Como contratar SOC e MDR em 2027: o checklist para escolher o fornecedor
Em 2027, o que separa um SOC de outro é a IA na operação, a automação, o tempo de resposta, a detecção medida no MITRE ATT&CK e testada em purple team, a visibilidade numa plataforma, a redundância física e a engenharia de detecção dedicada. O checklist, critério por critério, com as perguntas ao fornecedor.
Em resumo: Para contratar um SOC terceirizado ou um serviço de MDR (detecção e resposta gerenciadas) em 2027, a empresa define antes o escopo (IT, OT, nuvem, identidades e uso de IA), o modelo e quem pode autorizar a contenção, e compara os fornecedores pelo que mais pesa: IA na operação, automação da resposta, tempo de resposta por criticidade, capacidade de detecção, cobertura do MITRE ATT&CK medida técnica a técnica e testada em exercícios de purple team, uma plataforma em que a empresa veja alertas, postura e exposição, redundância física da operação e engenharia de detecção dedicada. No contrato, fica quem detecta, quem decide e quem age: o NIST trata a terceirização da resposta a incidentes como responsabilidade compartilhada.
O que a empresa define antes de falar com fornecedores?
O NIST CSF 2.0 pede planejamento e due diligence antes de fechar com um fornecedor (GV.SC-06) e os requisitos de segurança dentro do contrato (GV.SC-05) (NIST CSF 2.0). Para um SOC, isso começa por seis definições:
- 01 O que precisa ser coberto? Escopo Os ambientes (IT, OT, nuvem, identidades, aplicações e uso de IA) e as fontes de log que entram no monitoramento.
- 02 Quem opera e quem responde? Modelo MDR, MSSP, SOC interno ou híbrido: o comparativo MDR, MSSP ou SOC interno ajuda a decidir antes de comparar propostas.
- 03 O que já existe? Ferramentas atuais O SIEM, o EDR, o SOAR e as demais ferramentas, e se a empresa quer mantê-los.
- 04 Quem pode autorizar a contenção? Autoridade para agir Quais ações o fornecedor executa sozinho, quais pedem aprovação e quem aprova, de dia e de noite.
- 05 O que a regulação pede? Exigências do setor As regras de monitoramento e resposta do setor, como as do setor financeiro e do setor elétrico, e a comunicação de incidentes da LGPD.
- 06 Quem fala com o SOC? Contatos e escalonamento Quem recebe os acionamentos em cada criticidade e quem decide numa crise.
Quais critérios mais pesam na escolha do SOC em 2027?
Compare todos os fornecedores com as mesmas perguntas e peça a evidência de cada resposta: o painel, um relatório real, o mapa do MITRE ATT&CK, o resultado de um exercício de purple team.
- A IA trabalha antes do analista? IA na operação A IA absorve o volume de alertas e deixa para o analista o que pede julgamento.
- Triagem com IA antes do analista, filtrando o falso positivo
- Agentes de IA na engenharia de detecção, no threat hunting e na análise de malware
- Supervisão humana nas ações de alto impacto
- Taxa de falsos positivos medida e informada
- Quanto da resposta é automática? Automação É a diferença entre receber um alerta e ter o ataque contido.
- SOAR e quantos playbooks existem, em quais tecnologias
- Contenção automática: isolar a máquina, bloquear a conta, o IP ou o arquivo
- Quais ações pedem aprovação, e de quem
- Quem aprova os playbooks antes de entrarem em operação
- Em quanto tempo o ataque é contido? Tempo de resposta Quanto menor o tempo até a contenção, menor o espaço do atacante para se mover.
- MTTA e MTTR por criticidade, em horas corridas
- O que inicia e o que encerra cada relógio
- A meta de cumprimento e onde a empresa acompanha
- O tempo medido nos últimos meses, além do contratual
- O que o serviço consegue ver e detectar? Capacidade de detecção O atacante passa de uma área para outra, e a detecção precisa acompanhar.
