SOC gerenciado é a operação de monitoramento, detecção e resposta a incidentes entregue como serviço contínuo por um parceiro especializado. Este guia traz a definição, os três pilares, a comparação entre SOC próprio, gerenciado e híbrido, os sete sinais objetivos de que a sua empresa já precisa de um e o custo de não ter.
SOC gerenciado é a operação de monitoramento, detecção e resposta a incidentes de segurança entregue como serviço contínuo por um parceiro especializado, combinando pessoas, processo e tecnologia. Não é produto, não é suporte técnico e não é o NOC. É quem transforma sinal em decisão dentro de um prazo que importa.
Faça uma pergunta na próxima reunião de diretoria: quanto tempo levaríamos para perceber que fomos invadidos? Na maioria das empresas de 50 a 300 pessoas, ninguém responde. Existe antivírus, existe firewall, o MFA foi ativado no ano passado e o relatório do provedor de TI chega em dia. Mesmo assim, a pergunta fica no ar. Ela separa duas categorias de empresa: as que compraram ferramenta e as que têm operação.
Este texto percorre a definição e os três pilares que a sustentam, os modelos possíveis de contratação e qual deles fecha a conta para uma PME, os sete sinais objetivos de que a operação já é necessária e o que custa não ter, incluindo o prazo de três dias úteis que a ANPD impõe depois do incidente.
O que é um SOC gerenciado
Um SOC (Security Operations Center) é uma função centralizada que integra pessoas, processos e tecnologia para monitorar, detectar, analisar e responder a incidentes de segurança. É assim que a própria Microsoft define a estrutura, e a ordem não é acidental: pessoas vêm primeiro. Um SOC gerenciado é esse mesmo centro entregue como serviço contínuo por um parceiro especializado, que assume detecção e resposta em nome da empresa em vez de ela montar e sustentar a estrutura internamente. É um dos formatos de segurança gerenciada mais procurados por quem precisa de cobertura contínua e não tem time para isso.
Três consequências precisam ficar explícitas, porque é nelas que a maioria dos projetos erra.
SOC não é produto. Não existe comprar um SOC, existe contratar uma operação. O SIEM é o console; o SOC é quem está na frente dele, com processo definido e responsabilidade nominal.
SOC não é suporte técnico. Suporte responde a chamado aberto por usuário e trata o que quebra. SOC investiga o que não quebra nada visível e sobre o que ninguém abriu chamado: uma credencial usada de dois países em vinte minutos, um serviço criado às duas da manhã, um volume incomum de dado saindo para fora. Uma função é reativa por definição, a outra só existe se for proativa.
SOC não é o NOC. O NOC cuida de disponibilidade e desempenho. O SOC cuida de comprometimento, de alguém que está dentro do ambiente e não deveria estar.
Os três pilares: pessoas, processo e tecnologia
Pessoas. Um SOC opera com papéis distintos, não com um analista genérico. A estrutura de referência descrita pela Microsoft inclui analistas de níveis 1, 2 e 3, threat hunters, engenheiros de segurança, respondedores de incidente e um gestor de SOC. Cada nível existe porque o trabalho é diferente: triar volume, investigar profundidade e caçar o que ainda não virou alerta raramente moram na mesma cabeça. Replicar isso dentro de casa é folha, plano de carreira, turnover e cobertura de férias. Numa empresa de 50 a 300 colaboradores, a conta quase nunca fecha.
Processo. É o pilar que quase todo mundo ignora e o que mais separa SOC real de teatro de segurança. Processo garante que um sinal às 3h de sábado vire ação, e não e-mail não lido na segunda. Existem processos definidos de triagem, investigação, resposta e melhoria contínua, e é isso que dá previsibilidade à operação. O detalhamento do serviço está em monitoramento de segurança e SOC. Aqui basta a consequência: sem processo escrito, a segurança depende da memória e da disponibilidade de uma pessoa específica. Isso é risco de concentração, e CFO entende risco de concentração muito melhor do que entende taxonomia de ameaça.
Tecnologia. No universo Microsoft a camada é conhecida: Defender para endpoint, identidade, e-mail e nuvem; Sentinel como SIEM nativo de nuvem que agrega, correlaciona e automatiza resposta; Entra ID para identidade e acesso condicional; Intune para conformidade de dispositivo; Purview para classificação de dado. Nomear corretamente importa, mas a frase decisiva é outra: ferramenta produz sinal, e sinal sem quem interprete é custo de armazenamento. Boa parte das empresas já paga por essa camada no plano que assinou e não tem nada ligado. É a versão segurança de comprar a Ferrari e andar de Fusca. O ativo está pago. Falta operação.
Por que ferramenta sozinha não é SOC
Um console bem configurado detecta comportamento anômalo, bloqueia execução suspeita e registra tudo. O que ele não faz é decidir. Ele não sabe que aquele acesso fora de horário é do sócio que viajou para a Europa, nem que a máquina que disparou o alerta é a do financeiro em fechamento de mês. Contexto é trabalho humano, e é ele que separa incidente de falso positivo. Automação encurta o tempo entre sinal e ação, mas quem define o que pode ser automatizado e com que trilha de auditoria é a governança. Inteligência artificial sem governança em segurança não é eficiência, é risco novo com velocidade maior.
