bom exemplo. Descrevem-se como um parceiro para “TI à prova de futuro” e oferecem especialização em serviços profissionais de negócio e de TI, posto de trabalho digital, datacenter, cloud, alojamento, redes, serviços de IA, serviços de dados, serviços de aplicações e cibersegurança. Fundamentalmente, a SLTN opera o seu próprio datacenter e capacidade de cloud privada, pelo que um cliente pode colocar segurança, posto de trabalho e infraestrutura alojada com o mesmo parceiro. A sua proposta de cibersegurança é consultiva: guias de sobrevivência, aconselhamento adaptado à organização, trabalhando o quadro completo de como proteger sistemas ao mesmo tempo que se permite ao pessoal fazer o seu trabalho.

O que também se destaca na SLTN é a amplitude de setores que servem. Onde alguns parceiros neste artigo estão fortemente focados num ou dois domínios (a Intermax na saúde, por exemplo), a base de clientes da SLTN abrange saúde, retalho, administração local e central, finanças, indústria, logística e serviços profissionais. Para organizações de média dimensão cujas necessidades de TI e segurança se situam num setor menos óbvio, ou para grupos que operam em vários setores, essa amplitude significa que a SLTN raramente não está familiarizada com o contexto regulatório, as aplicações específicas do setor ou o ritmo operacional do negócio do cliente.

Esta amplitude setorial é um tipo de ponto forte diferente da profundidade setorial. Um especialista com foco num único vertical oferece uma compreensão profunda de um conjunto de enquadramentos de conformidade e nuances operacionais. Um integrador multissetorial como a SLTN, por contraste, traz a capacidade de reconhecer padrões entre setores e aplicar lições de um a outro, o que é particularmente útil para organizações cujo ambiente de TI abrange mais do que um contexto operacional. Ambos os tipos de ponto forte têm valor, e a resposta certa depende de precisares de profundidade num setor ou de familiaridade em vários.

Trustteam é um segundo exemplo com uma forma diferente. Sediada no Benelux e com escritórios nos Países Baixos, Bélgica, França e Luxemburgo, a Trustteam organiza a sua prática de segurança (“Next Gen Security”) explicitamente em torno do NIST Cybersecurity Framework: Identificar e Proteger, Detetar e Responder, Recuperar. Dentro do pilar Detetar e Responder oferecem Managed Detection and Response, Network Detection and Response e Endpoint Detection and Response como produtos nomeados e empacotados, a par de monitorização, análise e mitigação contínuas, planeamento de resposta, sensibilização e segurança de infraestrutura. O integrador assenta sobre cloud privada, cloud pública (Azure) e infraestrutura no local, com uma abordagem de enquadramento estruturada que serve os compradores que querem mapear os seus controlos para um modelo reconhecido. Para organizações com presença no Benelux, a natureza transfronteiriça da empresa é uma vantagem prática significativa.

O ponto forte deste modelo é a coerência. Não estás a acoplar segurança a um ambiente de TI desconhecido; o mesmo parceiro pode alinhar identidade, posto de trabalho, cloud, alojamento e segurança como um só programa. O compromisso é que o SOC pode não ser tão profundo como o de um especialista, e a amplitude significa que a organização, no seu todo, divide a sua atenção por muitas áreas de prática.

Melhor adequação: organizações que querem um só parceiro para assumir a responsabilidade pela TI e pela segurança em conjunto, particularmente quando o próprio ambiente de TI está a ser modernizado. Comum em organizações de média dimensão a passar por uma transformação de posto de trabalho, cloud ou redes, e em organizações do Benelux que valorizam a presença transfronteiriça.

Tipo 3: o SOC integrado com uma plataforma de alojamento gerido ou cloud

Aqui, o SOC faz parte de um serviço de alojamento gerido ou de cloud-sourcing, e essa capacidade de alojamento é o centro de gravidade da empresa. O negócio principal do fornecedor é operar a infraestrutura do cliente, frequentemente nos seus próprios datacenters ou como cloud gerida, com a monitorização de segurança tecida diretamente na plataforma que operam. A diferença face ao Tipo 2 é de foco e profundidade: o alojamento é a identidade da empresa, e não uma prática entre muitas, e a capacidade de segurança é construída em torno do ambiente alojado.

