Wat is managed SIEM? Hoe werkt het en waar moet je op letten?

Een SIEM beheren is één ding. Het goed beheren is iets heel anders. Security Information and Event Management levert enorme waarde op wanneer het correct wordt geïmplementeerd, afgestemd en onderhouden, maar het voldoen aan deze drie voorwaarden vereist voortdurende inspanning. Correlatieregels moeten worden bijgewerkt naarmate bedreigingen zich ontwikkelen. Waarschuwingsdrempels moeten worden bijgesteld naarmate omgevingen veranderen. Gegevensbronnen moeten continu worden gemonitord om ervoor te zorgen dat de juiste logbestanden in de juiste hoeveelheid binnenkomen. Voor beveiligingsteams die het al druk genoeg hebben, is die operationele overhead vaak het verschil tussen een SIEM dat echt presteert en een SIEM dat onderbenut blijft.

Managed SIEM lost dat probleem op door de operationele last van uw team weg te nemen. U krijgt het inzicht, de dreigingsdetectie en de compliance-dekking van een volledige SIEM-implementatie, ondersteund door een provider die de configuratie, afstemming en monitoring voor u verzorgt. De markt voor managed SIEM weerspiegelt deze groeiende vraag. Volgens The Business Research Company bereikte de wereldwijde markt voor managed SIEM en logboekbeheer in 2025 een omvang van 3,67 miljard dollar en zal deze naar verwachting tot 2029 groeien met een samengesteld jaarlijks groeipercentage (CAGR) van 10,3%, grotendeels aangedreven door organisaties die op zoek zijn naar professioneel beheer in plaats van zelf complexe beveiligingsactiviteiten in eigen beheer te houden.

Kaseya biedt beheerde SIEM aan via zijn co-managed SOC-model, waardoor we een direct inzicht krijgen in wat effectieve beheerde SIEM onderscheidt van een standaard hostingovereenkomst en wat organisaties van elke omvang van een aanbieder mogen verwachten.

Wat is managed SIEM?

Managed SIEM is een beveiligingsdienst waarbij SIEM-technologie wordt gecombineerd met doorlopend deskundig beheer, monitoring en ondersteuning door een externe aanbieder. In plaats van een SIEM-systeem zelf in huis te implementeren en te beheren, sluiten organisaties een contract af met een aanbieder van beheerde beveiligingsdiensten die de SIEM-infrastructuur host, de implementatie en integratie verzorgt, de detectielogica onderhoudt en de omgeving namens de klant bewaakt.

Het ‘managed’-aspect is wat het onderscheidt van een standaard SIEM-tool. Een zelfgehoste SIEM biedt uw team het inzicht en de detectiemogelijkheden van de technologie, maar uw team is verantwoordelijk voor alles wat ervoor zorgt dat het systeem werkt — het koppelen van gegevensbronnen, het opstellen en afstemmen van correlatieregels, het onderzoeken van waarschuwingen en het up-to-date houden van het systeem naarmate uw omgeving en het dreigingslandschap veranderen. Bij een managed SIEM wordt die verantwoordelijkheid overgedragen aan de provider, waardoor uw team zich kan concentreren op de waarschuwingen en beslissingen die interne kennis vereisen, in plaats van op het operationeel houden van de tool.

Managed SIEM kent verschillende verwante benamingen, afhankelijk van de omvang van de dienst. De termen ‘SIEM-as-a-service’ en ‘cloudgebaseerde managed SIEM’ worden in de meeste contexten door elkaar gebruikt. ‘Co-managed SIEM’ verwijst naar een specifiek model waarbij de aanbieder de infrastructuur en het lopende onderhoud voor zijn rekening neemt, terwijl de klant actief betrokken blijft bij het configureren van regels en het reageren op waarschuwingen. Het onderscheid tussen ‘fully managed’ en ‘co-managed’ is van belang bij het kiezen van een aanbieder en is de moeite waard om te begrijpen voordat u de opties gaat evalueren.

Als je nog niet bekend bent met SIEM als categorie, biedt onze gids ‘Wat is SIEM?’ een volledig overzicht van hoe de technologie werkt, wat ze detecteert en wat je van een implementatie kunt verwachten.

