Wat is managed SIEM? Hoe werkt het en waar moet je op letten?

Een SIEM-systeem beheren is één ding. Het goed beheren is iets heel anders. Security Information and Event Management levert enorme waarde op als het op de juiste manier wordt geïmplementeerd, afgestemd en onderhouden, maar om aan die drie voorwaarden te blijven voldoen, zijn voortdurende inspanningen nodig. Correlatieregels moeten worden bijgewerkt naarmate bedreigingen zich ontwikkelen. Waarschuwingsdrempels moeten worden bijgesteld als omgevingen veranderen. Gegevensbronnen moeten continu worden gemonitord om ervoor te zorgen dat de juiste logs in de juiste hoeveelheid binnenkomen. Voor beveiligingsteams die het al druk genoeg hebben, is die operationele overhead vaak het verschil tussen een SIEM die presteert en een die onderbenut blijft.

Managed SIEM lost dat probleem op door uw team te ontlasten. U profiteert van het inzicht, de dreigingsdetectie en de compliance-dekking van een volledige SIEM-implementatie, ondersteund door een provider die de configuratie, afstemming en monitoring voor u verzorgt. De markt voor managed SIEM weerspiegelt deze groeiende vraag. Volgens The Business Research Company bereikte de wereldwijde markt voor managed SIEM en logboekbeheer in 2025 een waarde van 3,67 miljard dollar en zal deze naar verwachting tot 2029 groeien met een CAGR van 10,3%, grotendeels aangedreven door organisaties die op zoek zijn naar professioneel beheer in plaats van te proberen complexe beveiligingsactiviteiten intern in stand te houden.

Kaseya biedt beheerde SIEM aan via zijn co-managed SOC-model, waardoor we een duidelijk beeld krijgen van wat effectieve beheerde SIEM onderscheidt van een standaard hostingoplossing en wat organisaties van elke omvang van een provider mogen verwachten.

Wat is managed SIEM?

Managed SIEM is een beveiligingsdienst waarbij SIEM-technologie wordt gecombineerd met doorlopend deskundig beheer, monitoring en ondersteuning door een externe leverancier. In plaats van een SIEM-systeem zelf te implementeren en te beheren, sluiten organisaties een contract met een managed security service provider die de SIEM-infrastructuur host, de implementatie en integratie verzorgt, de detectielogica onderhoudt en de omgeving namens de klant bewaakt.

Het ‘beheerde’ aspect is wat het onderscheidt van een standaard SIEM-tool. Een zelfgehoste SIEM biedt uw team het inzicht en de detectiemogelijkheden van de technologie, maar uw team is verantwoordelijk voor alles wat ervoor zorgt dat het systeem werkt: het koppelen van gegevensbronnen, het opstellen en afstemmen van correlatierules, het onderzoeken van waarschuwingen en het up-to-date houden van het systeem naarmate uw omgeving en het dreigingslandschap veranderen. Managed SIEM draagt die verantwoordelijkheid over aan de provider, waardoor uw team zich kan concentreren op de waarschuwingen en beslissingen die interne kennis vereisen, in plaats van op het operationeel houden van de tooling.

Managed SIEM kent verschillende verwante benamingen, afhankelijk van de omvang van de dienstverlening. De termen ‘SIEM-as-a-service’ en ‘cloudgebaseerde managed SIEM’ worden in de meeste contexten door elkaar gebruikt. ‘Co-managed SIEM’ verwijst naar een specifiek model waarbij de aanbieder de infrastructuur en het lopende onderhoud voor zijn rekening neemt, terwijl de klant actief betrokken blijft bij het configureren van regels en het reageren op waarschuwingen. Het onderscheid tussen ‘fully managed’ en ‘co-managed’ is van belang bij het kiezen van een aanbieder en is de moeite waard om te begrijpen voordat men de verschillende opties gaat evalueren.

Als SIEM nog nieuw voor je is, biedt onze gids over SIEM een volledig overzicht van hoe de technologie werkt, wat ze detecteert en wat je van een implementatie kunt verwachten.

