69% компаний используют внешний либо гибридный SOC

Более двух третей российских компаний полностью или частично отдают на аутсорс услуги мониторинга инцидентов кибербезопасности с помощью Security Operations Centre (SOC). Об этом свидетельствуют данные Спикатела на основе опроса 130 компаний, которые уже внедрили либо планируют внедрить мониторинг инцидентов.

Показательно, что при рассмотрении вопроса о внедрении мониторинга 75% компаний начинают с варианта построения собственного SOC “инхаус”, но после расчёта стоимости и оценки других факторов соотношение меняется на почти противоположное (69% за внешний или гибридный SOC).

Такой выбор объясняется тремя факторами: стоимость, скорость, безопасность.

Цена. Стоимость SOC складывается из инфраструктуры, фонда оплаты труда и программного обеспечения (прежде всего SIEM для регистрации событий и SOAR для автоматического анализа и первичной сортировки логов). По текущим ценам для инфраструктуры среднего масштаба:

• собственный SOC обходится от 115 млн рублей на горизонте трех лет (от 50 млн в первый год, от 30 млн во второй и от 35 млн в третий);
• SOC как услуга обходится от 36 млн рублей за три года (10, 12 и 14 млн по годам).

Скорость. Построить SOC с нуля (нанять и обучить команду, закупить и настроить инфраструктуру) можно за срок до года. Подключение к сервису занимает от одного до трёх месяцев. 

Безопасность. Собственный SOC даёт больше операционного контроля. Но источником инцидентов ИБ, включая утечки, чаще становятся именно штатные сотрудники. Структура ответственности у провайдера другая: сотрудник, допустивший нарушение, рискует максимум своим местом, а провайдер — всем бизнесом. 

«Логика, что штатный сотрудник по умолчанию надёжнее внешнего провайдера, на мой взгляд, обманчива. Сотрудник, допустивший нарушение, рискует максимум своим местом, а провайдер — всем бизнесом. Как ни парадоксально это звучит, у внешнего SOC-провайдера больше мотивации выстраивать надежную систему мониторинга. Потому что именно это составляет суть его бизнеса»», — отмечает Сергей Самоукин, продуктовый директор компании «Спикател».

Экономический смысл в собственном SOC есть в узком круге случаев: когда этого требует регулятор или когда масштаб бизнеса делает содержание команды дешевле подписки. 

“Во всех остальных случаях выбор внешнего SOC — это не меньший, а иногда и больший уровень безопасности по существенно более низкой цене. Кроме полного пакета услуги, возможны гибридные варианты, когда часть функций SOC остается у заказчика (например, SIEM система), а часть берет на себя провайдер (например, SOAR система и работа аналитиков)”, — добавляет Сергей Самоукин.