- Quantos casos de uso existem
- Endpoints, servidores, rede, identidades, nuvem, SaaS, OT e uso de IA
- Quais fontes de log entram e quais ficam de fora
- Inteligência de ameaças aplicada às regras, com contexto do Brasil e do setor
- Quais técnicas estão cobertas, e quais não? Cobertura do MITRE ATT&CK Cobertura declarada não é cobertura medida: peça o mapa técnica a técnica.
- O mapa da cobertura técnica a técnica, com as lacunas
- Como cada lacuna vira trabalho de engenharia de detecção
- A evolução da cobertura mês a mês
- As técnicas mais usadas contra o seu setor
- A detecção foi testada? Exercícios de purple team Só o ataque simulado mostra se a regra dispara.
- Exercícios periódicos de purple team no ambiente da empresa
- Emulação de ataques, por exemplo com Atomic Red Team
- Cada falha vira regra ajustada ou caso de uso novo
- O relatório de cada exercício
- A empresa vê o que o SOC vê? Plataforma de visibilidade Relatório mensal não basta: a empresa precisa acompanhar alertas, postura e exposição numa plataforma.
- Acesso aos mesmos alertas e incidentes que os analistas tratam
- Postura dos controles e exposição, além dos incidentes
- Indicadores para o CISO prestar contas à diretoria
- O cumprimento do SLA medido na plataforma
- E se o centro de operação parar? Redundância física O SOC passa a fazer parte da operação de segurança da empresa e não pode ter um ponto único de falha.
- Quantos centros de operação, em que cidades
- Se os dois operam ao mesmo tempo ou um é só contingência
- Infraestrutura replicada em data centers, links redundantes e energia própria
- Teste de desastre e o SLA durante a contingência
- Quem escreve e ajusta as regras? Engenharia de detecção dedicada Sem um time dedicado, as regras envelhecem enquanto as ameaças mudam.
- Um time de engenharia de detecção, separado do analista de turno
- Casos de uso alinhados ao MITRE ATT&CK e às ameaças do setor
- Em quanto tempo entra um caso de uso novo
- Threat hunting que vira regra
O que mais comparar entre os fornecedores?
- Precisa trocar o que já tem? Tecnologia A troca de ferramentas pesa no custo e no prazo.
- Se o serviço aproveita o SIEM, o EDR e o SOAR atuais
- De quem são a plataforma e as licenças
- Como integra uma tecnologia nova, por API ou conector
- O fornecedor contém fora do que gerencia? Escopo da resposta Nem toda tecnologia da empresa estará sob a gestão do fornecedor.
- O que o fornecedor faz nos ativos que não gerencia
- Em quanto tempo uma fonte nova passa a ser monitorada
- Quem garante o processo? Certificações O fornecedor terá acesso privilegiado a sistemas e dados da empresa.
- Certificações como ISO/IEC 27001, ISO/IEC 27701 e ISO 22301
- Como o acesso privilegiado do fornecedor é controlado
- O que a diretoria recebe? Relatórios e gestão do serviço Sem relatório, não há como cobrar o SLA nem prestar contas.
- Relatório mensal executivo e técnico, com indicadores e plano de ação
- Reunião periódica, gerente do serviço e registro de cada ação no sistema de chamados
- O que volta para a empresa no fim? Contrato e saída O contrato diz quem faz o quê, inclusive depois que ele termina.
- Responsabilidades e autoridade para agir em nome da empresa
- Confidencialidade e cláusulas sobre o acesso a dados sensíveis
- Participação do fornecedor no plano de resposta a incidentes
- Dados, regras e playbooks ao fim do contrato
O NIST lembra que o prestador costuma ter acesso privilegiado aos sistemas e a dados sensíveis, pede que esse risco seja considerado e tratado e cita acordos de confidencialidade e cláusulas contratuais como opções (NIST SP 800-61r3, seção 2.2). O CSF 2.0 pede que fornecedores relevantes entrem no planejamento e na resposta a incidentes (GV.SC-08) e que o fim do contrato esteja previsto (GV.SC-10).