Hoe een beheerde SIEM werkt

Managed SIEM functioneert als een doorlopend samenwerkingsverband tussen uw organisatie en een extern beveiligingsteam, en werkt op drie niveaus die continu achter elkaar worden uitgevoerd.

Ten eerste is er de gegevensverzameling. De leverancier implementeert connectoren of agents in uw omgeving, waarmee log- en gebeurtenisgegevens van eindpunten, firewalls, cloudplatforms, SaaS-toepassingen, identiteitssystemen en netwerkapparaten naar een gecentraliseerde opslagplaats worden gehaald. De reikwijdte van deze opnamelaag bepaalt hoe volledig het inzicht daadwerkelijk is.

Het tweede onderdeel is dreigingsanalyse. De binnenkomende gegevensstromen worden verwerkt door de correlatie-engine van de provider, waar geautomatiseerde regels en AI-gestuurde gedragsanalyses verdachte patronen opsporen. De provider onderhoudt en actualiseert deze detectielogica door nieuwe dreigingsinformatie te verwerken en de gevoeligheid van de regels aan te passen naarmate de dreigingen veranderen.

Het derde punt betreft validatie en reactie door experts. Een aanbieder van beheerde SIEM-diensten zet analisten in om waarschuwingen te beoordelen en te valideren voordat ze worden doorgegeven. Zij gaan na of een patroon een daadwerkelijke bedreiging vormt, bepalen de ernst en omvang ervan, en lossen incidenten met een lagere prioriteit direct op of geven ze door met alle relevante context.

Het resultaat is een continu bewaakte omgeving waarin uw team geverifieerde, geprioriteerde incidenten ontvangt in plaats van een enorme hoeveelheid onbewerkte meldingen.

Inzicht in beheerde SIEM: belangrijke vergelijkingen

Voordat u aanbieders of implementatiemethoden gaat beoordelen, is het nuttig om te weten hoe managed SIEM zich verhoudt tot vergelijkbare opties. De drie onderstaande vergelijkingen gaan in op de meest voorkomende vragen die organisaties hebben wanneer ze managed SIEM voor het eerst in overweging nemen.

Beheerde SIEM versus zelfgehoste SIEM

De keuze tussen een beheerde en een zelfgehoste SIEM komt neer op één enkele vraag: beschikt uw organisatie over de interne capaciteit om een SIEM optimaal te laten functioneren? In de onderstaande vergelijking wordt weergegeven wat de voor- en nadelen zijn.

Een zelfgehoste SIEM is vaak de juiste keuze voor organisaties met ervaren interne beveiligingsteams, de middelen om 24/7 ondersteuning te bieden en specifieke eisen op het gebied van gegevenssoevereiniteit of aangepaste detectielogica waaraan een beheerde dienst niet kan voldoen. Voor de meeste kleine en middelgrote bedrijven, middelgrote ondernemingen en MSP’s die omgevingen met meerdere klanten beheren, biedt een beheerde SIEM een completer beveiligingsresultaat tegen lagere totale kosten dan wanneer men zou proberen om intern een vergelijkbare capaciteit op te bouwen en in stand te houden.

Volledig beheerd versus gedeeltelijk beheerd SIEM

Niet alle beheerde SIEM-diensten werken op dezelfde manier. De twee meest voorkomende modellen zijn ‘volledig beheerd’ en ‘mede beheerd’, en de juiste keuze hangt af van de mate waarin uw interne team betrokken wil blijven.

Bij volledig beheerde SIEM-oplossingen ligt de volledige verantwoordelijkheid bij de provider. De provider zorgt voor de implementatie van de infrastructuur, koppelt gegevensbronnen aan, stelt detectieregels op en onderhoudt deze, bewaakt meldingen 24/7, beoordeelt incidenten en escaleert deze alleen naar uw team wanneer actie vereist is. De betrokkenheid van uw team blijft beperkt tot het ontvangen van escalaties en het nemen van beslissingen over bevestigde bedreigingen. Dit model is het meest geschikt voor organisaties met beperkte interne beveiligingskennis die de complexiteit van SIEM-beheer niet willen dragen.

