Viena nepārtrauktas kiberdrošības uzraudzības dežūrpozīcija uzņēmumam var izmaksāt aptuveni ceturtdaļmiljonu eiro gadā. Un tas vēl nav pilnvērtīgs SOC.
Veidot savu drošības operāciju centru (SOC), izmantot ārpakalpojumu vai izvēlēties hibrīdmodeli? Šis lēmums nav tikai par tehnoloģijām. Tas nosaka, kam būs jāuztur, jāvada un nepārtraukti jāattīsta specializēta kiberdrošības funkcija. Sāksim ar matemātiku.
Cik maksā savs SOC? 24/7 uzraudzības personāla izmaksas
24 stundas dienā un 365 dienas gadā ir 8760 stundas. Pie 40 stundu darba nedēļas tas ir teorētiski 4,21 pilnas slodzes ekvivalents. Atvaļinājumu, slimību, svētku dienu, apmācību un aizvietošanas dēļ vienas vienlaikus nodrošinātas 24/7 dežūrpozīcijas plānošanai pieņemsim piecus līdz sešus darbiniekus. Faktiskais skaits atkarīgs no maiņu grafika un darba laika prasībām.
Ilustratīvi pieņemsim 3000 eiro bruto algu vienam speciālistam mēnesī.
| Gada izmaksas | 5 darbinieki | 6 darbinieki |
|---|---|---|
| Bruto algu fonds | 180 000 € | 216 000 € |
| Darba devēja VSAOI (23,59%) | 42 462 € | 50 954 € |
| Kopā | 222 462 € | 266 954 € |
Ilustratīvs aprēķins: bruto alga 3000 € mēnesī vienam darbiniekam un darba devēja VSAOI 23,59%. Aprēķins attiecas tikai uz vienas 24/7 dežūrpozīcijas personālu, nevis pilna SOC izmaksām.
Šis ir tikai vienas dežūrpozīcijas personāla aprēķins. Tajā nav ietvertas citas personāla izmaksas, tehnoloģijas, incidentu izmeklēšanas papildu kapacitāte, drošības inženierija, detekciju attīstība un SOC vadība.
Nepārtraukta dežūra
Stundas gadā
Darbinieku pieņēmums
tūkst. € gadā
Personāla izmaksas
Ilustratīvs scenārijs: 3000 € bruto mēnesī vienam darbiniekam; darba devēja VSAOI 23,59%. Aprēķins attiecas uz vienu nepārtrauktu dežūrpozīciju, nevis pilna SOC izmaksām.
Kas nepieciešams sava SOC izveidei un uzturēšanai?
SOC nevar izveidot, vienkārši nopērkot SIEM un pieņemot darbā dažus analītiķus. Ir jāorganizē dežūras, aizvietošana, incidentu izmeklēšana un eskalācija, jāuztur datu integrācijas, jāattīsta detekcijas un jāvērtē darba kvalitāte. Šī ir pastāvīga specializēta operacionālā funkcija, nevis vienreizējs IT projekts.
Galvenā atziņa. Savs SOC nav tikai tehnoloģiju iegāde: tas ir lēmums pašiem uzturēt un attīstīt nepārtrauktu kiberdrošības funkciju.
Kādas ir SOC tehnoloģiju un kompetenču uzturēšanas izmaksas?
SANS 2025. gada Detection and Response aptaujā 76% respondentu plānoja paplašināt mākslīgā intelekta un mašīnmācīšanās izmantošanu detekcijā un reakcijā, savukārt 59% kvalificēta personāla trūkumu minēja kā būtisku detekcijas izaicinājumu. Tie ir aptaujas respondentu rādītāji, ne visas nozares statistika.
Uzbrukumu metodes un analītiskās iespējas mainās arī pēc SOC ieviešanas. Uzņēmumam ar savu SOC pastāvīgi jāattīsta detekcijas, datu integrācijas un kompetences. Platforma nav obligāti jāmaina katru gadu, taču ar vienreizēju ieviešanas projektu nepietiek.
Atbilstības atblasts un neatkarīgāka kontrole
Uzņēmumiem, kuriem piemērojams Nacionālās kiberdrošības likums, NIS2 prasības vai cits attiecīgais regulējums, svarīga ir arī aizsardzības darbības pierādāmība. Atbilstoša tvēruma SOC var atbalstīt incidentu dokumentēšanu, notikumu izsekojamību, operacionālos pārskatus un kontroles efektivitātes izvērtēšanu. SOC pats par sevi nenodrošina organizācijas pilnīgu normatīvo atbilstību.
IT komanda uztur sistēmas, bet SOC analizē drošības signālus un incidentus. Ārējs SOC var nodrošināt no ikdienas IT uzturēšanas nodalītu operacionālās kontroles slāni. Tā vērtību nosaka faktiskais pakalpojuma tvērums un atbildību sadalījums; tas neaizstāj neatkarīgu auditu.
SOC ārpakalpojuma izmaksas: kā darbojas mēroga ekonomika?
