SOC: gestão e operação estratégica da segurança da informação

O que é um SOC e por que ele existe - Apresentação

Apresentando o instrutor e realizando a audiodescrição

Olá! Meu nome é Rodrigo da Silva Ferreira Caneppele, é um prazer ter você aqui comigo. Eu venho para trazer conhecimento sobre o SOC e a importância desse centro dentro da segurança da informação.

Audiodescrição: Rodrigo da Silva Ferreira Caneppele é um homem branco, de cabelo castanho muito curto e olhos castanhos. Ao fundo, há uma luz azul. Ele veste uma camisa polo cinza.

Definindo o SOC e contextualizando objetivos e credenciais

O SOC (Security Operations Center, Centro de Operações de Segurança) é o monitoramento centralizado de toda a segurança de uma empresa; é o coração pulsante da segurança e da defesa da informação dessa organização. Ele existe para monitorar continuamente as operações de segurança e garantir que os processos de proteção da informação sejam executados.

E o que me credencia para compartilhar estas informações? Eu tenho formação ampla em tecnologia da informação, quatro pós-graduações, certificações na área e 25 anos de carreira em TI, sendo os últimos seis dedicados à segurança. Atualmente, trabalho em um SOC, o que me respalda para oferecer uma visão concreta sobre o funcionamento desse ambiente.

Nosso objetivo agora é apresentar as ferramentas utilizadas em um SOC, quais são as principais métricas, quem são as pessoas e os agentes que atuam nesse contexto, por que um SOC precisa operar 24 horas por dia e o que isso implica em termos de tempo e operação. Nós também vamos destacar a importância do SOC e a razão de sua existência.

Detalhando o papel do SOC e diferenciando prioridades de segurança

O SOC é a linha de frente da segurança. É um centro de monitoramento completo, com várias ferramentas operando simultaneamente para assegurar as operações. Ele existe porque as ameaças cresceram muito e rapidamente, e precisamos monitorá-las para que não afetem a empresa. O resultado é visibilidade contínua de todo o contexto, com rapidez, protegendo as informações. Cada tipo de evento e cada tipo de empresa precisa garantir esse nível de proteção — seja uma organização de saúde, uma indústria ou uma instituição financeira —, existindo abordagens que convergem para manter a segurança.

Quando tratamos de informação na área de tecnologia da informação, o foco é proteger a confidencialidade. Nas indústrias, é essencial proteger a disponibilidade da informação para que ela possa circular. O que queremos dizer com isso? O IoT (Internet das Coisas) cresceu muito nas operações, principalmente na Indústria 4.0, e, nesse contexto, precisamos garantir a disponibilidade dos equipamentos em funcionamento. Em tecnologia da informação, é necessário garantir a forma legal de acesso à informação e como ela será mantida, observando a LGPD e o Marco Civil da Internet, assegurando a proteção de dados sensíveis. Na parte industrial, a prioridade é a disponibilidade.

Exemplificando aplicações críticas e antecipando a estratégia do SOC

Pensemos também no setor de saúde. Imagine uma cirurgia remota em que uma pessoa profissional de saúde na Noruega opera uma pessoa paciente no Brasil por meio de câmera e acesso à Internet — algo possível hoje. O que a segurança da informação tem a ver com isso? Precisa garantir que a pessoa profissional visualize todos os órgãos da pessoa paciente e realize a cirurgia com sucesso, protegendo a conexão e a conectividade. Em outras palavras, a segurança da informação está garantindo a saúde de uma pessoa.

Isso envolve ainda transações bancárias e o funcionamento da própria indústria. Diante de tudo isso, o SOC é a linha de frente para a resposta a qualquer incidente ou alerta que precise ser tratado. No próximo vídeo, vamos apresentar a estratégia do SOC: por que ele existe, qual é sua função e quais pontos ele vai entregar.