Gedeeld beheer van SIEM is een model waarbij de verantwoordelijkheid wordt gedeeld. De leverancier zorgt voor de infrastructuur, het onderhoud en de basisbewaking, terwijl uw interne team actief betrokken blijft bij het aanpassen van regels, het beoordelen van waarschuwingen en het reageren op incidenten. Dit model is geschikt voor organisaties die over enige interne beveiligingscapaciteit beschikken en zicht en controle willen behouden over hun detectielogica, maar niet over de capaciteit beschikken om de onderliggende infrastructuur te beheren of 24/7 bewaking uit te voeren zonder externe ondersteuning.

Gedeeld beheer van SIEM-systemen wordt steeds vaker het voorkeursmodel voor MSP’s die hun klanten beheerde beveiligingsdiensten willen aanbieden zonder hun beveiligingsactiviteiten volledig uit te besteden. Het stelt MSP’s in staat om hun eigen expertise en klantspecifieke kennis toe te passen op basis van een beheerde infrastructuur, in plaats van de volledige controle uit handen te geven aan een externe leverancier.

Managed SIEM versus MDR

Managed SIEM en Managed Detection and Response (MDR) zijn beide beveiligingsdiensten die door externe aanbieders worden geleverd, en ze worden vaak met elkaar vergeleken als alternatieven. Het belangrijkste verschil zit hem in de reikwijdte. Managed SIEM richt zich op de SIEM-laag: het verzamelen en correleren van logbestanden, het beoordelen van waarschuwingen en het opstellen van nalevingsrapportages. MDR is een bredere dienst die daar actieve respons op eindpunten, netwerken en cloudomgevingen aan toevoegt, waarbij het opsporen van bedreigingen en maatregelen om deze in te dammen vaak standaard zijn inbegrepen.

Voor organisaties die zowel continue monitoring als actieve incidentrespons nodig hebben, vullen deze twee diensten elkaar aan in plaats van dat ze met elkaar concurreren. Managed SIEM biedt de gegevensbasis en het nalevingsdossier. MDR biedt daarbovenop de mogelijkheid tot mensgestuurde respons. Voor een volledig overzicht van de verschillen tussen beide diensten en wanneer u welke dienst het beste kunt inzetten, raadpleegt u onze gids over MDR versus SIEM.

Belangrijkste onderdelen van een beheerde SIEM-oplossing

De mogelijkheden van een beheerde SIEM-dienst reiken verder dan wat de onderliggende SIEM-technologie op zichzelf te bieden heeft. Dit is wat een goed opgezette dienst zou moeten omvatten:

24/7 monitoring en triage van waarschuwingen
Continue monitoring door gekwalificeerde analisten is het belangrijkste kenmerk van het servicemodel. Vraag specifiek of de monitoring 24 uur per dag, 7 dagen per week en 365 dagen per jaar plaatsvindt en of de analisten in eigen beheer werken of zijn uitbesteed aan een extern SOC.

Voortdurende aanpassing en onderhoud van regels
Correlatieregels die zes maanden geleden nog accuraat waren, kunnen tegenwoordig actuele aanvalspatronen missen of buitensporig veel valse positieven genereren. Een dienstverlener moet de detectielogica voortdurend onderhouden en bijwerken, waarbij nieuwe informatie over bedreigingen wordt verwerkt en regels worden aangepast naarmate uw omgeving en het dreigingslandschap veranderen.

Mogelijkheden voor geautomatiseerde reacties
Wanneer een bevestigde bedreiging wordt gedetecteerd, is snelle inperking van cruciaal belang. Zoek naar regels voor geautomatiseerde reacties waarmee een apparaat kan worden geïsoleerd, een account kan worden geblokkeerd of een aflopende sessie kan worden gemarkeerd, zonder dat er hoeft te worden gewacht op handmatige tussenkomst van een analist.

voor de integratie van dreigingsinformatieDe detectielogica is slechts zo actueel als de dreigingsinformatie waarop deze is gebaseerd. Kies voor aanbieders die indicatoren van compromittering regelmatig in de correlatieregels verwerken, en niet alleen bij driemaandelijkse updatecycli.