Hoe een beheerde SIEM werkt

Managed SIEM functioneert als een doorlopend samenwerkingsverband tussen uw organisatie en een extern beveiligingsteam, en werkt op drie niveaus die continu achter elkaar worden uitgevoerd.

Ten eerste is er de gegevensverzameling. De leverancier implementeert connectoren of agents in uw omgeving, waarmee log- en gebeurtenisgegevens van endpointsen, firewalls, cloudplatforms, SaaS-toepassingen, identiteitssystemen en netwerkapparaten naar een gecentraliseerde opslagplaats worden gehaald. De reikwijdte van deze opnamelaag bepaalt hoe volledig het inzicht daadwerkelijk is.

Het tweede onderdeel is dreigingsanalyse. De binnenkomende gegevensstromen worden verwerkt door de correlatie-engine van de provider, waar geautomatiseerde regels en AI-gestuurde gedragsanalyses verdachte patronen identificeren. De provider onderhoudt en actualiseert deze detectielogica door nieuwe dreigingsinformatie te integreren en de gevoeligheid van de regels aan te passen naarmate de dreigingen zich ontwikkelen.

Het derde punt betreft validatie en reactie door experts. Een aanbieder van beheerde SIEM-diensten zet analisten in om waarschuwingen te beoordelen en te valideren voordat ze worden doorgegeven. Zij gaan na of een patroon een daadwerkelijke bedreiging vormt, bepalen de ernst en omvang ervan, en lossen incidenten met een lagere prioriteit direct op of geven ze door met alle relevante context.

Het resultaat is een continu bewaakte omgeving waarin uw team gevalideerde, geprioriteerde incidenten ontvangt in plaats van een enorme hoeveelheid onbewerkte waarschuwingen.

Inzicht in beheerde SIEM: Belangrijke vergelijkingen

Voordat u aanbieders of implementatiemethoden gaat beoordelen, is het nuttig om te begrijpen hoe managed SIEM zich verhoudt tot verwante opties. De drie onderstaande vergelijkingen gaan in op de meest voorkomende vragen die organisaties hebben wanneer ze managed SIEM voor het eerst in overweging nemen.

Beheerde SIEM versus zelfgehoste SIEM

De keuze tussen een beheerde en een zelfgehoste SIEM komt neer op één enkele vraag: beschikt uw organisatie over de interne capaciteit om een SIEM optimaal te laten functioneren? Uit de onderstaande vergelijking blijkt waar de afwegingen liggen.

	Beheerde SIEM	Zelfgehoste SIEM
Implementatie	Afgehandeld door de aanbieder	Vereist een intern project
Afstelling en onderhoud	Voortdurende verantwoordelijkheid van de zorgverlener	Verantwoordelijkheid van het interne team
24/7-bewaking	Inbegrepen	Hiervoor is interne personeelsbezetting of invulling van diensten nodig
Triage van meldingen	Analisten van dienstverleners	Interne analisten
Verslaglegging inzake naleving	Inbegrepen, vaak met kant-en-klare sjablonen	Vereist interne configuratie
Updates over dreigingsinformatie	Automatisch, door de leverancier beheerd	Handmatig, afhankelijk van het team
Kostenstructuur	Voorspelbaar abonnement	Variabel; infrastructuur plus personeel
Tijd tot rendement	Dagen tot weken	Weken tot maanden
Interne controle	Gedeeld met de aanbieder	Volledige interne controle

Een zelfgehoste SIEM is vaak de juiste keuze voor organisaties met ervaren interne beveiligingsteams, de middelen om 24/7 ondersteuning te bieden en specifieke eisen op het gebied van gegevenssoevereiniteit of aangepaste detectielogica waaraan een beheerde dienst geen tegemoet kan komen. Voor de meeste kleine en middelgrote bedrijven, middelgrote organisaties en MSP’s die omgevingen met meerdere klanten beheren, biedt een beheerde SIEM een completer beveiligingsresultaat tegen lagere totale kosten dan wanneer men zou proberen om intern een vergelijkbare capaciteit op te bouwen en in stand te houden.

Volledig beheerde versus gezamenlijk beheerde SIEM

Niet alle beheerde SIEM-diensten werken op dezelfde manier. De twee meest voorkomende modellen zijn ‘fully managed’ en ‘co-managed’, en de juiste keuze hangt af van de mate waarin uw interne team betrokken wil blijven.