SOC próprio, SOC gerenciado e SOC híbrido: qual modelo fecha a conta para uma PME
SOC próprio: controle total, custo de folha
Montar a operação internamente entrega controle total e contexto de negócio dentro de casa. O custo é integral: infraestrutura, licenciamento e pessoal, com a dificuldade real de contratar e reter analista de segurança. Serve a quem tem escala, dado altamente regulado e time dedicado que já existe.
SOC gerenciado: operação de terceiro, escala compartilhada
A operação de detecção e resposta é transferida para um provedor especializado, com custo previsível e escala compartilhada. A própria Microsoft aponta esse modelo como o de melhor relação custo-eficiência para organizações menores: o plantão 24×7, o processo e a senioridade já existem e são rateados. Serve a quem precisa de cobertura contínua e não tem, nem vai ter, time próprio.
SOC híbrido: o time interno governa, o parceiro opera
O time interno mantém governança, contexto e decisão sobre ações de impacto, e o parceiro assume monitoramento e primeira resposta. É o formato mais comum em empresas que já têm um coordenador de TI competente e não querem perdê-lo dentro de uma fila de alerta. O TI interno deixa de ser bombeiro e volta para projeto.
A conta que quase ninguém faz: a matemática do plantão 24×7
Cobertura contínua não é uma pessoa disponível no celular. São turnos, revezamento, férias e substituição. Manter olhos qualificados sobre o ambiente em todas as horas do ano exige mais gente do que qualquer empresa projeta na primeira planilha, e o custo real aparece no segundo ano, quando o analista pede demissão e leva o conhecimento junto.
Por isso o critério de escolha não é headcount. São três variáveis combinadas: superfície de exposição, exigência regulatória ou contratual e capacidade real de sustentar plantão.
Os sinais objetivos de que sua empresa precisa de um SOC gerenciado
Nem toda empresa precisa. Uma operação de doze pessoas, sem dado regulado e sem exigência contratual, precisa de higiene básica de identidade, não de SOC. A lista abaixo separa esse caso dos demais.
1. Incidente sem dono
Aconteceu algo estranho, três pessoas ficaram sabendo, ninguém foi formalmente responsável por investigar e nunca houve fechamento. Isso revela ausência de propriedade de incidente. O impacto é o pior possível: a empresa não sabe se aquilo terminou. Um incidente sem conclusão registrada continua aberto, mesmo que todos tenham parado de falar dele.
2. Alerta que ninguém tria
O console notifica, a caixa de e-mail recebe, e a regra tácita da equipe virou ignorar. Isso é fadiga de alerta somada à ausência de camada de triagem. O alerta verdadeiro chega junto com os falsos e recebe o mesmo destino, que é nenhum.
3. TI sem plantão fora do horário comercial
Ataque não respeita expediente. A maior janela de exposição é noite, fim de semana e feriado, justamente quando a cobertura é descontínua. Um comprometimento iniciado na sexta à noite tem até segunda de manhã para escalar privilégio, se espalhar e preparar a extração de dado sem resistência.
4. Log que existe, mas ninguém lê
Há retenção contratada, o custo aparece na fatura todo mês e nunca houve uma consulta. Isso é armazenamento sem capacidade de investigação. O impacto aparece no pior momento: na hora de reconstruir a linha do tempo, o dado existe e não há quem saiba extrair e interpretar.
5. Exigência de cliente, auditoria ou seguradora
Um contrato grande passou a pedir evidência de monitoramento contínuo. A apólice cyber começou a questionar controles. O comercial recebeu um questionário de segurança de quarenta perguntas. Isso revela que a segurança saiu do domínio técnico e entrou no comercial. Sem operação, perde-se contrato ou paga-se prêmio maior.
6. Adequação à LGPD e o relógio de três dias úteis da ANPD
Pela Resolução CD/ANPD nº 15/2024, que regulamenta o artigo 48 da LGPD, o controlador tem três dias úteis para comunicar à ANPD e aos titulares um incidente que acarrete risco ou dano relevante, contados do conhecimento de que ele afetou dados pessoais. A comunicação precisa descrever natureza e categorias dos dados afetados, medidas técnicas empregadas, riscos, impactos, mitigação e data de conhecimento.
O relógio começa quando você descobre, e para preencher esse formulário você precisa de log, linha do tempo e evidência. Empresa sem operação de detecção não descobre e, quando descobre, não reconstrói o que aconteceu. O risco deixa de ser técnico e vira jurídico. A adequação à LGPD sem capacidade de detecção é documento, não controle.
7. O teste final: você sabe em quanto tempo detectaria?
Se ninguém consegue responder em quanto tempo perceberíamos que alguém entrou, a resposta prática já foi dada: não perceberíamos. Esse sinal resume todos os anteriores e não exige auditoria nem ferramenta. Exige uma pergunta feita em voz alta na reunião certa.