O que é um SOC e por que ele existe - Função estratégica do SOC

Apresentando a estratégia do SOC

Que bom ter você de volta. Vamos seguir falando sobre o SOC.

No vídeo anterior, nós explicamos o que é o SOC e por que ele existe. Neste vídeo, nós vamos apresentar a estratégia do SOC. Sendo estratégico dentro da organização, o SOC precisa assumir uma função que gere valor para a empresa. Para isso, deve se posicionar muito bem, pois precisa garantir que os processos da organização sejam concluídos. Dessa forma, o SOC entra como um ativo estratégico para a empresa, pois assegura a conclusão das transações do negócio.

Definindo o negócio e exemplificando setores

Quando falarmos de “negócio” aqui, estamos nos referindo à natureza da empresa: com o que ela trabalha e como opera. Exemplos:

• Comércio varejista.
• Saúde (clínicas e hospitais).
• Finanças (bancos e instituições financeiras).
• Indústrias.
• Empresas de primeira necessidade, como companhias de energia elétrica e de água.

Todas essas operações utilizam tecnologia da informação e, na maioria dos casos, comunicam-se com a internet. Isso exige que a segurança da informação aumente continuamente, para proteger e defender os ativos da empresa, que hoje são os dados, o prestígio e, muitas vezes, o próprio nome da organização. O SOC será estratégico nesses cenários. Por exemplo, no varejo, é essencial manter o site no ar o tempo todo para que os produtos sejam vendidos. Pense na própria Black Friday (sexta-feira de descontos): se o site de um grande varejista ficar fora do ar por duas horas, quanto em vendas se perderia? Por isso, o SOC entra como um ativo estratégico para garantir as transações do negócio.

Estruturando o SOC em níveis operacional, tático e estratégico

Onde o SOC se encaixa? Trabalhamos com três níveis: operacional, tático e estratégico.

• Nível operacional: é a primeira linha (nível 1), responsável pelo monitoramento 24/7 (24 horas por dia, 7 dias por semana), com revezamento de turnos para triagem de alertas, atendimento a incidentes e realização de investigações. Esse é o dia a dia do SOC.

• Nível tático: envolve threat hunting (caça a ameaças), análise de tendências e ajuste das ferramentas. O que significa ajustar? É calibrar as ferramentas. Por que precisamos desse ajuste? Se deixarmos a busca de ameaças em um nível muito alto, surgirão muitos falsos positivos, gerando sobrecarga no time operacional, que passará a tratar incidentes que, na realidade, não são incidentes verdadeiros. Há, inclusive, casos em que o uso de Inteligência Artificial em alguns EDRs (Endpoint Detection and Response — Detecção e Resposta em Endpoints) é caracterizado como malware (software malicioso) muito semelhante a ransomware (sequestro de dados) pelo seu comportamento. Imagine uma empresa que desenvolve software: se pessoas desenvolvedoras utilizam IA o tempo todo, o ambiente pode disparar falsos positivos constantemente. Precisamos calibrar o EDR para que não identifique esse tipo de operação, esse tipo de API (Interface de Programação de Aplicações), como falso positivo. Para quê? Para não sobrecarregar o ambiente e permitir que os alertas realmente importantes sejam emitidos quando existir uma ameaça real. Esse é o papel do nível tático.

• Nível estratégico: aqui nós metrificamos o SOC e o alinhamos ao risco do negócio. Precisamos medir o quanto devemos ser eficientes e eficazes, relacionando custos e valor entregue ao negócio. Isso inclui indicadores, metas e análises de custo-benefício para sustentar as decisões estratégicas.

Detalhando as responsabilidades centrais do SOC

Quais são as responsabilidades centrais do SOC? Precisamos assegurar:

• Monitoramento contínuo.
• Detecção de ameaças.
• Relatórios de conformidade.
• Resposta a incidentes.

