Wat is SOC-as-a-Service (SOCaaS)?

Het opzetten en onderhouden van een eigen Security Operations Center (SOC) is een van de meest kapitaalintensieve investeringen op het gebied van cyberbeveiliging. De infrastructuur, de tools en de 24-uursbezetting door analisten die nodig zijn om een effectief SOC te runnen, maken dit voor de meeste organisaties buiten de grote ondernemingen onhaalbaar. Toch zijn de bedreigingen waarmee deze organisaties worden geconfronteerd niet evenredig kleiner. Ransomware, diefstal van inloggegevens en aanvallen op de toeleveringsketen maken geen onderscheid naar bedrijfsgrootte.

SOC-as-a-Service (SOCaaS) is bedoeld om die leemte op te vullen. Het biedt de monitoring-, detectie- en responsmogelijkheden van een volledig bemand SOC via een uitbesteed abonnementsmodel, zonder dat organisaties die capaciteit zelf hoeven op te bouwen. Voor MSP's die hun klanten beveiliging op bedrijfsniveau willen bieden, en voor IT-teams die 24/7 bescherming nodig hebben zonder 24/7 personeel, maakt SOCaaS het beveiligingsmodel op elke schaal praktisch. Kaseya MDR en Kaseya SIEM zijn ontwikkeld om precies deze use case te ondersteunen, waardoor MSP's en IT-teams de tools krijgen om SOCaaS-niveau dekking te leveren of te ontvangen via een nauw geïntegreerde beveiligingsstack.

Wat is SOC-as-a-Service?

SOC as a Service is een beheerd beveiligingsmodel waarbij een externe dienstverlener de volledige functionaliteit van een Security Operations Center (SOC) op abonnementsbasis levert. De dienstverlener neemt de verantwoordelijkheid op zich voor continue monitoring, detectie van bedreigingen, onderzoek naar en reactie op incidenten, het opsporen van bedreigingen en rapportage over naleving van regelgeving binnen de gehele omgeving van de klant. De klant profiteert van beveiliging op SOC-niveau zonder dat hij deze capaciteit zelf hoeft op te bouwen of te bemannen.

SOCaaS is ontstaan als een praktisch antwoord op een structureel probleem op het gebied van cyberbeveiliging. De vaardigheden en middelen die nodig zijn om een effectief SOC te runnen, zijn nooit gelijkmatig verdeeld geweest. Grote ondernemingen konden zich gespecialiseerde beveiligingsteams, speciaal ontwikkelde tools en 24-uursdekking veroorloven. Alle anderen moesten het doen met wat ze intern aan personeel en middelen konden inzetten. SOCaaS verandert die situatie door SOC-capaciteit om te zetten in een dienst die meegroeit met de omgeving van de klant in plaats van met het aantal medewerkers.

Het model wordt volledig via de cloud geleverd. Er hoeft geen infrastructuur ter plaatse te worden geïnstalleerd, er hoeven geen fysieke faciliteiten te worden onderhouden en er is geen minimumaantal analisten vereist om de dienst rendabel te maken. Zowel een MKB-bedrijf met 50 medewerkers als een grote onderneming met 5.000 medewerkers kunnen gebruikmaken van dezelfde kwaliteit SOC-dienstverlening, waarbij de omvang van de dienstverlening wordt afgestemd op hun omgeving en risicoprofiel.

Wat houdt SOCaaS in? Belangrijkste kenmerken en mogelijkheden

Een goed gestructureerd SOCaaS-aanbod omvat alle beveiligingsactiviteiten die een intern SOC zou uitvoeren. De precieze omvang verschilt per aanbieder, maar de volgende mogelijkheden zijn standaard bij de meeste oplossingen op bedrijfsniveau.

