MDR, MSSP ou SOC interno: como escolher o modelo de operação de segurança
O que cada modelo entrega, quem opera, a cobertura 24x7 e de OT, o tempo para começar e o que fica com a empresa, numa tabela, e as perguntas que levam à escolha.
Em resumo: MDR, MSSP e SOC interno são três formas de operar a detecção e a resposta a ameaças. No SOC interno, a empresa monta e mantém a equipe 24x7, os processos e as ferramentas. O MSSP (provedor de serviços gerenciados de segurança) opera e monitora tecnologias de segurança como serviço; no modelo tradicional, encaminha os alertas para a empresa tratar. O MDR (detecção e resposta gerenciadas) entrega como serviço a detecção, a investigação e a contenção das ameaças, dentro de regras combinadas com a empresa. Muitas empresas combinam modelos, no SOC híbrido, e muitos provedores oferecem MSSP e MDR: o que define o modelo é quem detecta, quem decide e quem age.
MDR, MSSP e SOC interno: qual a diferença?
A tabela compara os três modelos nos pontos que mais pesam na escolha. O SOC terceirizado, ou SOC as a Service, chega à empresa como MSSP ou como MDR, conforme o que o contrato inclui.
| Critério | SOC interno | MSSP | MDR |
|---|---|---|---|
| O que entrega | Monitoramento, detecção e resposta feitos pela própria empresa | Operação e monitoramento de tecnologias de segurança, como firewall, SIEM e proteção de endpoint | Detecção, investigação e contenção das ameaças, como resultado |
| Quem opera | A equipe da empresa | O provedor, com equipe, processos e plataforma próprios | O provedor, com analistas em turnos, caçadores de ameaças e engenheiros de detecção |
| Quem responde ao incidente | A equipe da empresa | Depende do contrato; no modelo tradicional, a empresa, a partir do alerta encaminhado | O provedor contém a ameaça com playbooks aprovados pela empresa; ações de alto impacto pedem aprovação |
| Cobertura 24x7 | Exige escala de turnos e reposição de pessoas | Em geral, o monitoramento é 24x7; a resposta fora do horário depende de quem responde | Detecção e resposta 24x7 fazem parte do serviço |
| OT (ambientes industriais) | Exige especialistas em segurança industrial no time | Depende da capacidade do provedor em OT | Depende da capacidade do provedor em OT: coleta passiva, protocolos industriais e resposta decidida com a operação |
| Visão de ameaças | Limitada ao próprio ambiente | Ampliada pela correlação entre clientes | Ampliada pela correlação entre clientes |
| Tempo para começar | Longo: montar o time, os processos e os casos de uso | Menor: os processos já existem; depende da integração das ferramentas | Menor: processos, casos de uso e playbooks já existem; depende da integração das fontes |
| O que fica com a empresa | Tudo: pessoas, processos, ferramentas e decisões | A resposta aos incidentes, no modelo tradicional, e as decisões | As decisões de alto impacto, a aprovação dos playbooks e a governança do serviço |
As fronteiras não são rígidas. Muitos provedores oferecem MSSP e MDR, e o NIST usa o termo MSSP para o terceiro que assume o papel principal na detecção, na resposta e na recuperação de incidentes; o mesmo texto lembra que o prestador pode detectar atividade maliciosa antes, porque correlaciona eventos de vários clientes (NIST SP 800-61r3, seção 2.2). O que vale é o que o contrato diz sobre quem detecta, quem decide e quem age.
MDR ou MSSP: qual a diferença na prática?
O MSSP nasceu para administrar e monitorar dispositivos de segurança; o MDR, para entregar a detecção e a resposta como resultado. Os dois podem conviver no mesmo provedor e no mesmo contrato.
| Aspecto | MSSP tradicional | MDR |
|---|---|---|
| Foco | Gestão e disponibilidade das ferramentas de segurança | Detecção, investigação e resposta a ameaças |
| Entrega principal | Alerta ou chamado encaminhado à empresa | Incidente investigado e contido, com evidências |
| Resposta | Em geral, fica com a empresa | Executada pelo provedor, dentro de regras combinadas |
| Threat hunting | Nem sempre incluído | Parte do serviço |
| Indicadores | Disponibilidade dos dispositivos e prazos de mudança | Tempo para detectar, para o primeiro atendimento e para responder |
| Quando faz sentido | Terceirizar a gestão das ferramentas de segurança | Ter o resultado da detecção e da resposta sem montar a operação |
SOC interno, terceirizado ou híbrido: para quem é cada modelo?
