SOC como Serviço ou Interno? Guia para PMEs em 2026
Um SOC interno, um serviço gerido e um modelo híbrido podem apoiar a segurança de uma PME. A escolha depende de quem consegue acompanhar os sinais, tomar decisões e responder aos incidentes no horário necessário. O nome do modelo não garante cobertura permanente, menor custo ou conformidade.
Começar pelas necessidades da empresa
Liste os sistemas críticos, as fontes de eventos disponíveis e o impacto de uma interrupção. Depois identifique quem pode autorizar ações sobre contas, servidores e rede. A deteção pode ser técnica, mas uma decisão que afeta produção precisa de responsabilidade definida.
Pergunte também o que acontece numa noite, num fim de semana ou nas férias do responsável. Se precisa de intervenção humana contínua, esse requisito tem de aparecer na proposta e no plano de equipa. Não o deduza da expressão “SOC como serviço”.
O que muda em cada modelo
| Critério | Interno | Serviço gerido | Híbrido |
|---|---|---|---|
| Acompanhamento | Equipa da empresa | Âmbito contratado | Divisão explícita entre equipas |
| Autoridade para agir | Papéis internos definidos | Autorizações acordadas | Matriz de responsabilidades |
| Horário | Capacidade própria e substituições | Cobertura contratada | Continuidade entre escalas |
| Dados | Infraestrutura e acessos internos | Região e subcontratantes acordados | Fluxos e acessos partilhados controlados |
| Conhecimento do negócio | Deve ser mantido pela equipa | Precisa de ser transmitido ao fornecedor | Contexto e contactos atualizados |
| Saída | Transferência interna de funções | Exportação e transição contratadas | Handover entre intervenientes |
A tabela é um roteiro de comparação, não uma classificação de qual modelo é melhor. Um serviço limitado pode ser adequado ao risco aceite; uma equipa interna pode precisar de apoio especializado. Compare o âmbito antes de comparar o preço.
Perguntas sobre a proposta
Peça a lista das fontes incluídas e das exclusões. Confirme quem verifica os agentes, quem analisa os alertas e quem substitui essa pessoa. Distingua confirmação inicial de um alerta, investigação, contenção e recuperação. São entregas diferentes, com dependências diferentes.
Conserve os canais de escalamento e teste-os antes de precisar deles. Um contacto sem substituto ou uma autorização que ninguém pode dar fora de horas é uma lacuna do processo. A capacidade de resposta deve fazer parte da gestão de risco; o NIST SP 800-61 Rev. 3 oferece esse enquadramento.
O que está incluído na oferta base da AtalaiaSec
A oferta base prevê deteção automática contínua e triagem humana em dias úteis, das 09:00 às 18:00, hora de Lisboa. Fora desse período, os avisos automáticos ficam pendentes de validação. Vigilância humana permanente, on-call e resposta imediata fora de horas exigem um âmbito adicional ou parceiro especializado.
A empresa mantém decisões sobre impacto e ações que afetam o negócio. Contenção, forense e recuperação seguem procedimentos e autorização explícita. Os prazos e fontes constam do contrato; a página de cobertura explica a distinção entre deteção e triagem humana.
Como comparar os custos
Registe implementação, operação, ferramentas, armazenamento, retenção, canais e apoio fora de horas como parcelas separadas. No modelo interno, conte também substituição, formação e manutenção. No serviço gerido, confirme o que está incluído e o que é orçamento adicional.
Um componente aberto não elimina todos os custos nem garante ausência de licenças em qualquer edição ou utilização. Confirme os termos dos componentes e serviços propostos. A portabilidade também precisa de um procedimento: formato de exportação, regras, casos, acessos e prazo de transição.
Exemplo fictício de uma decisão
Uma PME tem uma pessoa de TI que acompanha o ambiente em dias úteis. Pode avaliar apoio gerido para recolha e triagem mantendo a autorização das ações internamente. Se um sistema crítico precisar de resposta numa madrugada, a empresa terá de contratar ou organizar essa cobertura adicional. O exemplo não demonstra que um modelo fica mais barato; mostra a dependência que deve ser resolvida antes da contratação.
O que pedir antes de assinar
Peça um inventário de fontes, uma matriz de responsabilidades, o horário, contactos de substituição e um teste de alerta. Confirme localização dos dados, retenção, acessos, exportação e eliminação. A evidência operacional pode ajudar em auditorias; não certifica automaticamente a organização nem decide a aplicabilidade de uma lei.
Se pretende comparar alternativas, peça um diagnóstico e leve estas perguntas à reunião. Veja também o âmbito da monitorização e a triagem de alertas. Revisão editorial: 10 de outubro de 2026.