O que deve ter um SLA de SOC e MDR?
O SLA só serve para comparar fornecedores se cada número vier com a definição do que é medido. Peça, por escrito:
| Item | O que pedir | Ponto de atenção |
|---|---|---|
| Criticidade | A definição de alta, média e baixa, combinada com a empresa | Quem classifica o incidente e como ele muda de nível |
| Primeiro atendimento (MTTA) | Tempo até um analista começar a tratar o incidente, por criticidade | O que inicia o relógio: o alerta gerado ou o incidente identificado |
| Resposta ou solução (MTTR) | Tempo até a contenção ou a solução, por criticidade | O "R" muda de um fornecedor para outro: resposta, contenção ou chamado solucionado |
| Horas corridas ou úteis | Em que tipo de hora cada prazo é contado | Prazo em horas úteis não corre à noite nem no fim de semana |
| Meta de cumprimento | Percentual dos incidentes que precisa ficar dentro do prazo | Como é medida, para quais incidentes vale e onde a empresa acompanha |
| Fontes novas e mudanças | Prazo para integrar uma fonte de log ou criar um caso de uso | Sem prazo, o monitoramento fica para trás quando o ambiente muda |
| Contingência | Prazos quando um centro de operação para ou numa simulação de desastre | Se o serviço continua igual durante a falha |
Como ler um SLA, com um exemplo: no modelo de referência do Cyber Defense Center da Vortex, um incidente de alta criticidade tem MTTA de 15 minutos corridos, contado no primeiro atendimento do analista, e MTTR de 2 horas corridas, contado no chamado solucionado; a meta de cumprimento é de 98% para incidentes do SIEM, e as condições finais são definidas em proposta. As métricas de um SOC estão explicadas no guia O que é SOC.
Com ambiente industrial ou uso de IA, o que pedir a mais?
O guia IEC 62443, ANEEL e ONS compara o SOC de TI e o SOC OT, e o guia Inteligência artificial no SOC trata da IA como ferramenta e como superfície de ataque.
Como é o começo de um SOC terceirizado?
Antes da operação, fornecedor e empresa combinam como cada incidente será tratado. É nessa fase que a autoridade para agir sai do contrato e vira processo.
Preparação
Quem faz o quê?
O que sai da etapa
- Matriz de acionamento e responsáveis por ativo
- Matriz RACI e plano de resposta
- Contatos por criticidade
Integração
O que o SOC passa a ver?
O que sai da etapa
- Fontes de log e telemetria conectadas
- Ferramentas atuais integradas
- Casos de uso ajustados ao ambiente
Playbooks
O que pode ser automático?
O que sai da etapa
- Contenções aprovadas pela empresa
- Ações que pedem aprovação
- Limites para cada tipo de ativo
Operação
Como a empresa acompanha?
O que sai da etapa
- SLA medido por criticidade
- Relatório e reunião mensais
- Playbooks revisados depois de cada incidente
O prazo depende do escopo, do número de fontes e das integrações. No case da Bio-Manguinhos, atendida pelo SOC 24x7x365 da Vortex, as primeiras tecnologias foram implantadas em 40 dias, antes do prazo alinhado de 60: é o resultado de um projeto, e não um prazo-padrão.