Intermax é um exemplo forte. São uma empresa de cloud-sourcing sediada em Roterdão com um vasto portefólio de certificações que inclui ISO 27001, ISO 20000, ISO 9001, NEN 7510, ISAE 3402 tipo II e SOC 2. São Microsoft Cloud Service Provider, VMware Service Provider e Fortinet Managed Security Service Provider, e operam um Cyber Defence Centre que usa ferramentas de deteção modernas, incluindo Elastic Security com deteção de ataques impulsionada por IA. A sua profundidade na saúde merece um parágrafo próprio.

Para organizações na saúde, a Intermax é, em muitos aspetos, uma adequação excecional. A combinação de NEN 7510 (a norma neerlandesa de segurança da informação para a saúde), ISO 27001 e SOC 2, com uma base de clientes existente que inclui hospitais, instituições de saúde mental e outras zorginstellingen, significa que a Intermax já compreende o fardo regulatório e a realidade quotidiana de alojar EPD e outras aplicações clínicas. A sua oferta gerida de HiX é um exemplo desta profundidade. Para uma organização neerlandesa de saúde, escolher entre um parceiro de alojamento que ocasionalmente trabalhou com sistemas clínicos e um cujo negócio é construído em torno deles raramente é uma escolha difícil. A Intermax está firmemente no segundo grupo, razão pela qual é um parceiro de SOC particularmente forte para qualquer organização na zorg neerlandesa.

O ponto forte deste modelo é que a segurança está “incorporada”. A plataforma de alojamento e o SOC partilham a mesma equipa de engenharia, a mesma telemetria e as mesmas evidências de conformidade. O compromisso é que estás a aderir a um modelo de alojamento além de um SOC; se quiseres gerir a tua TI de forma independente e contratar apenas a monitorização, esta não é a forma certa.

Melhor adequação: setores regulados como saúde, finanças e governo, e organizações que querem externalizar o seu alojamento e segurança a um só fornecedor altamente certificado. Particularmente forte para a saúde neerlandesa dada a profundidade de evidências NEN 7510 e a experiência com aplicações clínicas.

Tipo 4: o SOC de nível MSP, incluindo serviços de SOC para outros MSP

O quarto modelo cresceu rapidamente nos últimos anos. Fornecedores regionais de serviços geridos, que já entregam TI do dia a dia a clientes PME e de média dimensão, construíram ou estabeleceram parcerias para serviços de SOC acessíveis a organizações que nunca poderiam justificar um contrato empresarial. Uma subtendência significativa é agora visível: várias destas empresas estão deliberadamente a posicionar a sua capacidade de SOC como um serviço que outros MSP podem usar, e não apenas os seus próprios clientes.

Beterbeschermd é um exemplo claro. A empresa teve origem dentro do MSP BEEREPOOT, sediado na Holanda do Norte, onde serve a base de clientes MSP existente, mas está deliberadamente posicionada como uma marca e operação separadas que podem oferecer a sua capacidade de SOC a outros MSP e aos seus clientes finais. A equipa combina operadores de SOC com um papel de Cybersecurity Officer que trata de análise de risco, auditorias, formação de sensibilização, orientação sobre NIS2 e ISO 27001 e apoio à conformidade. Para um MSP que não tem a escala para construir o seu próprio SOC, estabelecer parceria com um MSP par que já construiu um é frequentemente mais viável, tanto comercial como culturalmente, do que estabelecer parceria com um grande especialista empresarial.

O ponto forte deste modelo é a acessibilidade e a adequação cultural. As organizações mais pequenas obtêm monitorização, formação de sensibilização e orientação de conformidade numa única relação a um preço que escala com a sua dimensão, e os MSP sem um SOC próprio podem oferecer um aos seus clientes sem o investimento de vários milhões de euros. O compromisso é que a profundidade da capacidade forense e de threat hunting pode não igualar a de um especialista puro, e a presença geográfica do parceiro importa de uma forma que não importa para um especialista nacional.

Melhor adequação: PME e organizações do segmento médio-baixo cuja TI passa por uma relação com um MSP, e os próprios MSP que querem oferecer capacidade de SOC aos seus clientes sem a construir de raiz.