Bij een volledig beheerde SIEM-oplossing ligt de volledige verantwoordelijkheid bij de provider. De provider implementeert de infrastructuur, koppelt gegevensbronnen aan, stelt detectieregels op en onderhoudt deze, houdt 24/7 toezicht op waarschuwingen, beoordeelt incidenten en escaleert deze alleen naar uw team wanneer actie vereist is. De betrokkenheid van uw team blijft beperkt tot het ontvangen van escalaties en het nemen van beslissingen over bevestigde bedreigingen. Dit model is het meest geschikt voor organisaties met beperkte interne beveiligingsexpertise die de complexiteit van SIEM-beheer niet willen aangaan.

Gedeeld beheerd SIEM is een model op basis van gedeelde verantwoordelijkheid. De provider zorgt voor de infrastructuur, het onderhoud en de basismonitoring, terwijl uw interne team actief betrokken blijft bij het aanpassen van regels, het beoordelen van waarschuwingen en het reageren op incidenten. Dit model is geschikt voor organisaties die over enige interne beveiligingscapaciteit beschikken en zicht en controle willen behouden over hun detectielogica, maar niet over de capaciteit beschikken om de onderliggende infrastructuur te beheren of 24/7 monitoring uit te voeren zonder externe ondersteuning.

Gedeeld beheerde SIEM wordt steeds vaker het voorkeursmodel voor MSP’s die beheerde beveiligingsdiensten aan klanten willen leveren zonder hun beveiligingsactiviteiten volledig uit te besteden. Het stelt MSP’s in staat om hun eigen expertise en klantspecifieke kennis toe te passen op basis van een beheerde infrastructuur, in plaats van de volledige controle uit handen te geven aan een externe dienstverlener.

Managed SIEM versus MDR

Managed SIEM en Managed Detection and Response (MDR) zijn beide beveiligingsdiensten die door externe aanbieders worden geleverd, en ze worden vaak met elkaar vergeleken als alternatieven. Het belangrijkste verschil zit hem in de reikwijdte. Managed SIEM richt zich op de SIEM-laag: het verzamelen en correleren van logbestanden, het beoordelen van waarschuwingen en het opstellen van nalevingsrapportages. MDR is een bredere dienst die daar actieve respons op endpointsen, netwerken en cloudomgevingen aan toevoegt, waarbij het opsporen van bedreigingen en maatregelen om deze in te dammen vaak standaard zijn inbegrepen.

Voor organisaties die zowel continue monitoring als actieve incidentrespons nodig hebben, vullen de twee diensten elkaar aan in plaats van met elkaar te concurreren. Managed SIEM biedt de gegevensbasis en het nalevingsdossier. MDR biedt daarbovenop de mogelijkheid tot mensgestuurde respons. Voor een volledige vergelijking van de verschillen tussen de twee diensten en wanneer je welke moet gebruiken, kun je onze gids over MDR versus SIEM raadplegen.

Belangrijkste onderdelen van een beheerde SIEM-oplossing

De mogelijkheden van een beheerde SIEM-dienst reiken verder dan wat de onderliggende SIEM-technologie op zichzelf biedt. Dit is wat een goed ontworpen dienst zou moeten omvatten:

24/7 monitoring en triage van waarschuwingen: Continuemonitoring door gekwalificeerde analisten is het kenmerkende aspect van het servicemodel. Vraag specifiek of de monitoring 24/7/365 plaatsvindt en of de analisten in eigen beheer werken of zijn uitbesteed aan een extern SOC.

Voortdurende aanpassing en onderhoud van regels: Correlatieregels die zes maanden geleden nog accuraat waren, kunnen tegenwoordig actuele aanvalspatronen missen of buitensporig veel valse positieven genereren. Een provider dient de detectielogica voortdurend te onderhouden en bij te werken, waarbij nieuwe informatie over bedreigingen wordt verwerkt en regels worden aangepast naarmate uw omgeving en het dreigingslandschap veranderen.

Mogelijkheden voor geautomatiseerde reacties: Wanneereen bevestigde bedreiging wordt gedetecteerd, is de tijd die nodig is om deze in te dammen van cruciaal belang. Zoek naar regels voor geautomatiseerde reacties waarmee een apparaat kan worden geïsoleerd, een account kan worden geblokkeerd of een aflopende sessie kan worden gemarkeerd, zonder dat er handmatig ingegrepen hoeft te worden door een analist.