Monitoramento contínuo: vamos monitorar todo o sistema de informação da empresa 24/7. Por que 24/7? Porque segurança não dorme. Se a segurança “dorme” na entrada, a ameaça entra. Muitas ações maliciosas ocorrem no período noturno. Se o computador fica ligado durante a noite e ocorre uma infecção por algum malware (software malicioso), o invasor tentará monitorar ou movimentar-se no equipamento quando ele não está em uso. Se perceber ausência de atividade, com o computador apenas ligado, pode realizar mudanças e modificações sem que isso seja notado. Um invasor real normalmente ataca no período noturno, quando servidores estão no ar, o tráfego está mais tranquilo e há menos pessoas observando. Por isso, o monitoramento deve ser 24/7.

Detecção de ameaças: além das ferramentas e dispositivos, precisamos do senso crítico do analista, capaz de reconhecer mudanças drásticas em alguma operação. Em segurança, é essencial conhecer o ambiente que vamos proteger: quais ferramentas são usadas, quais processos existem e como são executados. Precisamos entender a dinâmica do negócio e como a empresa funciona. Muitas vezes, uma ferramenta pode não detectar uma ameaça, mas, conhecendo o sistema e observando no monitoramento um pico de tráfego em um horário em que isso não é normal, identificamos que algo está errado e iniciamos a investigação. Portanto, além das ferramentas, o SOC precisa da sensibilidade da pessoa analista que observa continuamente o estado do monitoramento e a informação que circula na empresa.

Resposta a incidentes: compreende contenção, erradicação e recuperação. Para isso, precisamos de processos bem desenhados, que permitam atuar com precisão e rapidez, porque tempo é dinheiro. Quanto mais tempo um incidente permanecer aberto sem ação, mais dinheiro, informação e produtividade se perdem. O SOC deve estar preparado para diferentes tipos de incidentes. Sabemos que é difícil prever todas as possibilidades, mas há categorias conhecidas; por isso, é fundamental preparar-se para elas e estar o mais pronto possível. Além de tudo, fazer o básico já traz grande benefício: seguir normas, manter linhas de base e tratar vulnerabilidades contribui para a proteção do ambiente.

Relatórios de conformidade e aprendizado contínuo: precisamos gerar evidências para auditorias, reguladores e para o aprendizado organizacional. Após cada incidente, é necessário produzir um relatório com as lições aprendidas. Se, no futuro, ocorrer um ataque semelhante, já saberemos quais ações tomar e poderemos agir muito mais rapidamente.

Identificando as partes interessadas do SOC

Quem são as partes interessadas que o SOC atende — os stakeholders (partes interessadas)?

• CISO — Chief Information Security Officer (Diretor de Segurança da Informação): precisa de visibilidade do risco corporativo. O que a empresa pode perder em caso de vazamento de informação ou sabotagem no ambiente produtivo? É necessário quantificar e ter essa visão.

• TI/Infraestrutura: precisa conhecer os incidentes para dar suporte e fornecer apoio técnico à equipe de segurança. Muitas ações do SOC são repassadas para a equipe de infraestrutura, que assume o que é de sua responsabilidade, sob a orientação do SOC.

• Jurídico e Compliance (conformidade): fornece as evidências forenses e regulatórias de que o SOC precisa. Em caso de vazamento de dados, por exemplo, quando a LGPD exige comunicação, o DPO — Data Protection Officer (Encarregado de Proteção de Dados) — deve apresentar um relatório documentando o ocorrido: o que a empresa fez para conter e erradicar o incidente, qual foi o tratamento aplicado e quais evidências foram coletadas. O SOC atua nesse ponto em conjunto com Jurídico e Compliance (conformidade).

• Conselho de Administração/Diretoria: precisa das métricas de exposição, da avaliação de maturidade do SOC, de como o time está atuando e garantindo os processos da empresa. É essencial apresentar métricas ou KPIs (Indicadores-Chave de Desempenho) dessa operação.

• O negócio: precisa da continuidade operacional garantida, assegurada pelo SOC no âmbito de Segurança da Informação, para que a empresa continue cumprindo sua função — seja no varejo, na saúde, na indústria, nas finanças etc.