Voortdurende monitoring en detectie

De basis van elk SOC is continu inzicht. Een SOCaaS-aanbieder verzamelt telemetriegegevens van de eindpunten, netwerken, clouddiensten, identiteitssystemen en SaaS-toepassingen van de klant en monitort die gegevens 24 uur per dag op tekenen van kwaadaardige activiteiten. Detectie combineert op handtekeningen gebaseerde identificatie van bekende bedreigingen met gedragsanalyses en AI-gestuurde modellen die nieuwe aanvallen en afwijkende patronen aan het licht brengen. De dekking is 24 uur per dag, zeven dagen per week, inclusief 's nachts, in het weekend en op feestdagen, wanneer interne teams doorgaans onderbezet of niet beschikbaar zijn.

Incidentrespons en beperking

Wanneer een detectie wordt bevestigd als een daadwerkelijke bedreiging, onderneemt de SOCaaS-provider actie. De responsworkflows variëren van geautomatiseerde inperkingsmaatregelen (het isoleren van een eindpunt, het blokkeren van een domein, het opschorten van een gecompromitteerd account) tot door analisten geleid onderzoek en begeleiding bij het herstel. De provider documenteert het incident, communiceert met het team van de klant en voert in veel gevallen direct responsacties uit in plaats van alleen maar te waarschuwen en af te wachten. De snelheid van de respons is waar de praktische waarde van SOCaaS het duidelijkst zichtbaar is. Een provider met gedefinieerde playbooks en geautomatiseerde tools kan een dreiging binnen enkele minuten in plaats van uren indammen.

Jacht op bedreigingen

Reactieve detectie spoort bedreigingen op die alarmen activeren. Bij proactieve dreigingsopsporing wordt een stap verder gegaan door de omgeving proactief te doorzoeken op tekenen van bedreigingen die nog niet zijn gedetecteerd. Dreigingsopsporers zoeken naar indicatoren van inbreuken, gedragspatronen van aanvallers en afwijkingen die erop wijzen dat een aanvaller onopgemerkt opereert, onder de drempel van geautomatiseerde detectie. Voor de meeste kleine en middelgrote ondernemingen is proactieve dreigingsopsporing simpelweg niet haalbaar zonder een externe dienstverlener, aangezien hiervoor gespecialiseerde analytische vaardigheden vereist zijn die moeilijk en duur zijn om intern aan te werven en te behouden.

Naleving en rapportage

SOCaaS-aanbieders leveren doorgaans periodieke rapportages die voldoen aan audit- en nalevingsvereisten. Dit omvat documentatie over monitoringactiviteiten, gedetecteerde incidenten, genomen responsmaatregelen en statistieken over de algehele beveiligingsstatus. Voor organisaties die onderworpen zijn aan regelgevingskaders zoals HIPAA, PCI DSS, SOC 2 of CMMC, zorgt het laten opstellen van deze documentatie door een managed provider voor een vermindering van zowel de werklast als het risico op onvolledige nalevingsbewijzen. Veel aanbieders bieden ook nalevingsspecifieke monitoringregels aan die zijn afgestemd op de relevante regelgeving.

SOCaaS versus het opzetten van een eigen SOC

Het belangrijkste argument voor SOCaaS ten opzichte van een intern SOC zijn de kosten en de snelheid waarmee dekking wordt bereikt, maar bij de vergelijking gaat het om meer dan alleen de cijfers op het eerste gezicht.

Het opzetten van een functioneel intern SOC vereist de aanwerving van minimaal vijf tot zeven fulltime analisten om 24 uur per dag dekking te garanderen (rekening houdend met ploegendiensten, verlof en personeelsverloop), de aanschaf en implementatie van SIEM-, EDR-, SOAR- en threat intelligence-platforms, en een investering van maanden in het configureren van de tools en het inwerken van het team voordat het SOC operationeel volwassen is. Voor organisaties in gereguleerde sectoren of organisaties die onder druk staan van hun cyberverzekering om aan te tonen dat ze over continue monitoringcapaciteit beschikken, vormt die opstartperiode een aanzienlijk risico.