voor nalevingsrapportage. Kant-en-klare rapportsjablonen voor HIPAA, PCI-DSS, AVG, SOC 2, NIST 800-53 en CMMC moeten vanaf dag één beschikbaar zijn; ze mogen niet als extraatje worden verkocht of maatwerk vereisen.

voor het langdurig bewaren van logbestandenControleer de bewaartermijn. De meeste compliance-kaders schrijven een minimum van 12 maanden voor, en een bewaartermijn van 400 dagen waarbij de gegevens doorzoekbaar blijven, dekt de meest gangbare auditperiodes zonder dat er een aparte archiveringsinfrastructuur nodig is.

Ondersteuning voor meerdere omgevingen en meerdere tenants
Voor organisaties die de beveiliging voor meerdere bedrijfsonderdelen, dochterondernemingen of klantaccounts beheren, is het essentieel om het inzicht en de rapportage per omgeving te kunnen scheiden, terwijl het beheer gecentraliseerd blijft. Een cloudgebaseerde, beheerde SIEM met een multi-tenant-architectuur lost dit probleem moeiteloos op; bij single-tenant-oplossingen of on-premises beheerde implementaties is dat vaak niet het geval.

Waarom een beheerde SIEM-oplossing?

De argumenten voor een beheerd SIEM-systeem zijn gebaseerd op een reeks operationele en financiële voordelen die in de loop van de tijd aanzienlijk toenemen, met name voor organisaties die eerder hebben geprobeerd een zelfgehost SIEM-systeem te gebruiken zonder over voldoende interne capaciteit te beschikken.

Het meest directe voordeel is een kortere time-to-value. Bij zelfgehoste SIEM-implementaties duurt het vaak maanden voordat er betrouwbare resultaten worden geleverd, omdat gegevensbronnen moeten worden geïntegreerd, regels moeten worden afgestemd en referentiewaarden moeten worden vastgesteld. Een aanbieder van beheerde SIEM-oplossingen met kant-en-klare koppelingen en een beproefde implementatiemethode kan een omgeving binnen enkele dagen tot weken volledig in kaart brengen.

Dit gaat gepaard met een afname van de waarschuwingsmoeheid. Organisaties die zelf een SIEM-systeem hosten, geven steevast aan overweldigd te worden door waarschuwingen van slechte kwaliteit. De deskundige triagelaag van een beheerd SIEM-systeem filtert die ruis eruit voordat deze uw team bereikt, zodat escalaties al gevalideerd en geprioriteerd bij uw team terechtkomen en analisten niet alles opnieuw hoeven te onderzoeken.

Toegang tot specialistische expertise is het derde voordeel. Om een intern team op te bouwen dat 24/7 SIEM-activiteiten kan uitvoeren, zijn meerdere fulltime analisten nodig met vaardigheden die duur zijn om aan te werven en moeilijk te behouden. Managed SIEM biedt die expertise als onderdeel van de dienstverlening, inclusief proactieve dreigingsdetectie naar aanwijzingen voor inbreuken die door geautomatiseerde regels over het hoofd worden gezien.

Het financiële argument maakt de zaak rond. Met Managed SIEM worden de variabele kosten voor SIEM-infrastructuur en personeel omgezet in een voorspelbaar abonnement, wat voor de organisatie een reële meerwaarde biedt die verder gaat dan alleen de directe kostenvergelijking.

Hoe een beheerd SIEM-systeem helpt bij het naleven van regelgeving

Naleving is een van de belangrijkste redenen om voor een beheerde SIEM-oplossing te kiezen, en een beheerde SIEM voldoet betrouwbaarder aan de nalevingsvereisten dan een zelfgehoste oplossing die nooit correct is geconfigureerd. Het gaat niet alleen om het opslaan van logbestanden, maar ook om het opslaan van de juiste logbestanden uit de juiste bronnen, het bewaren ervan gedurende de vereiste periode, het doorzoekbaar houden ervan en het genereren van gestructureerde rapporten waarop toezichthouders kunnen reageren.