Seis perguntas que levam ao modelo certo
O NIST lembra que muitas organizações combinam abordagens, com parte da resposta feita internamente e terceiros em certos incidentes, que a liderança costuma decidir as ações de alto impacto, como desligar um serviço crítico, e que a divisão de responsabilidades com o prestador precisa estar no contrato (NIST SP 800-61r3, seção 2.2).
- 01 Quem responde às 3 da manhã? Resposta fora do horário Se ninguém da empresa vai conter um ataque à noite ou no fim de semana, o modelo precisa incluir a resposta, e não só o alerta.
- 02 O que precisa ser coberto? IT, OT, nuvem e IA Ambientes industriais e o uso de IA pedem capacidades que nem todo provedor, nem todo time interno, tem.
- 03 O que a empresa já tem? Time e ferramentas Com equipe e SIEM próprios, o modelo híbrido ou um provedor que integra as ferramentas atuais aproveita o que já foi investido.
- 04 Em quanto tempo precisa operar? Prazo Montar um SOC interno leva mais tempo do que contratar um serviço com processos, casos de uso e playbooks prontos.
- 05 Quem decide as ações de alto impacto? Autoridade para agir O contrato diz o que o provedor faz sozinho, o que pede aprovação e quem aprova, a qualquer hora.
- 06 Quem mantém o time? Pessoas e reposição Um SOC 24x7 depende de turnos, treinamento e reposição de analistas, na equipe própria ou na do provedor.
Do que depende o custo de cada modelo?
O preço depende do ambiente e do escopo, e não há valor de referência que sirva para todas as empresas. Para comparar, use o mesmo escopo nos cenários e conte o custo de manter a operação ao longo do contrato, e não só o de começar.
| Modelo | O que entra no custo | Ponto de atenção |
|---|---|---|
| SOC interno | Analistas em turnos 24x7, com reposição e treinamento; ferramentas e licenças, como SIEM, SOAR e EDR; infraestrutura e inteligência de ameaças | O custo de manter a operação todos os anos, e não só o de montá-la |
| MSSP | As tecnologias e os dispositivos gerenciados e os serviços incluídos no contrato | No modelo tradicional, a resposta ao incidente continua com a empresa, e o custo dela também |
| MDR | Os ativos e as fontes monitorados, o volume de dados, a plataforma (do provedor ou da empresa), o escopo da resposta e o SLA | O que o serviço contém sozinho e o que depende da equipe da empresa |
| SOC híbrido | A parte da operação que fica com cada lado | A divisão de papéis em contrato, para nenhum alerta ficar sem dono |
O volume de registros pesa em qualquer modelo: a orientação conjunta de registro de eventos de agências como CISA, FBI e NSA sugere escolher o que vai para cada ferramenta de análise, para receber os registros de mais valor sem estourar custo e capacidade (orientação conjunta). O guia Como contratar SOC e MDR mostra o que comparar nas propostas.
MDR, MSSP e modelo híbrido na Vortex Security
A Vortex Security é líder em MSSP no Brasil, com +80 clientes ativos e +500 mil ativos protegidos. Cada modelo tem uma oferta:
- MDR. O Cyber Defense Center (CDC), o NG-SOC Convergente da Vortex, detecta, investiga e contém ameaças 24x7x365 em IT, OT e IA, com playbooks de contenção aprovados pelo cliente.
- MSSP. O Security Integration indica, implanta, integra e gerencia tecnologias de segurança de forma agnóstica, também como serviço gerenciado (MSS).
- Híbrido e cogerenciado. Se a empresa já tem SIEM ou SOAR, os alertas chegam ao CDC em modelo cogerenciado, e o ponto focal consultivo pode ficar alocado no cliente quando necessário.
- SOC interno com reforço. O Incident Response Retainer (DFIR), da Jornada Detectar e Responder, deixa uma equipe de resposta a incidentes e forense digital disponível sob contrato.
