SOC: ce este, cui îi trebuie și cât costă

SOC (Security Operations Center) este centrul de monitorizare a securității informaționale: o echipă de analiști, o platformă SIEM/EDR și reguli de lucru care urmăresc non-stop evenimentele din infrastructura dvs. și opresc atacul înainte să devină oprire de activitate sau scurgere de date. Un SOC propriu e pentru puțini: tura 24/7 cere 8–10 oameni, iar pentru o firmă medie costul ajunge la aproximativ o jumătate de milion de euro pe an. Celorlalți li se potrivește un SOC extern (SOC as a service) sau modelul mixt, în care furnizorul face garda de noapte, iar deciziile le ia echipa dvs. de securitate.

Mai jos: cum funcționează, unde e granița dintre „aveți nevoie” și „e prea devreme” și ce intră de fapt în preț.

Ce înseamnă SOC: trei sensuri diferite

Abrevierea se încurcă des, iar Google arată tot ce prinde. Așa că mai întâi lămurim termenii.

• Security Operations Center — centrul de monitorizare a securității. Despre el e articolul.
• System on a Chip — procesorul care are pe același cip grafica, memoria și controlerele. Ține de telefoane și laptopuri. Dacă ați căutat temperatura SoC-ului, ați nimerit în altă parte.
• SOC 2 — raportul unui auditor extern despre felul în care o firmă de servicii controlează securitatea și accesul la datele clienților. Îl cer clienții americani de la furnizorii SaaS. SOC 2 e o verificare, nu o echipă, deși auditorul va întreba negreșit cine și cum observă incidentele la dvs.

Ce face un SOC și din ce e construit

Antivirusul, firewall-ul, MFA și copiile de rezervă vă protejează din timp. SOC-ul începe acolo unde protecția a cedat deja: cineva a deschis un e-mail de phishing, parola contabilei a ajuns la străini, la 3 noaptea cineva descarcă fișiere de pe server. Treaba lui e să observe asta în primele minute, să înțeleagă ce se întâmplă și să scurteze drumul de la intruziune la blocare.

Un SOC se măsoară în două cifre. MTTD (mean time to detect) arată cât trece de la începutul incidentului până îl vede cineva. MTTR (mean time to respond) arată cât mai durează până e oprit. Restul există ca să țină ambele cifre mici.

Un SOC care funcționează stă pe patru straturi:

1. Sursele de evenimente. Stații de lucru, servere, controlere de domeniu, firewall-uri, gateway-uri de e-mail, Microsoft 365, VPN, DNS, DLP. Ce nu e conectat, SOC-ul nu vede.
2. Platformele. SIEM adună evenimentele și caută legături între ele. EDR/XDR urmărește comportamentul programelor pe calculatoare și poate izola o stație infectată. SOAR automatizează răspunsurile tipice, iar abonamentele Threat Intelligence aduc semnele proaspete ale atacurilor.
3. Procesele. Playbook-uri de tipul „ce facem când se declanșează regula X”, ordinea de escaladare, analiza fiecărui incident serios, curățarea regulată a regulilor de alarme false.
4. Oamenii. Analiștii L1 primesc și sortează semnalele, L2 investighează, L3 se ocupă de cazurile grele și caută amenințările pe care regulile nu le prind. Plus un inginer care ține platforma și un șef de tură.

Scoateți un strat și SOC-ul nu mai funcționează. Platforma fără oameni devine o arhivă scumpă de loguri pe care nu le citește nimeni. Oamenii fără playbook-uri răspund eroic pe chat vreo două săptămâni, apoi obosesc.

SOC, SIEM, EDR și NOC: diferențele

Termenii apar des în aceeași frază, deși înseamnă lucruri diferite.

Ce	Ce este	La ce întrebare răspunde
SIEM	Program care colectează și corelează evenimentele de securitate	„Ce s-a întâmplat în sisteme?”
EDR / XDR	Program de telemetrie și reacție pe calculatoare și servere	„Ce a făcut procesul acesta pe laptopul acesta?”
NOC	Echipă care urmărește disponibilitatea rețelei și a serverelor	„Merge tot?”
SOC	Echipă + platforme + reguli	„Suntem atacați chiar acum și ce facem?”

Dacă ați cumpărat un SIEM, încă nu aveți SOC. Wazuh se instalează într-o zi, dar fără omul care se uită noaptea la alertă și decide dacă trezește directorul, e doar încă un dashboard.