Então, de que tipo de SOC precisas?

A resposta honesta é que depende de cinco fatores, aproximadamente por esta ordem.

Perfil de risco. Qual é o pior cenário realista? Uma organização que lida com dados de doentes, dados de pagamento ou infraestrutura crítica tem um pior cenário diferente de uma empresa de serviços B2B. Quanto maior for o teu pior cenário, mais profundidade de capacidade de deteção e resposta precisas.

Pressão regulatória. A NIS2, o RGPD, regras específicas de setor como a NEN 7510 ou o DigiD, e obrigações contratuais de clientes empurram todos a fasquia para cima. Alguns dos tipos de SOC acima trazem evidências de conformidade difíceis de construir de qualquer outra forma.

Maturidade interna de TI. Um SOC especialista pressupõe que consegues agir sobre as suas constatações. Se a tua função interna de TI é pequena ou está sobrecarregada, um modelo integrado (seja com um integrador de TI ou um MSP) será mais viável do que uma relação com um especialista que te entrega um fluxo de alertas que não consegues gerir.

Relações de TI existentes. Se já confias num MSP ou integrador com a tua TI, colocar o teu SOC na mesma relação reduz o atrito. Se tens uma forte função interna de TI e queres um contraparte especialista, um SOC puro dar-te-á a maior profundidade.

Orçamento. Um SOC especialista 24/7 não tem o mesmo preço que um complemento de monitorização 5×8. Sê claro sobre quanto estás disposto a gastar e sê honesto com os fornecedores quando pedes propostas.

Que perguntas deves fazer a um fornecedor de SOC?

Uma checklist curta e útil quando estás a avaliar fornecedores, quer se enquadrem em qualquer um dos quatro modelos acima ou noutro lugar completamente diferente.

Horas. A monitorização é 24/7/365, 5×8 com regime de prevenção, ou outra coisa? Quem está acordado às três da manhã de domingo, e o que estão autorizados a fazer sem o teu envolvimento?

Âmbito. O que está a ser exatamente monitorizado? Só endpoints? Endpoints, identidade e email? Cargas de trabalho na cloud? Tecnologia operacional? Servidores e rede no local? Quanto mais amplo o âmbito, mais significativo o SOC.

Deteção. Que ferramentas estão por trás do serviço? SIEM e EDR são a base; pergunta sobre XDR, NDR, deteção de ameaças de identidade, monitorização de postura de cloud e feeds de threat intelligence. Pergunta como as regras de deteção são afinadas e com que frequência são revistas.

Pessoas. Quantos analistas, em que níveis, e onde estão baseados? O turno da noite é interno ou externalizado? Qual é a rotação e como é gerida a fadiga? Quem é o teu contacto sénior nomeado?

Resposta. Quando acontece um incidente, o que faz efetivamente o SOC? Alerta-te e para por aí? Contém um host? Entra no teu ambiente e age? Que autoridade tem o SOC, e como é testada essa autorização?

Retainer de resposta a incidentes. Existe uma janela de resposta garantida para incidentes graves? A capacidade forense faz parte do acordo, ou é contratada em separado? O SOC consegue produzir relatórios utilizáveis para seguradoras, reguladores e, se for o caso, autoridades policiais?

Conformidade. Que normas cumpre o próprio SOC? O fornecedor consegue produzir evidências que ajudem as tuas próprias auditorias, incluindo para ISO 27001, NEN 7510, prontidão para NIS2, SOC 2 ou ISAE 3402?

Reporte e transparência. O que recebes a cada semana, cada mês, cada trimestre? Consegues ver as deteções e ações subjacentes, ou apenas resumos? Existe um portal? Estão incluídos exercícios de mesa e constatações de threat hunting?

Adequação e saída. Como é que o SOC se integra com as tuas ferramentas existentes, como o teu sistema de tickets, fornecedor de identidade e contas de cloud? Se alguma vez quiseres mudar, quão portável é o teu conteúdo de deteção e o teu histórico?

Quais são as armadilhas mais comuns ao selecionar um SOC?

Um punhado de erros repete-se por todo o mercado.