SOCaaS verkort die doorlooptijd tot weken in plaats van maanden. De aanbieder zorgt voor zijn eigen tools, getrainde teams van analisten en beproefde detectieprocedures. Bij de implementatie wordt het platform van de aanbieder geïntegreerd in de omgeving van de klant, in plaats van dat er een platform vanaf nul wordt opgebouwd.

Het interne model biedt in bepaalde situaties wel degelijk voordelen. Voor organisaties die beschikken over zeer gevoelige of vertrouwelijke gegevens, te maken hebben met specifieke nalevingsvereisten, of over het budget en de ervaring beschikken om een intern team van wereldklasse op te bouwen, kan een intern SOC de investering waard zijn. Voor de meeste organisaties, en voor vrijwel alle kleine en middelgrote ondernemingen, is de verhouding tussen kosten en dekking bij SOCaaS aanzienlijk gunstiger.

De factor personeel verdient bijzondere aandacht. Burn-out bij SOC-analisten is een bekend probleem in de sector. Volgens onderzoek waarnaar ISACA verwijst, maakt het hoge verloop onder SOC-analisten het voor organisaties moeilijk om een consistente interne bemanning te handhaven, zelfs als ze hebben geïnvesteerd in het opbouwen van die capaciteit. SOCaaS-aanbieders nemen daarentegen de last van werving, opleiding en personeelsbehoud voor hun rekening.

Voordelen van SOC as a Service

SOCaaS levert een reeks operationele resultaten op die de meeste organisaties met eigen middelen niet op een kosteneffectieve manier kunnen realiseren. De belangrijkste voordelen zijn onder meer:

• 24/7 dekking zonder 24/7 personeel: Bedreigingen houden geen rekening met kantooruren. Een SOCaaS-aanbieder houdt de systemen continu in de gaten, ook ’s nachts, in het weekend en op feestdagen, zonder dat de klant nachtdiensten hoeft in te zetten of een rooster voor bereikbaarheidsdiensten hoeft bij te houden.
• Toegang tot gespecialiseerde expertise: SOC-analisten, threat hunters, incidentresponders en beveiligingsingenieurs vormen een talentenpool die zowel duur als moeilijk te werven is. SOCaaS-aanbieders onderhouden deze teams namens al hun klanten, waardoor gespecialiseerde expertise beschikbaar wordt voor organisaties die deze expertise zelf niet zouden kunnen aantrekken of behouden.
• Snellere implementatie: Het in gebruik nemen van een SOCaaS-aanbieder kost enkele weken. Het opzetten van een eigen SOC duurt maanden, en vaak duurt het nog langer voordat het volledig operationeel is. Voor organisaties die snel aantoonbare capaciteit op het gebied van beveiligingsactiviteiten nodig hebben (of dat nu is voor een cyberverzekering, een nalevingscontrole of een specifieke contractuele vereiste), is SOCaaS de snelste oplossing.
• Schaalbaarheid: SOCaaS schaalt mee met de omgeving van de klant, zonder dat dit een evenredige uitbreiding van het interne personeelsbestand of extra investeringen in tools vereist. Naarmate de organisatie groeit, clouddiensten toevoegt of haar kwetsbaarheidsoppervlak vergroot, wordt de omvang van de dienstverlening aangepast.
• Minder alarmmoeheid: SOCaaS-aanbieders filteren en beoordelen meldingen voordat ze deze doorsturen naar de klant, waardoor alleen bevestigde incidenten worden doorgestuurd in plaats van onbewerkte meldingen. Interne teams kunnen hun tijd besteden aan beslissingen die hun oordeel vereisen, in plaats van zich te moeten doorworstelen door grote hoeveelheden meldingen van lage kwaliteit.
• Verbetering van de beveiligingsstatus in de loop van de tijd: een goede SOCaaS-aanbieder voert evaluaties uit na incidenten, verfijnt detectieregels en verwerkt informatie over bedreigingen in de monitoring. De dienst wordt steeds effectiever naarmate er meer kennis over de omgeving van de klant wordt opgebouwd.