Cui îi trebuie SOC și cui e prea devreme

Răspunsul cinstit nu le place celor care vând „SOC pentru toată lumea”: majoritatea firmelor cu 20–50 de stații nu au nevoie de un centru de monitorizare non-stop. Au nevoie de lucrurile de bază, făcute bine.

Merită să vă gândiți la SOC când se potrivesc cel puțin trei din cinci puncte:

1. În sisteme e mult din ce vor alții să fure. Date personale ale clienților, informații medicale și financiare, secrete comerciale.
2. Autoritatea sau clientul cere detectarea incidentelor. GDPR, Legea Republicii Moldova nr. 195/2024 privind protecția datelor cu caracter personal, PCI DSS pentru plăți cu cardul, ISO 27001, chestionarele de securitate ale partenerilor străini. Toate întreabă, într-o formă sau alta: „Cum aflați că ați fost sparți și ce faceți după aceea?”
3. Infrastructura a crescut. Zeci de servere, sute de stații, câteva birouri sau țări. Un singur administrator nu va prinde o anomalie în milioane de evenimente pe zi, oricâtă cafea ar bea.
4. O oră de oprire costă scump. Dacă oprirea caselor, a producției sau a 1C costă mii de euro pe oră, detectarea timpurie se plătește la primul incident.
5. Puteți fi ținta unui atac intenționat. Nu un val aleatoriu de spam, ci un atac pe firma dvs.: prin furnizor, prin angajat, printr-o factură falsificată.

Dacă nu se potrivește niciun punct, banii aduc mai mult în altă parte: MFA pe poștă și VPN, copii de rezervă verificate prin restaurare, actualizări la timp, segmentarea rețelei și instruirea angajaților împotriva phishingului. Asta e temelia, fără de care SOC-ul oricum nu ajută: analistul va vedea ransomware-ul, dar dacă backup-urile stau pe același server, nu va avea ce restaura.

SOC propriu sau extern: patru modele

Alegerea „ori ne facem SOC-ul nostru, ori nimic” e falsă. În practică sunt patru variante.

SOC propriu

Echipa, platformele și procesele sunt ale dvs. Control maxim și cunoașterea afacerii din interior, dar și cheltuieli maxime. Are sens la bănci, operatori mari și grupuri de companii unde securitatea e o direcție separată.

SOC as a service (managed SOC)

Furnizorul ține la el analiștii și platforma, conectează sursele dvs. de evenimente, iar dvs. plătiți abonament. Se potrivește firmei care nu are specialist de securitate și nici nu vrea să angajeze. Minusul e unul, dar serios: o echipă străină învață luni de zile cum lucrează afacerea dvs., iar până atunci ridică alarma la lucruri normale și uneori ratează lucruri ciudate.

SOC mixt (co-managed)

Echipa externă face monitorizarea 24/7 și prima-a doua linie de analiză, iar specialistul dvs. de securitate preia investigațiile complicate și ia deciziile. Platforma poate sta la dvs., la furnizor sau la dvs. cu acces pentru furnizor. Pentru firmele mijlocii și mari care au deja un om pe securitate, dar nu au cinci oameni pentru turele de noapte, e modelul cel mai rezonabil.

MDR (managed detection and response)

Varianta ușoară: monitorizare și reacție doar pe stații, servere și e-mail. De obicei se vinde împreună cu un anumit EDR/XDR. Costă mai puțin decât un SOC, dar vede doar unde ajunge agentul. Firewall-urile, VPN-ul și serviciile cloud rămân în umbră.

	SOC propriu	SOC as a service	SOC mixt	MDR
Cine urmărește 24/7	Analiștii dvs.	Furnizorul	Furnizorul	Furnizorul
Cine ia deciziile	Dvs.	Furnizorul, după regulament	Dvs.	Furnizorul, după regulament
Ce vede	Tot ce e conectat	Tot ce e conectat	Tot ce e conectat	Stațiile și e-mailul
Trebuie echipă proprie de securitate	Da, mare	Nu	Da, mică	Nu
Cost	Cel mai mare	Abonament	Abonament + echipa proprie	Cel mai mic

Cât costă un SOC

SOC propriu: socotim oamenii

O săptămână are 168 de ore. Un analist lucrează în jur de 40, mai ia concediu și se mai îmbolnăvește. De aceea un singur post de L1 ocupat non-stop cere 4–5 oameni. Adăugați măcar doi L2, un L3, inginerul de platformă și șeful de tură și ajungeți la 8–10 angajați pentru cel mai mic SOC care chiar lucrează. Specialiștii în securitate sunt puțini pe piață, iar salariile lor cresc mai repede decât media din IT.