Integratie van dreigingsinformatie: De detectielogica is slechts zo actueel als de dreigingsinformatie waarop deze is gebaseerd. Kies voor aanbieders die indicatoren van compromittering regelmatig in de correlatieregels verwerken, en niet alleen bij driemaandelijkse updatecycli.

Rapportage over naleving: kant-en-klarerapportsjablonen voor HIPAA, PCI-DSS, AVG, SOC 2, NIST 800-53 en CMMC moeten vanaf dag één beschikbaar zijn; ze mogen niet als add-on worden verkocht of maatwerk vereisen.

Langdurige bewaring van logbestanden: Controleerde bewaartermijn. De meeste compliance-kaders schrijven een minimum van 12 maanden voor, en een doorzoekbare bewaartermijn van 400 dagen dekt de meest voorkomende auditperiodes zonder dat er een aparte archiveringsinfrastructuur nodig is.

Ondersteuning voor meerdere omgevingen en meerdere tenants Voororganisaties die de beveiliging beheren voor meerdere bedrijfsonderdelen, dochterondernemingen of klantaccounts, is het essentieel om het inzicht en de rapportage per omgeving te kunnen scheiden, terwijl het centrale beheer behouden blijft. Een cloudgebaseerde, beheerde SIEM met een multi-tenant-architectuur lost dit probleem naadloos op; bij single-tenant- of on-premises beheerde implementaties is dat vaak niet het geval.

Waarom een beheerde SIEM-oplossing?

De argumenten voor een beheerde SIEM-oplossing zijn gebaseerd op een reeks operationele en financiële voordelen die in de loop van de tijd aanzienlijk toenemen, met name voor organisaties die eerder hebben geprobeerd een zelfgehoste SIEM te gebruiken zonder over voldoende interne capaciteit te beschikken.

Het meest directe voordeel is een kortere time-to-value. Bij zelfgehoste SIEM-implementaties duurt het vaak maanden voordat er betrouwbare resultaten worden geleverd, aangezien gegevensbronnen moeten worden geïntegreerd, regels moeten worden afgestemd en referentiewaarden moeten worden vastgesteld. Een aanbieder van beheerde SIEM-oplossingen met kant-en-klare connectoren en een beproefde implementatiemethodiek kan een omgeving binnen enkele dagen tot weken volledig in kaart brengen.

Dit gaat gepaard met een afname van de ‘alert fatigue’. Organisaties die een zelfgehoste SIEM gebruiken, geven steevast aan overweldigd te worden door waarschuwingen van slechte kwaliteit. De deskundige triagelaag van een Managed SIEM filtert die ruis eruit voordat deze uw team bereikt, zodat escalaties al gevalideerd en geprioriteerd bij uw team terechtkomen, in plaats van dat analisten het onderzoek helemaal opnieuw moeten doen.

Toegang tot gespecialiseerde expertise is het derde voordeel. Om een intern team op te bouwen dat in staat is om 24/7 SIEM-activiteiten uit te voeren, zijn meerdere fulltime analisten nodig met vaardigheden die duur zijn om aan te werven en moeilijk te behouden. Managed SIEM biedt die expertise als onderdeel van de dienstverlening, inclusief proactieve dreigingsdetectie naar indicatoren van inbreuken die door geautomatiseerde regels over het hoofd worden gezien.

Het financiële argument maakt de zaak af. Bij Managed SIEM worden de variabele kosten voor de SIEM-infrastructuur en het personeel omgezet in een voorspelbaar abonnementsmodel, wat een reële organisatorische meerwaarde biedt die verder gaat dan de directe kostenvergelijking.

Hoe een beheerde SIEM-oplossing bijdraagt aan naleving

Naleving van regelgeving is een van de belangrijkste redenen voor de invoering van een beheerde SIEM-oplossing, en een beheerde SIEM-oplossing voldoet betrouwbaarder aan de nalevingsvereisten dan een zelfgehoste oplossing die nooit correct is geconfigureerd. Het gaat niet alleen om het opslaan van logbestanden, maar ook om het opslaan van de juiste logbestanden uit de juiste bronnen, het bewaren ervan gedurende de vereiste periode, het doorzoekbaar houden ervan en het genereren van gestructureerde rapporten waarop toezichthouders kunnen handelen.