Hoe SOCaaS zich verhoudt tot vergelijkbare beheerde beveiligingsdiensten

SOCaaS bestaat naast verschillende categorieën van beheerde beveiligingsdiensten die elkaar overlappen en er van buitenaf gezien op elkaar lijken. Als organisaties begrijpen waarin deze modellen van elkaar verschillen, kunnen ze beter beoordelen welk model daadwerkelijk bij hun behoeften past.

SOCaaS versus MDR

Managed Detection and Response (MDR) en SOCaaS zijn de twee categorieën die het vaakst door elkaar worden gehaald, en dat is niet voor niets. Beide combineren detectietechnologie met menselijke analyse om uitbestede beveiligingsmonitoring en -respons te bieden.

Het functionele verschil zit hem in de reikwijdte. MDR richt zich doorgaans op detectie en respons binnen specifieke bedreigingsgebieden, meestal eindpunten, cloudomgevingen en identiteitssystemen. SOCaaS is van opzet breder en omvat het volledige scala aan SOC-functies, waaronder compliance-rapportage, coördinatie van kwetsbaarheidsbeheer en de operationele governance-laag die boven detectie en respons ligt. In de praktijk hebben veel MDR-diensten hun reikwijdte aanzienlijk uitgebreid en opereren ze vrijwel op hetzelfde niveau als wat een SOCaaS-aanbod biedt. Voor kopers is de relevante vraag niet welk label een aanbieder gebruikt, maar welke functies hun dienst daadwerkelijk omvat.

SOCaaS versus MSSP

Een Managed Security Service Provider (MSSP) biedt een breder portfolio aan beheerde beveiligingsdiensten, waaronder naast detectie en respons ook firewallbeheer, identiteits- en toegangsbeheer, nalevingscontrole en kwetsbaarheidsscans. SOCaaS is een specifiek leveringsmodel dat gericht is op functies die vergelijkbaar zijn met die van een SOC; MSSP is een dienstencategorie waarin SOCaaS als onderdeel van een bredere overeenkomst kan worden opgenomen.

MSSP’s worden van oudsher vooral geassocieerd met het doorsturen van waarschuwingen en het genereren van tickets, in plaats van met actief onderzoek en respons. Dit is precies waar SOCaaS- en MDR-aanbieders zich onderscheiden. Een organisatie die een MSSP overweegt, moet specifiek nagaan of het aanbod van die aanbieder actief incidentonderzoek en -respons omvat, of dat het beperkt blijft tot monitoring en waarschuwingen.

Prijzen voor SOCaaS: hoe het model werkt

SOCaaS wordt aangeboden als abonnementsdienst, maar de precieze prijsstructuur verschilt per aanbieder. Inzicht in de gangbare modellen helpt organisaties om de verschillende opties nauwkeurig te beoordelen en te vergelijken:

• Prijzen per eindpunt of per gebruiker zijn de meest gangbare structuur. De klant betaalt een maandelijks of jaarlijks bedrag op basis van het aantal bewaakte apparaten of gebruikersaccounts. Dit model is voorspelbaar en schaalt op natuurlijke wijze mee met de omvang van de organisatie, waardoor het eenvoudig is om hierin te begroten.
• Gelaagde servicepakketten combineren verschillende serviceniveaus (alleen monitoring, monitoring plus respons, volledige SOC-equivalente diensten) tegen verschillende prijzen. Hierdoor kunnen organisaties beginnen met een basisdekking en deze uitbreiden naarmate de behoeften toenemen of het budget dit toelaat.
• Prijsstelling op basis van volume of omgeving komt vaker voor bij implementaties in grote ondernemingen, waar de omvang van de bewaakte infrastructuur (aantal logbronnen, volume van de gegevensinvoer, cloudomgevingen) bepalend is voor de prijs, in plaats van het aantal medewerkers.