O checklist aplicado ao Cyber Defense Center
O Cyber Defense Center (CDC) é o NG-SOC Convergente da Vortex Security: SOC e MDR 24x7x365 para IT, OT e IA, com hiperautomação. Item a item:
| Critério | No Cyber Defense Center |
|---|---|
| IA na operação | Triagem com IA antes do analista, copiloto de IA generativa e agentes de IA na engenharia de detecção, no threat hunting, na análise de malware e na remediação, com supervisão humana nos pontos críticos: 70% de automação em data mining e menos de 4% de falsos positivos |
| Automação | Hiperautomação com SOAR e mais de 3.000 playbooks; contenção direta nas tecnologias gerenciadas, com playbooks aprovados pelo cliente: bloqueio de credencial comprometida, quarentena de hash e bloqueio de IP com janela temporal |
| Tempo de resposta | SLA de referência para alta criticidade: MTTA de 15 minutos e MTTR de 2 horas corridas, com meta de cumprimento de 98% para incidentes do SIEM; condições finais definidas em proposta |
| Capacidade de detecção | Mais de 5.000 casos de uso; IT, OT e IA na mesma operação, de dispositivos de segurança e servidores a identidades, nuvem e telemetria industrial; mais de 150 fontes de inteligência e MISP próprio sincronizado com o do cliente |
| Cobertura do MITRE ATT&CK | Casos de uso alinhados ao MITRE ATT&CK e o TierMap, que mostra técnica a técnica o que já está coberto e o que ainda é lacuna; cada lacuna vira backlog de engenharia de detecção |
| Exercícios de purple team | Purple team e emulação com Atomic Red Team para validar antivírus, firewalls e a capacidade de detecção; o Purple Team Exercise da Security Consulting valida as detecções técnica a técnica e ajusta as regras do SOC |
| Plataforma de visibilidade | Vortex Cockpit, a plataforma de gestão de postura e exposição da Vortex, com os mesmos alertas que chegam ao time do CDC, e o Vortex Service Portal integrado ao ITSM |
| Redundância física | Dois centros ativos de mesma dimensão, no Rio de Janeiro e em São Paulo, sem site principal e de contingência: se um falhar, o outro assume toda a operação; infraestrutura replicada em data centers no Brasil e nos EUA, com links redundantes e geradores próprios |
| Engenharia de detecção dedicada | Engenharia de detecção dedicada e contínua, com casos de uso alinhados ao MITRE ATT&CK e às ameaças do setor, threat hunting proativo e agentes de IA |
| Tecnologia | Agnóstico de SIEM e de fabricante, em modelo cogerenciado; para quem não tem SIEM, uma plataforma de SecOps em edição Enterprise operada pela Vortex |
| OT | Células dedicadas, com analistas formados em segurança industrial e playbooks que respeitam as restrições operacionais da planta |
| Certificações | Operação certificada ISO/IEC 27001, ISO/IEC 27701 e ISO 22301 |
A frente de OT é o SOC OT da Vortex. A Vortex é Líder no ISG Provider Lens 2026 em Next-Gen SOC/MDR Services (Midmarket) e Market Challenger em Large Accounts, no Brasil. "O SOC da Vortex foi a melhor contratação que nós fizemos", diz Josemar Fernandes, gerente de Segurança da Informação da Bio-Manguinhos, no case publicado.
Perguntas frequentes
O que muda na contratação de SOC em 2027?
Pesam mais a IA na operação, com a triagem antes do analista e supervisão humana nas ações de alto impacto; a automação da resposta, com contenção por playbooks aprovados pela empresa; o tempo de resposta por criticidade, com a definição de cada relógio; a capacidade de detecção e a cobertura do MITRE ATT&CK medida técnica a técnica, com as lacunas; os exercícios de purple team que testam essa cobertura; uma plataforma em que a empresa acompanhe alertas, postura e exposição; a redundância física, com mais de um centro ativo; e um time dedicado de engenharia de detecção, que mantém as regras atualizadas.
O que perguntar a um fornecedor de MDR?
O que o serviço cobre (IT, OT, nuvem, identidades e uso de IA); se ele contém a ameaça ou só avisa, quais ações são automáticas e quem as aprova; quais tempos de primeiro atendimento e de solução valem por criticidade e o que inicia e encerra cada relógio; como a cobertura de detecção é testada; se é preciso trocar o SIEM ou o EDR; que relatórios a empresa recebe; e o que volta para ela ao fim do contrato. Peça a evidência de cada resposta, como um relatório real e a definição de cada métrica.