O que custa não ter: tempo de detecção, tempo de contenção e exposição regulatória
A janela entre o comprometimento e a contenção
Segundo o Cost of a Data Breach Report 2025 da IBM, o ciclo de vida médio global de uma violação, da identificação à contenção, foi de 241 dias. Organizações que usam inteligência artificial e automação de forma extensiva na operação de segurança reduziram esse ciclo em 80 dias e economizaram em média US$ 1,9 milhão. As que detectaram a violação internamente economizaram cerca de US$ 900 mil frente àquelas cuja violação foi divulgada pelo próprio atacante.
A diferença não está em ter sido atacado ou não, está em quem descobriu primeiro. Sem operação de detecção, quem descobre é o atacante, no momento em que ele decide avisar você.
O custo regulatório e reputacional
O Microsoft Digital Defense Report 2025 aponta que pelo menos 52% dos ataques com motivação conhecida foram movidos por extorsão ou ransomware, e que em 80% dos incidentes investigados houve tentativa de extração de dado. Mais de 97% dos ataques a identidade são ataques a senha.
O vetor dominante não é sofisticado, é volumétrico. Duas leituras saem daí: boa parte do controle básico já está no que a empresa licencia e não foi ativada; e, se o adversário quer extrair dado e cobrar por ele, a exposição regulatória e reputacional vira consequência automática do incidente.
O custo operacional invisível
Cada hora do time de TI lendo alerta que não vira nada é hora que não foi para projeto. Cada alerta real perdido no ruído é um incidente tratado mais tarde e mais caro. Fadiga de alerta não aparece na planilha, aparece no roadmap que nunca anda.
Um SOC gerenciado não promete que você não será atacado. Ele encurta a distância entre o momento em que algo acontece e o momento em que alguém age. É essa distância, não o firewall, que determina se o episódio será um chamado ou uma crise.
Como a Qualiserve trata segurança gerenciada
A Qualiserve opera NOC próprio com mais de 20.000 dispositivos monitorados. Sustentar operação contínua nessa escala é disciplina de turno, processo e gente, não promessa comercial. Em 2019 conduzimos, dentro de casa, a virada de break-fix para serviços gerenciados: não pedimos ao cliente uma mudança de modelo que nós mesmos não fizemos.
A base técnica é a stack Microsoft de ponta a ponta: Defender, Sentinel, Entra ID, Purview, Intune, Zero Trust e adequação à LGPD. Sobre operação sob pressão, entre 2014 e 2015 conduzimos o monitoramento com inteligência preditiva do Metrô de São Paulo e da CPTM, com gestão de crise para 4 milhões de usuários por dia no período dos Black Blocs. Monitoramento com consequência pública imediata explica por que uma sala de operação não pode ter horário.
A Qualiserve é ISG Rising Star 2025, tem cases publicados pela própria Microsoft e atende clientes como o Demarest, um dos maiores escritórios de advocacia do Brasil. Jurídico é setor com exposição severa a vazamento de dado de cliente, e é onde a diferença entre ferramenta e operação fica mais cara.
Perguntas frequentes sobre SOC gerenciado
O que é SOC gerenciado, em uma frase?
É a operação de monitoramento, detecção e resposta a incidentes entregue como serviço contínuo por um parceiro especializado, combinando pessoas, processo e tecnologia.
Qual a diferença entre SOC e NOC?
O NOC cuida de disponibilidade e desempenho. O SOC cuida de comprometimento e ameaça. Operações distintas, com métricas e profissionais diferentes.
SOC gerenciado é a mesma coisa que antivírus e firewall?
Não. Antivírus e firewall são controles. O SOC é quem observa o que esses controles reportam, decide o que é relevante e age.
Minha empresa tem 60 funcionários. É grande o suficiente para precisar de um SOC?
O critério não é headcount. É superfície de exposição, exigência regulatória ou contratual e capacidade de manter plantão. Uma empresa de 60 pessoas que trata dado de saúde ou de cliente jurídico precisa. Uma de 200 sem dado sensível e sem exigência externa talvez ainda não.
Já tenho licença Microsoft com Defender. Não basta?
A licença entrega a plataforma. Não entrega quem configura, quem lê o que ela gera e quem responde às três da manhã.
Quanto tempo leva para um SOC gerenciado começar a operar?
Depende do estado do ambiente e do inventário de fontes de dado. O ponto de partida honesto é um assessment que mapeia o que já existe, o que está pago e não ligado, e onde estão os pontos cegos.
SOC gerenciado substitui meu time de TI?
Não. No desenho híbrido, o time interno mantém contexto e decisão, e o parceiro assume plantão e triagem.
Como o SOC gerenciado ajuda na LGPD?
Detecção e registro de evidência são o que permite cumprir o prazo de três dias úteis de comunicação à ANPD com informação real, e não com estimativa.
O próximo passo é diagnóstico, não orçamento
Antes de contratar operação, vale saber o que você já tem ligado. O assessment de segurança da Qualiserve mapeia o ambiente, as fontes de sinal disponíveis e as lacunas de detecção, e devolve um diagnóstico, não um orçamento.
Fale com nosso time pelo formulário ou pelo WhatsApp 11 4941-1500, e conheça a página de monitoramento de segurança e o portfólio de serviços gerenciados.