Metrificando a eficiência do SOC

Quais métricas importam para o negócio? No contexto de um Security Operations Center (SOC, Centro de Operações de Segurança), consideramos algumas métricas principais: MTTD, MTTR e SLA.

O MTTD (mean time to detect, tempo médio para detectar) é o tempo de detecção de um alerta, por exemplo, de qualquer malware. Em outras palavras, quanto tempo levou para detectarmos esse alerta. Isso é muito importante.

O MTTR (mean time to respond, tempo médio para responder) é o tempo de resposta. Depois de detectar, quanto tempo levamos para responder e conter esse alerta. Esse indicador é extremamente necessário para medir a eficiência e a eficácia do SOC.

O SLA (Service Level Agreement, Acordo de Nível de Serviço) refere-se ao cumprimento dos níveis de serviço do negócio: em quanto tempo podemos atender. Em contratos e práticas de ITIL®, fala-se bastante de SLA — quanto foi negociado para tratar um alerta ou um incidente e para realizar esse atendimento. Por exemplo, um alerta simples de malware identificado por EDR (Endpoint Detection and Response, Detecção e Resposta em Endpoints) pode ter um nível de SLA de 30 minutos. Nesse caso, temos 30 minutos para responder a um incidente detectado por EDR. Precisamos cumprir esse SLA, documentá-lo, registrá-lo em relatório e medi-lo, para então entregá-lo por meio dessas métricas.

Descrevendo o ciclo de vida e a maturidade do SOC

No SOC, consideramos o ciclo de vida de um incidente. O incidente tem um ciclo de vida composto por cinco itens que devem existir em um incidente de segurança: preparar; detectar; analisar; conter e erradicar; recuperar e aprender. Precisamos estar preparados, detectar o incidente o quanto antes, analisar para tomar as ações, conter e erradicar (eliminar o problema) e, por fim, recuperar o ambiente e trazer as lições aprendidas: o que foi feito durante o incidente, o que foi esse incidente e o que o causou. Tudo isso gera aprendizado e deve ser compartilhado com outras pessoas que trabalham dentro do SOC.

Podemos caracterizar um SOC como fraco ou forte. Um SOC fraco costuma aparecer quando estamos iniciando e precisamos ganhar nível de maturidade. Nessa fase, ele tende a ser muito reativo, “apaga incêndios”, carece de contexto do negócio, apresenta alta taxa de falsos positivos e não possui métricas claras. Portanto, precisa ser organizado, gerido e dividido em três níveis, como dissemos no começo da aula: a parte operacional, a parte tática e a parte estratégica. Somente assim fortalecemos o SOC.

Um SOC forte será proativo, orientado ao risco e alinhado com as prioridades do negócio. As prioridades de um negócio de saúde, de uma indústria ou do comércio são diferentes, e o SOC precisa ter essa visão estratégica e essa direção, alinhando-se ao que a empresa necessita. Além disso, apresentará processos mais maduros, alguns já automatizados, e os KPIs (Key Performance Indicators, Indicadores-Chave de Desempenho) serão visíveis para a direção. Líderes saberão o que está acontecendo, o conselho saberá o que está acontecendo e o CISO terá visibilidade total do SOC. Um SOC forte entrega tudo isso.

Apoiando conformidade e encerrando a aula

Por fim, o SOC apoia regulação e conformidade. Normas como a LGPD, ISO/IEC 27001, PCI DSS e a Resolução CMN 4.658 do BACEN exigem controles de monitoramento e resposta a incidentes. Existem outras práticas também dentro do NIST e o próprio relatório SOC 2, que define como um SOC deve funcionar e como implementar o tratamento de incidentes dentro do SOC. São formas de apresentar informações, a governança do SOC e o cumprimento das regulações. A ISO/IEC 27001 e o PCI DSS são marcos que fornecem padrões de como trabalhar com segurança da informação, e a LGPD é uma lei que deve ser seguida, assim como o GDPR, entre outras. Portanto, o SOC precisa atender às normatizações na seguinte ordem: primeiro, a legislação; depois, normas e marcos; e, por último, a governança dentro da empresa.