Wat opvallend ontbreekt in de prijsopgaven van gerenommeerde SOCaaS-aanbieders, is een echt standaardtarief. Omgevingen, de vereisten op het gebied van dekking en nalevingsbehoeften lopen te sterk uiteen om één enkel tarief algemeen te kunnen hanteren. De meeste aanbieders vragen om een kennismakingsgesprek en een verkenningsfase voordat ze een offerte opstellen, en kopers moeten op hun hoede zijn voor aanbieders die een offerte uitbrengen zonder eerst inzicht te hebben in de omgeving die ze gaan monitoren.

Hoe SOC-as-a-Service-aanbieders te beoordelen

Niet alle SOCaaS-oplossingen bieden dezelfde dekking of reactiesnelheid. Door aanbieders aan de hand van de volgende criteria te beoordelen, kunt u een onderscheid maken tussen aanbieders die serieus in aanmerking komen en aanbieders die al in een vroeg stadium moeten worden afgewezen.

Reactievermogen, niet alleen monitoring
Het verschil tussen een aanbieder die waarschuwt en een aanbieder die reageert, is aanzienlijk. Ga na of de aanbieder actieve maatregelen neemt om de schade te beperken, of dat hij het team van de klant alleen op de hoogte stelt wanneer er iets wordt gedetecteerd. Actieve respons, waaronder het isoleren van eindpunten, het opschorten van accounts en het verwijderen van bedreigingen, is de norm waaraan een kwalitatief hoogstaand SOCaaS-aanbod moet voldoen.

Omvang van de dekking
Ontdek welke omgevingen en gegevensbronnen de provider bewaakt (eindpunten, netwerk, cloudplatforms, SaaS-toepassingen, identiteitssystemen, e-mail). Hiaten in de dekking leiden tot hiaten in de detectie. Een provider die bijvoorbeeld wel eindpunten bewaakt maar niet Microsoft 365, laat daarmee een van de meest voorkomende aanvalsvectoren voor initiële toegang onbewaakt.

Beschikbaarheid van analisten en escalatieprocedure
Controleer of er 24 uur per dag, 7 dagen per week menselijke analisten beschikbaar zijn, en niet alleen geautomatiseerde tools. Zorg dat u op de hoogte bent van de escalatieprocedure. Hoe snel reageert een analist op een bevestigde dreiging, en hoe communiceert hij of zij met uw team tijdens een actief incident?

Integratie met bestaande tools
Een SOCaaS-aanbieder moet kunnen integreren met de tools die de klant al gebruikt, waaronder RMM-platforms, PSA-systemen (voor MSP’s), EDR-agents en identiteitsproviders. Aanbieders die eisen dat de bestaande stack wordt vervangen door hun eigen tools, zorgen voor onnodige overstapkosten en implementatierisico’s.

Transparantie en rapportage
Klanten moeten voortdurend inzicht hebben in wat de dienstverlener in de gaten houdt, wat er is gedetecteerd en welke maatregelen er zijn genomen. Regelmatige rapportages, voor klanten toegankelijke dashboards en snelle communicatie zijn basisverwachtingen binnen een managed service-relatie.

Relevante ervaring op het gebied van compliance
Als de organisatie actief is in een gereguleerde sector, moet de dienstverlener aantoonbare ervaring hebben met het ondersteunen van dat compliancekader. Algemene SOC-dekking en compliance-specifieke monitoring zijn twee wezenlijk verschillende zaken.

SOCaaS voor MSP’s: het leveren van managed SOC aan klanten

De meeste informatie over SOCaaS is gericht op organisaties die overwegen om een beheerde SOC-oplossing aan te schaffen. Voor MSP’s is de vraag vaak of, en zo ja hoe, ze deze dienst moeten aanbieden.

Door SOCaaS aan klanten aan te bieden, positioneert een MSP zich in het hogere segment van het aanbod aan beveiligingsdiensten en creëert het een duurzame bron van terugkerende inkomsten waar klanten moeilijk afstand van kunnen doen zodra de dienst in hun omgeving is geïntegreerd. Het speelt ook in op een reële en groeiende vraag van klanten: kleine en middelgrote ondernemingen die te maken hebben met vereisten op het gebied van cyberverzekeringen, nalevingsverplichtingen en steeds geavanceerdere bedreigingen, zijn actief op zoek naar beheerde beveiligingsoplossingen die verder gaan dan endpointbeveiliging en reactieve helpdeskondersteuning.