Voor organisaties binnen de defensie-industrie schrijven de CMMC-vereisten van niveau 2 toegangsbeheer, auditlogging en procedures voor incidentrespons voor, die door een goed geïmplementeerd beheerd SIEM-systeem direct worden ondersteund. Aanbieders van beheerde SIEM-oplossingen die bekend zijn met CMMC kunnen hun implementatie afstemmen op de vereiste specifieke werkwijzen, waardoor het beoordelingsproces aanzienlijk wordt vereenvoudigd.

Voor zorginstellingen hebben de auditcontroles van de HIPAA betrekking op de technische beveiligingsmaatregelen waarmee de toegang tot elektronische beschermde gezondheidsgegevens wordt gecontroleerd. De continue toegangsregistratie en triage van waarschuwingen door Managed SIEM leveren het gedocumenteerde controleverslag op dat aan deze eis voldoet en dat de door de HIPAA voorgeschreven termijn voor snelle melding van inbreuken ondersteunt.

PCI-DSS schrijft voor dat er dagelijks logbestanden moeten worden gecontroleerd voor systemen die onder de definitie van 'cardholder data environments' vallen. Een beheerde SIEM-oplossing automatiseert deze controle door middel van continue monitoring en geautomatiseerde waarschuwingen, waardoor beter aan de bedoeling van de eis wordt voldaan dan bij handmatige dagelijkse logcontroles.

Prijsmodellen voor beheerde SIEM-oplossingen

De prijzen voor beheerde SIEM-oplossingen lopen sterk uiteen, afhankelijk van de aanbieder en het implementatiemodel. De meeste aanbieders maken hun prijzen niet openbaar, en de structuur verschilt zo sterk dat een directe vergelijking moeilijk is. Als u zich goed verdiept in de prijsmodellen voordat u de verschillende opties gaat vergelijken, voorkomt u onaangename verrassingen wanneer u verder in de onderhandelingen met een leverancier komt.

De meest voorkomende prijsmodellen zijn:

• Bij de prijsstelling per gebruiker wordt een vast tarief per gebruiker in rekening gebracht voor de gehele bewaakte omgeving. Dit model is voorspelbaar en legt organisaties geen extra kosten op wanneer ze meer gegevens verwerken, waardoor het eenvoudiger is om te budgetteren en er minder kans is dat er prikkels ontstaan om de logboekdekking te beperken om de kosten te beheersen. Dit is het model dat Kaseya SIEM hanteert.
• Bij een op gegevensopname gebaseerde prijsstelling worden kosten in rekening gebracht op basis van de hoeveelheid opgenomen loggegevens, doorgaans gemeten in gigabytes per dag. Dit model kan al snel duur uitvallen naarmate omgevingen groeien en de gegevensvolumes toenemen, en het creëert een problematische prikkel om het aantal logbronnen te beperken om de kosten te beheersen, wat precies het tegenovergestelde is van wat goede beveiligingspraktijken vereisen.
• Bij een gelaagde abonnementsstructuur worden vaste pakketten aangeboden op verschillende serviceniveaus, waarbij het instapniveau doorgaans basismonitoring en naleving omvat en hogere niveaus daarnaast ook toegewijde analisten, threat hunting en SLA’s met snellere reactietijden bieden. Dit model komt veel voor bij MSSP’s en biedt op elk niveau een redelijke voorspelbaarheid van de kosten.

Bij het vergelijken van prijzen is de totale eigendomskosten belangrijker dan de abonnementsprijs. Houd er rekening mee of de prijs de tijd van analisten omvat, of er sjablonen voor nalevingsrapportages zijn inbegrepen, wat de kosten voor implementatie en integratie zijn, en of het bewaren van gegevens onbeperkt is of apart in rekening wordt gebracht.

De juiste aanbieder van beheerde SIEM-oplossingen kiezen

De kernfunctionaliteiten van beheerde SIEM-oplossingen lijken vaak op elkaar, ongeacht de leverancier. De verschillen die bepalen of de dienst daadwerkelijk werkt, zitten hem in de diepgang van de expertise van de analisten, de kwaliteit van het integratie-ecosysteem en de mate waarin het servicemodel aansluit bij de praktijk van uw team.

over de kwaliteit en het dekkingsgebied van analisten Vraag of de analisten interne beveiligingsspecialisten zijn of worden uitbesteed aan een extern SOC, en hoe het escalatieproces verloopt wanneer er op een bevestigde dreiging moet worden gereageerd. Een dienst met ervaren threat hunters levert heel andere resultaten op dan een dienst die vertrouwt op generalistische analisten die volgens vaste draaiboeken werken.