Specializēts SOC pakalpojuma sniedzējs var izmantot vienu diennakts komandu, kopīgas tehnoloģiskās komponentes, incidentu izmeklēšanas kompetences un vadību vairāku klientu apkalpošanai. Tā ir mēroga ekonomika: katram klientam nav atsevišķi jāfinansē visa šī struktūra. Taču ieguvums jāvērtē pret konkrēto pakalpojuma tvērumu, kvalitāti un klienta paša iesaisti.
Savs SOC, SOC ārpakalpojums vai hibrīdmodelis - ko izvēlēties?
Nav viena pareizā modeļa visiem uzņēmumiem. Izvēli nosaka drošības operāciju apjoms, kontroles prasības, iekšējās kompetences un pakalpojuma rezultāts.
SAVS SOC
Iekšējā kontrole
- Pilna operāciju vadība
- Savs personāls un maiņas
- Pastāvīga attīstība
ĀRPAKALPOJUMS
Koplietota kapacitāte
- Līgumā noteikts tvērums
- Sniedzēja operacionālā komanda
- Klientam paliek riska lēmumi
HIBRĪDS
Dalītas lomas
- Iekšējā drošības kompetence
- Ārēja dežūra un specializācija
- Jāvada saskares un dublēšanās
Modeļi jāsalīdzina pēc vienāda tvēruma, atbildībām un pakalpojuma rezultāta.
Iekšējs SOC var būt pamatots organizācijai ar ļoti lielu drošības operāciju apjomu, specifiskām kontroles prasībām un kapacitāti visas funkcijas uzturēšanai.
Ārpakalpojums ļauj iegādāties līgumā noteiktu uzraudzību, izmeklēšanu un reakcijas atbalstu, neveidojot visu operacionālo struktūru pašam. Vairumam vidējo uzņēmumam tas parasti ir optimālais risinājums.
Hibrīdmodelī uzņēmums saglabā iekšējo drošības kompetenci un biznesa lēmumu kontroli, bet operacionālo dežūru un specializētus uzdevumus uztic ārējam SOC; pašiem jānodrošina iekšējo personālu, koordinācijas modeli un daļēji dublētas funkcijas. Visu šo pozīciju izmaksas ir svarīgi atpazīt, kontrolēt un iekļaut TCO aprēķinā.
Salīdzinot SOC piedāvājumus, jāvērtē pieci kritēriji:
- Tvērums - uzraudzītās sistēmas un datu avoti.
- Darbības dziļums - triāža, izmeklēšana un reakcijas atbalsts.
- Atbilstības atbalsts - dokumentēšana, pārskati un izsekojamība.
- Operacionālā kvalitāte - pieejamība, kompetences un procesu briedums.
- Atbildības - kurš ko dara reāla incidenta laikā.
Kā salīdzināt sava SOC un ārpakalpojuma kopējās izmaksas (TCO)?
Gada budžets parāda operacionālās izmaksas, bet investīciju lēmumam vajadzīgas trīs gadu kopējās īpašumtiesību izmaksas (TCO). Aprēķinā iekļauj:
- Ieviešanu - sākotnējo projektu un pāreju uz darbību.
- Personālu un vadību - algu, aizvietošanas un operacionālās vadības izmaksas.
- Tehnoloģijas un uzturēšanu - licences, integrācijas un ikdienas atbalstu.
- Attīstību un atbilstības atbalstu - detekciju uzlabojumus, kompetences, dokumentēšanu.
- Klienta iesaisti - iekšējās koordinācijas un lēmumu pieņemšanas slodzi.
Manā ilustratīvajā piemērā tikai vienas 24/7 dežūrpozīcijas bruto algas un darba devēja VSAOI trīs gados veido aptuveni 667–801 tūkstoti eiro, pie nemainīgām algām un likmēm. Tas nav pilna SOC TCO. Modeļi jāsalīdzina pēc līdzvērtīga rezultāta, nevis tikai piedāvājuma cenas.
Kad ir vērts izvēlēties SOC ārpakalpojumu?
Uzņēmumam, kas būvē savu SOC, jāfinansē ne tikai ieviešana un ikdienas darbība. Tam nepārtraukti jāuztur un jāattīsta specializēta tehnoloģiska un profesionāla funkcija. Tas ir dārgi un organizatoriski sarežģīti.
Mans ieteikums ir konkrēts: pirms sākt būvēt savu SOC, vispirms izvērtē profesionālu ārpakalpojumu. Salīdzini pilnās izmaksas, vadības darbu, tehnoloģisko attīstību, atbilstības atbalstu un neatkarīgākas kontroles vērtību.
Uzņēmuma mērķis nav izveidot savu drošības operāciju centru. Mērķis ir panākt, lai operacionālā kiberdrošība strādā – profesionāli, pārbaudāmi un ekonomiski pamatoti.
Izvērtē SOC ārpakalpojuma iespējas savam uzņēmumam
HORTUS Digital Cyber-SOC palīdz organizēt operacionālās kiberdrošības uzraudzību un incidentu apstrādi atbilstoši uzņēmuma vajadzībām un saskaņotajam pakalpojuma tvērumam.