Voor organisaties binnen de defensie-industrie schrijven de CMMC-vereisten van niveau 2 toegangsbeheer, auditlogging en procedures voor incidentafhandeling voor, die door een goed geïmplementeerd beheerd SIEM-systeem rechtstreeks worden ondersteund. Aanbieders van beheerde SIEM-oplossingen die bekend zijn met CMMC kunnen hun implementatie afstemmen op de vereiste specifieke werkwijzen, waardoor het beoordelingsproces aanzienlijk wordt vereenvoudigd.

Voor zorginstellingen hebben de HIPAA-vereisten inzake auditcontroles betrekking op de technische beveiligingsmaatregelen waarmee de toegang tot elektronische beschermde gezondheidsgegevens wordt gecontroleerd. De continue registratie van toegangsgegevens en de triage van waarschuwingen door Managed SIEM leveren het gedocumenteerde controleverslag op dat aan deze vereiste voldoet en dat de door de HIPAA voorgeschreven termijn voor snelle melding van inbreuken ondersteunt.

PCI-DSS schrijft voor dat er dagelijks logbestanden moeten worden gecontroleerd voor systemen die vallen onder de definitie van ‘cardholder data environments’. Een beheerde SIEM-oplossing automatiseert deze controle door middel van continue monitoring en geautomatiseerde waarschuwingen, waardoor beter aan de bedoeling van de eis wordt voldaan dan bij handmatige dagelijkse controles van logbestanden.

Prijsmodellen voor beheerde SIEM-oplossingen

De prijzen voor beheerde SIEM-oplossingen lopen sterk uiteen, afhankelijk van de aanbieder en het implementatiemodel. De meeste aanbieders maken hun prijzen niet openbaar, en de prijsstructuren verschillen zodanig dat een directe vergelijking moeilijk is. Als u zich voorafgaand aan het evalueren van de opties verdiept in de werking van de prijsmodellen, voorkomt u verrassingen wanneer u verder in de gesprekken met leveranciers komt.

De meest voorkomende prijsmodellen zijn:

• Bij de prijsstelling per gebruiker wordt een vast tarief per gebruiker in rekening gebracht voor de gehele bewaakte omgeving. Dit model is voorspelbaar en legt organisaties geen nadelen op wanneer ze meer gegevens verwerken, waardoor het eenvoudiger is om een begroting op te stellen en de kans kleiner is dat er prikkels ontstaan om de logboekdekking te beperken om de kosten te beheersen. Dit is het model dat Kaseya SIEM hanteert.
• Bij een op gegevensopname gebaseerde prijsstelling worden de kosten berekend op basis van het volume aan opgenomen loggegevens, dat doorgaans wordt gemeten in gigabytes per dag. Dit model kan al snel duur worden naarmate omgevingen groeien en gegevensvolumes toenemen, en het creëert een problematische prikkel om het aantal logbronnen te beperken om de kosten te beheersen, wat precies het tegenovergestelde is van wat goede beveiligingspraktijken vereisen.
• Bij een gedifferentieerd abonnementsmodel worden vaste pakketten aangeboden op verschillende serviceniveaus, waarbij het instapniveau doorgaans basismonitoring en naleving omvat en hogere niveaus daarnaast beschikken over toegewijde analisten, threat hunting en SLA’s met snellere reactietijden. Dit model komt veel voor bij MSSP’s en biedt een redelijke voorspelbaarheid van de kosten op elk niveau.

Bij het vergelijken van prijzen is de totale eigendomskost belangrijker dan de abonnementsprijs. Houd er rekening mee of de prijs de tijd van analisten omvat, of er sjablonen voor nalevingsrapportages zijn inbegrepen, wat de kosten voor onboarding en integratie zijn, en of de gegevensopslag onbeperkt is of apart in rekening wordt gebracht.