Omvang van de integratiemogelijkheden
Een beheerd SIEM-systeem is slechts zo nuttig als de gegevens die het kan verwerken. Controleer of de connectorbibliotheek van de aanbieder alle bronnen in uw omgeving omvat, inclusief uw specifieke cloudplatforms, SaaS-toepassingen en beveiligingstools voor eindpunten. Kant-en-klare, onderhouden connectoren zijn belangrijker dan een lange lijst met integraties die alleen met veel maatwerk kunnen worden geïmplementeerd.

Bewaartermijn en zoekmogelijkheden
Controleer de bewaartermijn van de logbestanden en ga na of de bewaarde logbestanden gedurende de gehele bewaartermijn volledig doorzoekbaar zijn. Archieven in cold storage die uren nodig hebben om te doorzoeken, zijn operationeel gezien onbruikbaar voor actieve forensische onderzoeken. Zoek naar aanbieders die minimaal 12 maanden doorzoekbare opslag als uitgangspunt bieden, met langere termijnen voor gereguleerde omgevingen.

voor naleving Controleer, als naleving een belangrijke drijfveer is, of de kant-en-klare rapportsjablonen de relevante regelgevingskaders dekken, waaronder HIPAA, PCI-DSS, AVG, SOC 2, NIST 800-53 en CMMC, en of de leverancier ervaring heeft met het implementeren van beheerde SIEM-oplossingen in omgevingen met vergelijkbare wettelijke verplichtingen.

Transparantie en gedeelde verantwoordelijkheid
Zorg dat u duidelijk weet waarvoor de leverancier verantwoordelijk is en wat onder uw verantwoordelijkheid valt. Tekortkomingen in het model van gedeelde verantwoordelijkheid, met name op het gebied van incidentafhandeling en gegevenssoevereiniteit, zijn de punten waarop managed SIEM-relaties het vaakst mislukken. Vraag om een gedocumenteerde servicebeschrijving waarin de SLA’s voor incidentafhandeling, escalatiedrempels en de afbakening tussen door de leverancier opgeloste incidenten en incidenten waarbij uw team moet worden ingeschakeld, duidelijk zijn vastgelegd.

Hoe Kaseya kan helpen

Managed SIEM overbrugt de kloof tussen het hebben van een SIEM en het hebben van een SIEM die daadwerkelijk werkt. De technologie zorgt voor het inzicht. De managed service zorgt voor de mensen, de processen en het doorlopende onderhoud die dat inzicht omzetten in concrete beveiligingsmaatregelen.

Kaseya SIEM biedt een co-managed SIEM-oplossing die speciaal is ontwikkeld voor MSP’s en IT-teams. Het combineert omgevingsoverschrijdende dreigingscorrelatie via meer dan 60 native connectoren voor eindpunten, cloudapps, netwerken, identiteitsbeheer en e-mail met 24/7 monitoring door analisten, geautomatiseerde responsregels en een bewaartermijn van 400 dagen voor doorzoekbare logbestanden. Kant-en-klare compliance-rapportages dekken vanaf dag één HIPAA, PCI-DSS, AVG, SOC 2 en NIST 800-53. Gebruikersgebaseerde prijsstelling betekent dat de kosten meegroeien met uw personeelsbestand, niet met uw datavolume, zodat u nooit wordt gestraft voor een betere logboekdekking.

Voor MSP’s die beheerde beveiligingsdiensten aan klanten leveren, biedt de multi-tenant-architectuur van Kaseya SIEM gecentraliseerd inzicht in elke klantomgeving, met afzonderlijke rapportage en waarschuwingen per account. Hierdoor worden beheerde beveiligingsdiensten schaalbaar in plaats van louter extra overhead.