O primeiro é comprar apenas pelo preço. Um “SOC” que custa um quarto do preço corrente está quase de certeza a fazer um quarto do trabalho. O trabalho que não está a fazer tende a ser a parte de que mais precisas quando algo corre mal.

O segundo é confundir ferramentas com um serviço. Um SIEM não é um SOC. EDR não é um SOC. Um dashboard com alertas não é um SOC. Sem os analistas e os playbooks, as ferramentas produzem ruído.

O terceiro é não testar a resposta. Muitas organizações assinam um contrato de SOC e nunca fazem um exercício de mesa para ver o que realmente acontece quando um incidente é levantado. A primeira vez que testas a fundo a relação não deve ser o dia em que acontece um incidente real.

O quarto são responsabilidades sobrepostas e escalonamento pouco claro. Se o SOC, o MSP, a equipa interna de TI e o fornecedor de cloud acreditarem todos que é outra pessoa a monitorizar um determinado sistema, ninguém o está a fazer. Mapeia a propriedade antes de assinar.

O quinto é assinar um contrato longo sem um plano de saída. Pergunta, no primeiro dia, o que acontece ao teu conteúdo de deteção, aos teus alertas históricos e aos teus dados de casos se alguma vez quiseres sair.

Um breve enquadramento para selecionar o teu SOC

Juntando o que foi dito acima, uma sequência prática para escolher um SOC é assim.

Começa por definir o que estás a proteger e de quem. Mapeia os teus ativos mais críticos, os teus piores cenários e os regimes regulatórios aplicáveis. Sê específico.

Decide o que queres manter interno e o que queres externalizar. Os dois extremos (SOC totalmente interno versus totalmente externalizado) raramente são a resposta certa para organizações de média dimensão. Um híbrido, em que o SOC trata da deteção contínua e a tua equipa mantém a política, o risco e a relação estratégica, é geralmente o mais viável.

Define um orçamento realista. Os benchmarks do setor para serviços de SOC externalizados no mercado neerlandês situam-se num intervalo amplo, dependendo do âmbito e das horas. Não esperes monitorização 24/7 de nível empresarial a preços de PME, e não pagues preços empresariais por cobertura de nível PME.

Faz a lista restrita por tipo de SOC, não por nome. Decide se precisas de um especialista, um integrador, uma plataforma liderada por alojamento ou um serviço liderado por MSP, e depois procura o fornecedor mais forte nessa categoria.

Faz as perguntas acima, por escrito, e compara as respostas. Se dois fornecedores oferecem o “mesmo” serviço a preços muito diferentes, as respostas a essas perguntas explicarão normalmente porquê.

Por fim, pede referências. Pergunta aos clientes atuais o que aconteceu durante o seu último incidente real, não a sua última deteção bem-sucedida. A diferença entre as duas respostas é reveladora.

Onde é que a Guardian360 se encaixa

Não operamos um SOC. Mantivemo-nos deliberadamente fora desse mercado porque acreditamos que um ecossistema de SOC saudável beneficia mais o cliente do que um único fornecedor dominante beneficiaria. O que fazemos é situar-nos um passo mais cedo na cadeia.

Um SOC é mais eficaz quando o ambiente que monitoriza é bem compreendido e as exposições básicas já foram fechadas. A Guardian360 fornece visão contínua da tua superfície de ataque e vulnerabilidades, para que o SOC, seja qual for o modelo que escolheres, passe o seu tempo em ameaças reais em vez de perseguir ruído de configurações erradas e sistemas sem patch.

Se estás a ponderar uma decisão de SOC e gostarias de uma conversa objetiva sobre qual dos quatro modelos acima se adequa à tua organização, teremos todo o gosto em tê-la. Também te podemos apresentar o parceiro relevante (NFIR, SLTN, Intermax, Beterbeschermd, Trustteam ou outros na nossa rede), dependendo daquilo de que realmente precisas.

O SOC certo é aquele que corresponde ao teu risco, à tua maturidade de TI, ao teu setor e ao teu orçamento. Não é necessariamente o maior, o mais barato ou o que respondeu primeiro à tua consulta. Com o enquadramento acima, a escolha deve, pelo menos, ser plenamente informada.