Espero que você tenha gostado desta parte estratégica do SOC, sobre como funciona. Nos vemos na próxima aula.

O que é um SOC e por que ele existe - Modelos de SOC

Introduzindo os modelos de SOC

Que bom ter você aqui comigo novamente.

Na aula de hoje, vamos falar sobre modelos de SOC. Por onde começar com o SOC? Quais atribuições devemos considerar para implantar um modelo de SOC dentro da empresa?

Definindo critérios e opções de SOC

Primeiro, devemos pensar no modelo de negócio que temos e também em quanto dinheiro para investimento essa empresa possui para aplicar em um SOC. Trazemos aqui qual modelo de SOC podemos implementar, desenhar ou propor para que uma empresa utilize.

Temos três caminhos a seguir. Podemos optar pelo SOC interno, no qual vamos requerer toda uma equipe própria, pessoas profissionais contratadas pela empresa para gerir um SOC 100% próprio, com as ferramentas, com as pessoas e com todo o ambiente, tudo de forma interna, sem terceiros. Temos o modelo terceirizado, que é o MSSP, um provedor externo especializado exclusivamente em SOC, que implantará seu modelo — o que já opera com outros clientes —, trará um modelo próprio para a empresa e implementará a parte de monitoramento e segurança no Centro de Operações da companhia. Por fim, temos o modelo híbrido. O modelo híbrido combina a parte do modelo interno com a parte do modelo terceirizado e une o melhor de ambos para obter melhor desempenho, melhor entrega e cumprimento de conformidade (compliance) com os frameworks (estruturas) e com a legislação de segurança, além de trazer os melhores processos de segurança para dentro da empresa.

Analisando o SOC interno

No SOC interno, quais vantagens e desvantagens temos? Como vantagens, há maior controle sobre os processos realizados e conhecimento profundo do ambiente, no qual toda a equipe conhecerá essa parte. Os contatos são mais rápidos, há maior agilidade dentro da infraestrutura. Frequentemente, fazemos parte do comitê de segurança junto com a equipe de infraestrutura e com a equipe de desenvolvimento. Assim, a equipe de SOC está mais próxima dos processos de negócio, conhece mais as aplicações utilizadas, os modelos necessários e quais tipos de alertas podem ser acionados. Com isso, já existe um desenho muito mais aprofundado e conhecido de todo esse ambiente computacional que precisa ser protegido.

Além disso, há integração direta com as equipes: a equipe de segurança tem contato direto com a equipe de infraestrutura, com a gestão de projetos e com a equipe de desenvolvimento. Com isso, as coisas se tornam mais fáceis; o atendimento a incidentes é mais rápido e ágil; a aplicação de patches (correções) e correções de vulnerabilidades são mais precisas e mais rápidas; e as equipes se coordenam com muito mais agilidade.

Entretanto, também temos limitações. Quais são essas limitações do SOC interno? O custo de implementação é alto; as ferramentas são caras, e é necessário dispor de ferramentas apropriadas para o modelo de negócio, a fim de atender da melhor forma, com um custo operacional razoável, mas que costuma ser elevado para a empresa assumir sozinha. Também é difícil cobrir 24/7; manter pessoas profissionais 24 horas por dia, 7 dias por semana, em turnos, para administrar e controlar incidentes. Muitas vezes, por não haver orçamento para investir nessas pessoas, contrata-se menos profissionais para cobrir plantões fora do horário, mas então o SOC fica defasado, o que é um risco, porque, como já dissemos, muitas vezes o atacante atua à noite. Se deixarmos descoberto o turno noturno, sem ninguém monitorando, isso pode ser um problema. Além disso, a retenção de talentos de segurança é um desafio constante: pessoas profissionais de segurança hoje estão muito valorizadas, então é necessário realizar um trabalho de retenção e oferecer desenvolvimento. É difícil manter essas pessoas, que conhecem o ambiente e todo o modelo de segurança e contribuem para o crescimento e a melhoria contínua do modelo. Daí a importância da retenção, que às vezes se torna algo complexo.

