SOCaaS

SOC as a Service (SOCaaS) ist ein SOC, das ein externer Anbieter betreibt und als laufende Dienstleistung liefert. Die Organisation erhält Überwachung, Detection und Response, ohne ein eigenes Team rund um die Uhr aufzubauen.

So funktioniert es

Der Anbieter bindet die bestehenden Log Sources an, zum Beispiel Microsoft 365, EDR, Firewall und Cloud. Danach übernimmt er Triage, Untersuchung und die vereinbarten Response-Schritte. Die Kundin erhält Cases mit Belegen und Empfehlungen sowie regelmässige Berichte zu den Kennzahlen.

Ein Beispiel: Eine Versicherung mit 800 Mitarbeitenden hat zwei Security-Fachleute im Haus. Sie decken Bürozeiten ab, aber nicht die Nächte. Mit SOCaaS läuft die Überwachung durchgehend, und das interne Team konzentriert sich auf Architektur und Projekte.

Worauf Sie achten sollten

• Mandat: Welche Eindämmung darf der Anbieter selbst ausführen, und was braucht Ihre Freigabe?
• Umfang der Response: Klären Sie, was bei einem grösseren Vorfall enthalten ist und was separat verrechnet wird.
• Datenstandort: Wo werden Logs gespeichert und verarbeitet?
• Vertragslaufzeit und Exit: Wem gehören Detection-Regeln und Daten nach Vertragsende?
• Reporting: Bekommen Sie Kennzahlen, die auch die Geschäftsleitung versteht?

Schweiz und Regulierung

Beim Auslagern an einen Dienstleister gelten für Finanzinstitute die Vorgaben des FINMA-Rundschreibens 2018/3 zum Outsourcing. Für Personendaten in Logs ist das revDSG massgebend, insbesondere bei einer Bearbeitung im Ausland.

Typische Fehler

Oft wird SOCaaS nur nach dem Preis verglichen. Dabei unterscheiden sich die Angebote vor allem im Mandat und in der Abdeckung. Ein günstiges Angebot, das nur Alerts weiterleitet, verlagert die Arbeit zurück ins eigene Team. Ein zweiter Fehler ist ein kurzes Onboarding ohne Baselining. Dann entsteht in den ersten Monaten viel Noise, und das Vertrauen in den Dienst sinkt. Planen Sie für das Onboarding einige Wochen ein und legen Sie Ziele für die ersten 90 Tage fest.

So setzen wir es um

Unser SOCaaS kostet eine Flat Fee pro Jahr, deren Höhe sich nach der Anzahl Endpoints richtet. Response innerhalb des Mandats ist enthalten, Incident Response bei einem grösseren Vorfall wird separat verrechnet.