Urmează platformele. SIEM se plătește de obicei după volumul de evenimente (EPS sau gigabaiți pe zi), EDR/XDR după numărul de dispozitive protejate, Threat Intelligence prin abonamente separate. Logurile trebuie păstrate: autoritățile și auditorii cer des între 90 de zile și un an sau mai mult, adică discuri, redundanță și putere de calcul pentru corelare.

Al treilea capitol nu se vede în deviz, dar mănâncă timp: scrierea playbook-urilor, ajustarea regulilor la infrastructura dvs., exerciții cu conducerea, căutarea amenințărilor. E muncă permanentă, nu o implementare făcută o dată.

Adunat, un SOC propriu pentru o firmă medie pornește de la aproximativ o jumătate de milion de euro pe an, iar la una mare trece ușor de milioane.

SOC extern: din ce se compune prețul

La furnizor, o singură tură de analiști deservește mai mulți clienți, așa că plătiți o parte din gardă, nu cinci salarii. Prețul unui SOC as a service depinde de:

1. Numărul și tipul surselor: câte servere, stații, firewall-uri și servicii cloud conectăm.
2. Volumul zilnic de evenimente și cât timp se păstrează logurile.
3. Orele de acoperire: doar programul de lucru sau 24/7.
4. Cât de adânc reacționăm: doar un apel de avertizare sau și izolarea stației, blocarea contului, restaurarea.
5. A cui e platforma: folosim SIEM/EDR-ul dvs. sau îl instalăm pe al nostru.
6. Raportarea: un raport lunar pentru conducere sau rapoarte formale pentru auditor și autoritate.

Prețul SOC pentru firma dvs. ITCore îl calculează după evaluarea infrastructurii: de aceste șase puncte depinde.

Dacă firma e deja pe abonamentul de mentenanță ITCore, monitorizarea și protecția de bază există. Atunci SOC-ul se adaugă peste ce funcționează deja, nu se construiește de la zero.

Cum conectați un SOC: șase pași

Un SOC „la cheie într-o săptămână” nu există, iar cine îl promite vă va trimite în primele luni sute de alerte fără rost. Noi lucrăm așa:

1. O discuție de 1–2 ore. Ce infrastructură aveți, ce date protejăm, ce cer autoritatea și clienții. La final propunem un format cu cifre sau vă spunem direct că deocamdată nu aveți nevoie de SOC și unde e mai bine să puneți banii. NDA se semnează înaintea detaliilor tehnice.
2. Audit de securitate, 1–2 săptămâni. Perimetrul, vulnerabilitățile interne, conturile, copiile de rezervă, politicile. Rezultatul: o hartă a riscurilor cu priorități.
3. Închidem găurile de bază. MFA, actualizări, backup-uri verificate prin restaurare, segmentare. Să legi SOC-ul de o infrastructură fără MFA e ca și cum ai pune alarmă pe o ușă fără încuietoare.
4. Conectăm sursele și platforma. SIEM (Wazuh sau Splunk), EDR/XDR pe stații și servere, evenimentele FortiGate prin FortiAnalyzer, jurnalele Microsoft 365 și Active Directory.
5. Scriem playbook-urile și reglăm regulile. Cont compromis, criptare în masă a fișierelor, trafic de ieșire suspect, autentificare dintr-o țară neobișnuită. Separat tăiem alarmele false, ca un semnal important să nu se piardă în zgomot.
6. Intrăm în regim de gardă. Monitorizare non-stop, escaladare după prioritățile stabilite, raport lunar: incidente, tendințe, ce trebuie reparat.

Planul și termenele de lansare pentru infrastructura dvs. le primiți în oferta de după evaluare.

Cum lucrează ITCore cu SOC

ITCore face outsourcing IT în Chișinău și face parte din grupul Garm. Firma a fost fondată în 2017, iar inginerii echipei au peste 20 de ani de experiență în infrastructura IT. Nu vindem „SOC la cutie”. În proiecte întâlnim două situații.