Qual é o custo real de um SOC interno? Vamos precisar de pelo menos de 6 a 10 profissionais para trabalhar 24/7, com redundância mínima para atendimento; aproximadamente um milhão de reais de custo anual estimado, em média, com pessoas, ferramentas, infraestrutura, treinamento etc., além de lidarmos com o tempo de maturação. O que queremos dizer com tempo de maturação? Para que esse SOC evolua e seja suficientemente maduro para atender incidentes e gerenciar alertas de forma orgânica, com as ferramentas apropriadas, no qual todas as pessoas profissionais estejam familiarizadas com essas ferramentas e possam extrair o máximo possível delas, gerar relatórios, mostrar tendências e continuar evoluindo a segurança. Há, pelo menos, em média, 12 meses de maturação, às vezes mais, dependendo da empresa. Esses são os desafios para um SOC interno.

Explorando o SOC terceirizado (MSSP)

Agora, vamos falar um pouco sobre o SOC terceirizado, o MSSP. Quais são suas vantagens? Tem implantação rápida e custo previsível. Não afirmaremos que seja de baixo custo; talvez não seja, mas sabemos quanto vamos gastar. Nesse modelo, já estão incluídas as ferramentas e as pessoas profissionais necessárias para nos atender.

Vantagens e desvantagens do MSSP

Contaremos com uma equipe especializada e certificada, que já conhece o mercado na área de segurança, e com cobertura 24/7 sem necessidade de headcount (quantidade de pessoal) interno. Não precisaremos nos preocupar com profissionais dentro da empresa; os profissionais são externos, de uma consultoria que trará as soluções e não deixará o ambiente descoberto.

Porém, nem tudo é vantajoso; existem desvantagens. A primeira é a menor visibilidade e o menor controle. Normalmente, esses profissionais da consultoria não conhecem todo o ambiente da empresa e não sabem exatamente como os processos funcionam.

Teremos também grande dependência do fornecedor. Quando precisarmos de uma avaliação de segurança, teremos de solicitar a esse fornecedor. Se ocorrer um incidente, será necessário exigir um relatório. Se houver muitos falsos positivos, devemos exigir o relatório e entender por que há tantas ocorrências, por que há tantos falsos positivos e o que precisamos fazer do nosso lado para melhorar esse índice.

Além disso, o conhecimento do ambiente costuma ser superficial. No máximo, saberão que a empresa tem um ambiente em nuvem na AWS, Google Cloud ou Azure, que utiliza Kubernetes, tem certo conjunto de softwares, determinado número de pessoas e de máquinas. É um entendimento superficial, que não aprofunda nos processos, o que pode ser uma deficiência na entrega de serviços de segurança.

Combinando modelos no SOC híbrido

SOC híbrido: o melhor de ambos os mundos

No SOC (Centro de Operações de Segurança) híbrido, combinamos o melhor dos dois modelos. É uma equipe que atende aos contextos de decisões críticas, enquanto o MSSP complementa com cobertura, tecnologia, inteligência de ameaças e exploração de ambientes, aportando a parte técnica com o MSSP e a parte estratégica do negócio.

Com o SOC híbrido, podemos trazer pessoas da área de segurança orgânica da empresa, com documentação, governança, gestão de processos e compreensão do ambiente, que também entendam o que acontece no SOC para atuar como elo e melhorar o ambiente. O MSSP entrega de fato tecnologia, monitoramento e resposta a incidentes, o que favorece o sucesso do SOC.

