MDR terceirizado: quando faz mais sentido do que montar um SOC interno

"Vamos montar nosso próprio SOC" é uma frase que soa bem em apresentação de orçamento e quebra na prática operacional. Cobertura 24x7 de verdade exige pelo menos três turnos de analistas, todos os dias do ano, mais o time sênior pra escalar os casos que exigem julgamento. A maioria das empresas brasileiras — inclusive muitas com orçamento de segurança relevante — simplesmente não tem escala pra sustentar isso de forma eficiente.

Isso não significa que terceirizar seja sempre a resposta certa. Significa que a decisão entre montar um SOC interno e contratar MDR (detecção e resposta gerenciada) deveria ser feita com critério explícito, não por padrão de mercado ou por medo de perder controle.

O custo real de um SOC interno 24x7

O número que aparece na proposta de orçamento normalmente cobre ferramenta e talvez dois ou três analistas — não cobertura de turno completa, sobreaviso, treinamento contínuo, e principalmente retenção. Rotatividade em times de segurança é estruturalmente mais alta que em outras áreas técnicas, e cada saída de analista sênior leva junto conhecimento institucional que não está documentado em lugar nenhum.

Somado a isso, o custo de manter múltiplas ferramentas de detecção integradas e atualizadas cai inteiro sobre o time interno — e esse é exatamente o tipo de trabalho operacional que MDR absorve por design.

O que MDR realmente entrega, e o que não entrega

Um bom provedor de MDR entrega monitoramento contínuo, triagem de alerta, caça a ameaça proativa e, em boa parte dos contratos, contenção inicial automatizada — tudo isso rodando com equipe e ferramenta do próprio provedor, não do cliente. O que ele não entrega é conhecimento profundo do negócio: decidir se isolar um servidor específico paralisa uma operação crítica é decisão que exige contexto interno, não só habilidade técnica.

Por isso MDR bem contratado nunca elimina completamente a necessidade de um ponto de contato interno com autoridade de decisão — ele reduz drasticamente o volume de trabalho operacional que esse ponto de contato precisa fazer sozinho.

Os critérios que realmente decidem entre montar e terceirizar

Três perguntas concentram a maior parte da decisão: qual o volume real de eventos que justifica presença humana 24x7 (empresas pequenas raramente justificam), segurança é diferencial competitivo central do negócio ou função de suporte (bancos e fintechs tendem a internalizar mais; a maioria dos outros setores não precisa), e existe orçamento pra sustentar rotatividade de time sênior por vários anos seguidos, não só no primeiro ano.

Nenhuma dessas respostas é universal — o mesmo motivo que leva uma financeira a montar SOC próprio pode ser exatamente o que leva uma varejista do mesmo porte a preferir terceirizar e focar o time interno em outra coisa.

O modelo híbrido é o que mais aparece na prática

A maioria das empresas maduras nessa decisão não escolhe um extremo — combina MDR pra cobertura 24x7 e triagem de volume, com um time interno enxuto responsável por decisão de negócio, resposta a incidente crítico e relação com o provedor. Esse modelo captura o melhor dos dois: custo prático de operação terceirizada, com julgamento de negócio mantido dentro de casa.

Perguntas pra fazer antes de assinar um contrato de MDR

Vale exigir clareza em quatro pontos antes de fechar: qual o SLA real de tempo entre detecção e notificação (não "resposta" genérica, mas o número exato), o que o provedor resolve de forma autônoma versus o que sempre escala pro cliente, quem é dono da telemetria coletada e se ela é portável em caso de troca de fornecedor, e como funciona a transição se a relação terminar. Os mesmos critérios de avaliação de fornecedor que valem pra qualquer outra categoria de segurança se aplicam aqui — MDR não é exceção só porque parece commodity.

Decidir por capacidade, não por ideologia

Nem "terceirizar tudo" nem "internalizar tudo" são resposta padrão — são escolhas que só fazem sentido depois de mapear volume real, criticidade do negócio e orçamento sustentável a médio prazo. A UNIQ ajuda clientes a chegar nesse critério antes de assinar qualquer contrato de MDR, dentro da arquitetura de Intelligence & Response que faz sentido pro tamanho e maturidade real de cada operação.