De praktische uitdaging voor MSP’s is het realiseren van SOCaaS-voordelen op MKB-schaal. Elke afzonderlijke klantomgeving is te klein om een eigen team van analisten te rechtvaardigen, maar een gecentraliseerde SOC-oplossing die door het hele klantenbestand wordt gedeeld, verandert de situatie. MSP’s die hun SOCaaS-dienstverlening baseren op een platform dat is ontworpen voor multi-tenantbeheer, gestandaardiseerde detectielogica en gecentraliseerd inzicht in alle klantomgevingen, kunnen consistente dekking bieden zonder dat het personeelsbestand evenredig hoeft te groeien.

Een andere mogelijkheid is SOCaaS-dienstverlening via white label. Sommige aanbieders stellen hun platform en analytische capaciteit ter beschikking aan MSP’s, die de dienst vervolgens onder hun eigen merknaam doorverkopen. Hierdoor kunnen MSP’s direct SOCaaS aanbieden zonder zelf een team van analisten op te bouwen, waarbij de aanbieder als partner op de achtergrond opereert.

Hoe Kaseya SOC-as-a-Service mogelijk maakt

Kaseya verkoopt geen product met de naam SOCaaS. Wat het bedrijf wel biedt, is de geïntegreerde beveiligingsstack die MSP’s en IT-teams gebruiken om in de praktijk een oplossing te bouwen en te leveren die vergelijkbaar is met SOCaaS.

Kaseya MDR is de laag van beheerde analyse. Beveiligingsanalisten in de VS zorgen voor continue monitoring van eindpunten, Microsoft 365 en firewalls, waarbij AI-gestuurde correlatie onnodige waarschuwingen filtert, zodat analisten hun tijd kunnen besteden aan bevestigde bedreigingen. Voor MSP's is Kaseya MDR een kant-en-klare beheerde SOC-oplossing die aan klanten kan worden geleverd in het kader van een managed services . Voor interne IT-teams biedt het de 24/7-dekking die de meesten niet intern kunnen realiseren. Het platform ondersteunt multi-tenantbeheer, waardoor het praktisch is om consistente SOCaaS-dekking uit te breiden naar een volledig klantenbestand vanuit één enkele operationele interface.

Kaseya SIEM biedt de omgevingoverschrijdende correlatie- en logboekbeheerlaag die een SOCaaS-oplossing nodig heeft om verder te gaan dan alleen dekking van eindpunten. Met meer dan 60 native connectoren, een bewaartermijn van 400 dagen voor doorzoekbare logboeken en ingebouwde, door AI aangestuurde onderzoeksmogelijkheden, verzamelt Kaseya SIEM telemetriegegevens van eindpunten, cloudapplicaties en netwerkinfrastructuur en brengt het bedreigingen aan het licht die zich over meerdere omgevingen uitstrekken. Voor organisaties die managed SIEM nodig hebben als onderdeel van hun bredere SOCaaS-dekking, werkt Kaseya SIEM samen met Kaseya MDR in plaats van deze te vervangen; SIEM zorgt voor logboekaggregatie en compliance-rapportage, terwijl MDR zich bezighoudt met realtime detectie en respons.

Samen bieden deze tools ondersteuning voor de kernonderdelen van een SOCaaS-programma (continue monitoring, AI-gestuurde detectie, door analisten geleide respons, logboekbeheer voor meerdere omgevingen en rapportage over naleving) waaraan auditors en cyberverzekeraars steeds vaker eisen stellen. Voor MSP’s die een managed security-praktijk opzetten, biedt de oplossing van Kaseya een basis die voor het gehele klantenbestand kan worden gestandaardiseerd en kan worden uitgebreid naarmate de behoeften van klanten toenemen.