Comparando modelos de SOC

Tabela comparativa: SOC interno vs MSSP vs híbrido

Apresentamos uma tabela comparativa entre SOC interno, MSSP e modelo híbrido, com os seguintes critérios: controle, custo inicial, velocidade de implantação, cobertura 24/7 e conhecimento do ambiente.

• SOC interno:

  • Controle: alto.
  • Custo inicial: muito alto.
  • Velocidade de implantação: lenta; é uma dificuldade real.
  • Cobertura 24/7: complicada por questões de legislação e outros fatores.
  • Conhecimento do ambiente: muito alto, um dos pontos-chave do SOC interno.

• MSSP:

  • Controle: baixo.
  • Custo inicial: baixo.
  • Velocidade de implantação: muito rápida, pois o time já conhece e sabe como um SOC funciona.
  • Cobertura 24/7: nativa, prevista em contrato.
  • Conhecimento do ambiente: muito baixo; é necessário contar com profissionais que façam a ponte com o SOC.

• Modelo híbrido:

  • Controle: de médio a alto.
  • Custo inicial: médio.
  • Velocidade de implantação: média.
  • Cobertura 24/7: nativa, pois há um MSSP trabalhando em conjunto.
  • Conhecimento do ambiente: alto, pela atuação de profissionais de ambas as áreas para oferecer a melhor entrega do SOC.

Orientando a escolha do modelo

Como escolher o modelo correto?

A escolha depende do tamanho do orçamento, do que precisamos proteger, do nível de regulação a cumprir e da maturidade atual da empresa em relação à segurança da informação. Muitas vezes, a empresa não tem maturidade alguma e decide implantar o SOC imediatamente, mas ainda utiliza Windows XP e Linux desatualizado. Para implantar o SOC, a companhia precisa de certo nível de maturidade em segurança da informação, tanto no ambiente quanto entre as pessoas usuárias.

Apresentamos também, em um dos slides, uma árvore de decisão. Na parte superior do diagrama, temos o orçamento e o tamanho da empresa; em seguida, as ramificações contemplam, no meio, o nível de regulação necessário e o nível de maturidade. Em relação à regulação, explicamos que tipo de empresa é a sua organização e que tipo de norma o negócio precisa atender (por exemplo, saúde, finanças, etc.). Não existe uma única árvore de decisão. Esse é apenas um modelo para orientar sobre o que é necessário em termos de orçamento, regulação, maturidade e apetite de risco de cada organização.

A maioria das empresas brasileiras de médio porte começa com o MSSP e evolui para o modelo híbrido. Essa costuma ser a trajetória mais comum. Entretanto, antes de iniciar com o MSSP, é necessário contar com certo nível de maturidade em segurança.

Definindo exigências para o MSSP

O que devemos exigir do MSSP?

• Estabelecer os SLAs (Acordos de Nível de Serviço) de forma clara para detecção e resposta a incidentes.
• Ter acesso aos logs (registros) e às evidências sempre que necessário.
• Receber relatórios executivos e operacionais periódicos.
• Definir cláusulas de saída e portabilidade de dados, para garantir segurança quando a empresa prestadora encerrar o serviço e evitar vazamento de informações.

Encerrando a aula

Encerramento

No próximo vídeo, apresentaremos a diferença entre SOC (Centro de Operações de Segurança) e NOC (Centro de Operações de Rede), como se relacionam e como podem trabalhar juntos.

Agradecemos por mais uma aula!

Sobre o curso SOC: gestão e operação estratégica da segurança da informação

O curso SOC: gestão e operação estratégica da segurança da informação possui 359 minutos de vídeos, em um total de 50 atividades. Gostou? Conheça nossos outros cursos de Blue Team & SOC em Cibersegurança, ou leia nossos artigos de Cibersegurança.

Matricule-se e comece a estudar com a gente hoje! Conheça outros tópicos abordados durante o curso:

• O que é um SOC e por que ele existe