De juiste aanbieder van beheerde SIEM-oplossingen kiezen

De kernfunctionaliteiten van beheerde SIEM-oplossingen lijken vaak op elkaar, ongeacht de leverancier. De verschillen die bepalen of de dienst daadwerkelijk werkt, zitten in de diepgang van de expertise van de analisten, de kwaliteit van het integratie-ecosysteem en de mate waarin het dienstverleningsmodel aansluit bij de praktijk van uw team.

van het kwaliteits- en dekkingsmodel van analisten Vraag of de analisten interne beveiligingsspecialisten zijn of dat ze zijn uitbesteed aan een onderaannemer (SOC), en hoe het escalatieproces eruitziet wanneer een bevestigde dreiging een reactie vereist. Een dienst met ervaren threat hunters levert heel andere resultaten op dan een dienst die vertrouwt op generalistische analisten die volgens vaste draaiboeken werken.

Omvang van de integratiemogelijkheden
Een beheerde SIEM is slechts zo nuttig als de gegevens die het kan verwerken. Controleer of de connectorbibliotheek van de aanbieder alle bronnen in uw omgeving omvat, inclusief uw specifieke cloudplatforms, SaaS-toepassingen en beveiligingstools voor eindpunten. Kant-en-klare, onderhouden connectoren zijn belangrijker dan een lange lijst met integraties die alleen met veel maatwerk kunnen worden geïmplementeerd.

Bewaartermijn en zoekmogelijkheden
Controleer de bewaartermijn van de logbestanden en ga na of de bewaarde logbestanden gedurende de gehele bewaartermijn volledig doorzoekbaar zijn. Archieven in ‘cold storage’ waar het uren duurt om gegevens uit op te vragen, zijn vanuit operationeel oogpunt onbruikbaar voor actieve forensische onderzoeken. Zoek naar aanbieders die als minimum 12 maanden doorzoekbare opslag bieden, met langere termijnen voor gereguleerde omgevingen.

Dekking op het gebied van compliance
Als compliance een belangrijke drijfveer is, controleer dan of de kant-en-klare rapportsjablonen de specifieke kaders binnen het toepassingsgebied dekken, waaronder HIPAA, PCI-DSS, AVG, SOC 2, NIST 800-53 en CMMC, en of de aanbieder ervaring heeft met het implementeren van managed SIEM in omgevingen met vergelijkbare wettelijke verplichtingen.

Transparantie en gedeelde verantwoordelijkheid
Zorg dat u duidelijk weet waarvoor de dienstverlener verantwoordelijk is en wat onder uw verantwoordelijkheid valt. Hiaten in het model van gedeelde verantwoordelijkheid, met name op het gebied van incidentafhandeling en gegevenssoevereiniteit, zijn de punten waarop managed SIEM-relaties het vaakst mislukken. Vraag om een gedocumenteerde servicebeschrijving waarin de SLA’s voor incidentafhandeling, escalatiedrempels en de afbakening tussen incidenten die door de dienstverlener worden opgelost en incidenten waarvoor uw team moet worden ingeschakeld, duidelijk zijn vastgelegd.

Hoe Kaseya kan helpen

Managed SIEM overbrugt de kloof tussen het hebben van een SIEM en het hebben van een SIEM die daadwerkelijk werkt. De technologie zorgt voor het inzicht. De managed service zorgt voor de mensen, de processen en het doorlopende onderhoud die dat inzicht omzetten in concrete beveiligingsmaatregelen.

Kaseya SIEM biedt een co-managed SIEM-oplossing die speciaal is ontwikkeld voor MSP’s en IT-teams. Het combineert omgevingsoverschrijdende dreigingscorrelatie via meer dan 60 native connectoren voor endpointsen, cloudapps, netwerken, identiteitsbeheer en e-mail met 24/7 monitoring door analisten, geautomatiseerde responsregels en een bewaartermijn van 400 dagen voor doorzoekbare logbestanden. Kant-en-klare compliance-rapportages dekken vanaf dag één HIPAA, PCI-DSS, AVG, SOC 2 en NIST 800-53. Gebruikersgebaseerde prijsstelling betekent dat de kosten meegroeien met uw personeelsbestand, niet met uw datavolume, zodat u nooit wordt gestraft voor een betere logboekdekking.

Voor MSP’s die beheerde beveiligingsdiensten aan klanten leveren, biedt de multi-tenant-architectuur van Kaseya SIEM gecentraliseerd inzicht in elke klantomgeving, met afzonderlijke rapportage en waarschuwingen per account. Hierdoor worden beheerde beveiligingsdiensten schaalbaar in plaats van louter extra overhead.