SOC împreună cu un partener MSSP. Monitorizarea non-stop o facem împreună cu un partener MSSP. ITCore conectează sursele de evenimente, configurează stack-ul (SIEM, EDR/XDR, DLP, firewall-uri Fortinet cu colectarea centralizată a evenimentelor), scrie playbook-urile și analizează incidentele din infrastructura dvs. Dacă aveți o echipă proprie de securitate, deciziile de reacție rămân la ea. Așa funcționează proiectul pentru o corporație internațională cu peste 1 500 de angajați în șapte birouri pe trei continente: câte un FortiGate în fiecare locație, gestionat prin FortiManager și FortiAnalyzer, XDR în departamentele critice, DLP, Microsoft 365 și un SOC 24/7 construit împreună cu echipa de securitate a clientului. Arhitectura și scenariile de reacție sunt sub NDA, așa că mai mult decât în studiul de caz nu vom povesti.

Pregătirea pentru SOC. Dacă firma încă nu a ajuns la monitorizarea non-stop, începem cu ce va deveni mai târziu temelia ei: colectarea centralizată a logurilor, EDR, MFA, copii de rezervă care nu pot fi criptate de ransomware și un plan de reacție la incidente. Un exemplu e rețeaua de agenții de turism cu cinci filiale în Moldova și România: 60 de angajați, servere în cloud-ul nostru, Zero Trust VPN și SIEM pe toate serverele și punctele de acces, cu alerte către tura de gardă.

Un SOC nu se instalează o dată pentru totdeauna. După o jumătate de an firma are alte servere, oameni noi și alte metode de atac, iar regulile scrise la lansare încep să rateze lucruri importante. De aceea ținem SOC-ul împreună cu clientul ani la rând: analizăm regulat incidentele și alarmele false și revedem cu conducerea playbook-urile și lista surselor conectate.

Serviciile critice ale clienților cu abonament ITCore au SLA non-stop: reacție la incidentul P1 în 15 minute.

Întrebări frecvente

Î. Ce este un SOC, pe scurt?R. SOC e serviciul de gardă pentru securitatea cibernetică. Analiștii urmăresc non-stop evenimentele de pe servere, calculatoare, rețea și e-mail, observă semnele unui atac și ajută la oprirea lui. Antivirusul blochează ce e deja cunoscut, iar SOC-ul caută ce a trecut de protecție.

Î. Care e diferența dintre SOC și SIEM?R. SIEM e un program care colectează și compară evenimentele de securitate. SOC înseamnă oamenii și regulile care reacționează la ele. Un SIEM fără SOC adună alerte pe care nu le citește nimeni, iar un SOC fără SIEM lucrează pe orbește. Într-o schemă normală, SIEM e unealta principală a SOC-ului.

Î. Cât costă un SOC în Moldova?R. Un SOC propriu non-stop cere 8–10 specialiști și pentru o firmă medie pornește de la aproximativ €500 000 pe an. Un SOC extern (SOC as a service) costă de câteva ori mai puțin, pentru că o tură de analiști deservește mai mulți clienți. Prețul depinde de numărul de dispozitive conectate, volumul logurilor, orele de acoperire și cât de adânc se reacționează. ITCore îl calculează după evaluarea infrastructurii.

Î. Are nevoie de SOC o firmă cu 30 de angajați?R. De cele mai multe ori, nu. La o asemenea firmă aduc mai mult MFA, backup-urile verificate, EDR pe stații și instruirea angajaților împotriva phishingului. Excepția: lucrați cu date sensibile sau aveți clienți care cer prin contract monitorizarea incidentelor. Atunci are sens MDR sau modelul mixt pe un număr limitat de surse.

Î. Cât durează conectarea unui SOC?R. Totul începe cu auditul de securitate, care la ITCore durează 1–2 săptămâni. După el conectăm sursele și reglăm regulile, ca analiștii să nu se înece în alarme false. Planul și termenele de lansare pentru infrastructura dvs. le dăm în oferta de după evaluare.

Î. Legea nr. 195/2024 obligă firma să aibă SOC?R. Legea privind protecția datelor cu caracter personal nu cere un SOC. Cere măsuri tehnice și organizatorice de protecție și capacitatea de a depista și analiza încălcările securității datelor. SOC-ul e una dintre căile de a le asigura. ITCore ajută la politici, DPA și măsuri tehnice pe care le puteți arăta la un control CNPDCP.

---

Vreți să aflați dacă aveți nevoie de SOC și în ce format? Descrieți infrastructura și cerințele clienților sau ale autorității. Din prima discuție vă spunem ce format vi se potrivește sau, cinstit, că deocamdată nu e cazul și cu ce să începeți. → Discutăm securitatea infrastructurii

---