- OT. O SOC OT da Vortex é uma célula do CDC, com analistas formados em segurança industrial e playbooks que respeitam as restrições operacionais da planta.
- SLA de referência. 15 minutos para o primeiro atendimento (MTTA) e 2 horas para a solução (MTTR) de incidentes de alta criticidade, com as condições finais definidas em proposta.
- Reconhecimento do ISG. Líder no ISG Provider Lens 2026 em Next-Gen SOC/MDR Services (Midmarket) e Market Challenger em Large Accounts, no Brasil.
Perguntas frequentes
Qual a diferença entre MDR e MSSP?
No modelo tradicional, o MSSP opera e monitora tecnologias de segurança, como firewall, SIEM e proteção de endpoint, e encaminha os alertas para a empresa tratar. O MDR entrega o resultado: detecta, investiga e contém a ameaça, dentro de regras combinadas com a empresa, e é medido pelo tempo de detecção e de resposta. A fronteira não é rígida, e muitos provedores oferecem os dois: o contrato é que define quem detecta, quem decide e quem age.
SOC interno ou terceirizado: qual escolher?
O SOC interno faz sentido para quem tem escala, orçamento e talento para manter uma equipe 24x7, com turnos, reposição e ferramentas próprias. O terceirizado, como MSSP ou MDR, entrega a operação com processos e casos de uso prontos, em menos tempo, e amplia a visão de ameaças pela correlação entre clientes. Quem já tem equipe pode combinar os dois, no SOC híbrido.
O que é SOC híbrido?
É o modelo em que a empresa mantém uma equipe interna e contrata um provedor para parte da operação, por exemplo para cobrir noites e fins de semana, ganhar escala ou especialidades como OT e threat hunting. Os papéis ficam divididos em contrato, numa matriz de responsabilidades, para nenhum alerta ficar sem dono.
MDR substitui o SOC interno?
Pode substituir ou complementar. Algumas empresas terceirizam toda a operação; outras mantêm uma equipe interna e usam o MDR para cobrir o 24x7, ganhar escala ou especialidades, como OT e threat hunting. Em qualquer caso, as decisões de alto impacto e a governança continuam com a empresa.
Um provedor pode oferecer MSSP e MDR ao mesmo tempo?
Sim. Muitos provedores gerenciam as tecnologias de segurança, no papel de MSSP, e fazem a detecção e a resposta, no papel de MDR, no mesmo contrato. Na Vortex Security, o Security Integration implanta, integra e gerencia as tecnologias, e o Cyber Defense Center faz o SOC e o MDR.
O que continua com a empresa quando o SOC é terceirizado?
A governança e as decisões. Para o NIST, a terceirização é um modelo de responsabilidade compartilhada: o contrato define a divisão de responsabilidades, os fluxos de informação e a autoridade do provedor para agir em nome da empresa, e a liderança costuma decidir as ações de alto impacto, como desligar um serviço crítico (NIST SP 800-61r3). A comunicação de incidentes com dados pessoais à ANPD também continua com a empresa, como controladora dos dados; o guia Plano de resposta a incidentes explica o que a LGPD exige.
Do que depende o custo de cada modelo?
Do ambiente e do escopo. No SOC interno, pesam os analistas em turnos 24x7, com reposição e treinamento, as ferramentas e as licenças. No MSSP, as tecnologias gerenciadas e os serviços incluídos. No MDR, os ativos e as fontes monitorados, o volume de dados, a plataforma, o escopo da resposta e o SLA. Para comparar, use o mesmo escopo e conte o custo de manter a operação, e não só o de começar.
Fontes
Páginas consultadas em 08/11/2026.
- NIST SP 800-61, revisão 3: Incident Response Recommendations and Considerations for Cybersecurity Risk Management, abril de 2025, seção 2.2.
- Best Practices for Event Logging and Threat Detection, ASD's ACSC, CISA, FBI, NSA e parceiros, 21/8/2024.
Em dúvida entre MDR, MSSP e SOC interno?
Conte como a sua operação de segurança funciona hoje e um especialista da Vortex entra em contato.
Atualizado em