O que deve ter um SLA de SOC?
Tempos de primeiro atendimento (MTTA) e de resposta ou solução (MTTR) por criticidade, com a definição do que inicia e do que encerra cada relógio, se as horas são corridas ou úteis, a meta de cumprimento e onde a empresa acompanha a medição. Vale incluir prazos para integrar fontes novas e para a contingência. Sem as definições, dois SLAs com o mesmo número podem medir coisas diferentes.
Quanto tempo leva para começar?
Depende do escopo, do número de fontes de log, das integrações e da preparação: matriz de acionamento, responsáveis por ativo e playbooks aprovados pela empresa. Contratar um serviço costuma levar menos tempo do que montar um SOC interno, porque processos e casos de uso já existem. No case da Bio-Manguinhos, atendida pelo SOC 24x7x365 da Vortex, as primeiras tecnologias foram implantadas em 40 dias, antes do prazo alinhado de 60.
SOC terceirizado atende OT?
Só quando o fornecedor tem capacidade de OT: coleta passiva, entendimento dos protocolos industriais, analistas com formação em segurança industrial e playbooks que respeitam as restrições da planta, com a resposta decidida junto com a operação. A correlação entre IT e OT é o que mostra um ataque que começa no escritório e tenta chegar ao controlador. Na Vortex, essa frente é o SOC OT, uma célula do Cyber Defense Center.
Do que depende o custo de um SOC terceirizado?
Do escopo: quantos ativos e fontes de log entram, o volume de dados, os ambientes (IT, OT e nuvem), a plataforma (a do fornecedor ou a da empresa, com as licenças), a profundidade da resposta, o SLA e os serviços adicionais, como a gestão das tecnologias e o threat hunting. Para comparar propostas, use o mesmo escopo em todas e veja o que cada uma deixa com a equipe da empresa. O comparativo MDR, MSSP ou SOC interno mostra como o custo se forma em cada modelo.
Preciso trocar meu SIEM ou EDR para contratar?
Depende do fornecedor. Alguns exigem a própria plataforma; outros são agnósticos e integram o SIEM, o EDR e as demais ferramentas que a empresa já tem. Vale perguntar antes, porque a troca de ferramentas pesa no custo e no prazo. O Cyber Defense Center da Vortex é agnóstico de SIEM e de fabricante: os alertas do SIEM ou do SOAR da empresa chegam a ele em modelo cogerenciado.
Quais relatórios pedir ao fornecedor de SOC?
Acesso contínuo aos mesmos alertas e incidentes que os analistas tratam, relatório mensal executivo e técnico com indicadores, tendências e plano de ação, o cumprimento do SLA por criticidade, a taxa de falsos positivos, a cobertura do MITRE ATT&CK com as lacunas e o relatório detalhado dos incidentes graves, além de uma reunião periódica com recomendações.
O que deve estar no contrato de SOC terceirizado?
A divisão de responsabilidades, os fluxos de informação e a autoridade do fornecedor para agir em nome da empresa, com as restrições, como compartilhar com outros clientes informações do incidente, mesmo sem os dados sensíveis, ou desligar serviços por conta própria para conter um ataque; confidencialidade e cláusulas sobre o acesso privilegiado; a participação do fornecedor no plano de resposta a incidentes; e o que acontece ao fim do contrato. É o que pedem o NIST SP 800-61, revisão 3, na seção 2.2, e o NIST CSF 2.0, em GV.SC-05, GV.SC-08 e GV.SC-10.
Fontes
Páginas consultadas em 08/11/2026.
- NIST SP 800-61, revisão 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management, abril de 2025, seção 2.2.
- NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29, 26/02/2024, categoria GV.SC (GV.SC-05, GV.SC-06, GV.SC-08 e GV.SC-10).
Vai contratar SOC ou MDR?
Conte o escopo e o momento da sua operação de segurança e um especialista da Vortex entra em contato.
Atualizado em