Um SOC, ou centro de operações de segurança, monitora o ambiente continuamente, detecta sinais de ataque, investiga e responde. Montar um SOC interno costuma fazer sentido para empresas grandes, com ambiente complexo e orçamento para equipe 24x7. Para a maioria das demais, o terceirizado ou o híbrido são mais viáveis.
Além de quem opera, a pergunta que define a qualidade do SOC é se alguém age quando o alerta dispara.
O que um SOC faz
Um SOC tem quatro trabalhos. Coletar os registros de servidores, estações, nuvem, aplicações e rede numa plataforma central. Detectar o que é suspeito no meio de milhões de eventos normais. Investigar para separar falso positivo de ataque real. E responder, contendo, acionando quem precisa ser acionado e acompanhando a correção.
Muitas operações chamadas de SOC fazem bem a coleta e a detecção e param na investigação. O alerta é gerado, mas ninguém o trata a tempo.
Quanto pesa a cobertura 24x7
O maior custo de um SOC interno está nas pessoas. Cobrir uma única posição 24 horas por dia, sete dias por semana, exige cerca de cinco profissionais, considerando turnos, folgas, férias e afastamentos. E um SOC precisa de mais de uma posição: triagem, investigação, engenharia de detecção e gestão.
Soma-se a isso a dificuldade de contratar e reter analistas e a fadiga de quem passa a madrugada analisando alertas, que aumenta a chance de um alerta real ser classificado como ruído.
Interno, terceirizado ou híbrido
No modelo interno, o time próprio opera, com custo mais alto e majoritariamente fixo, prazo longo até operar e alto conhecimento do negócio. No terceirizado, um parceiro especializado opera, com custo menor e previsível, início rápido e visão de ameaças observadas em vários clientes.
No híbrido, o parceiro opera e o time interno decide, combinando escala com contexto de negócio. É o modelo que atende a maioria das empresas que já têm algum time de segurança.
O que os testes mostram sobre detecção
No Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações, a maturidade média na função detectar ficou em 1,82 numa escala de 0 a 5, e o impacto médio dos ataques simulados foi 8,28 em 10. A maioria das empresas tem ferramenta de detecção, e mesmo assim o adversário simulado avança muito antes de ser contido. O gargalo costuma estar na operação em torno do sensor.
O M-Trends 2026, do Google Cloud, reforça esse ponto: o tempo mediano de permanência de invasores antes da detecção subiu para 14 dias em 2025, e chegou a 122 dias em casos de espionagem. O relatório também alerta que políticas de retenção de registros de 90 dias deixam as empresas sem visibilidade sobre intrusões longas.
Considere uma empresa fictícia com plataforma de monitoramento e um analista em horário comercial. Às 3h12 de um sábado, a plataforma registra um login administrativo de um país onde a empresa não opera, seguido da criação de uma conta. Na segunda-feira, o alerta está entre 340 outros, e o atacante teve 54 horas.
Perguntas antes de contratar um SOC
Algumas perguntas ajudam a comparar fornecedores:
- Fora do horário: quem age num alerta crítico de madrugada, e em quanto tempo?
- Resposta: o serviço investiga e responde, ou apenas encaminha o alerta?
- Regras: quem ajusta a detecção ao ambiente, e com que frequência?
- Retenção: por quanto tempo os registros ficam guardados, e isso atende a regulação?
- Indicadores: tempo de detecção e de resposta estão no relatório?
- Fora do perímetro: o monitoramento inclui credenciais vazadas e menções à empresa?
- Escala: como a cobrança muda quando o volume de dados cresce?
Há também uma questão de governança: quem opera o SOC não deveria ser quem testa se ele funciona, como explica o artigo sobre como escolher uma empresa de pentest.
SOC híbrido com automação e especialistas
No SOC Vultus by Google SecOps, a automação cobre as 24 horas com detecção, triagem e resposta imediata para padrões conhecidos, e especialistas fazem a investigação e a gestão dos incidentes críticos. Conheça o SOC Vultus by Google SecOps e leia sobre monitoramento da dark web.
