SOC as a Service — co to jest, ile kosztuje, jak wybrać?

Zanim zbudujesz — policz

Rozmowa o SOC as a Service zwykle zaczyna się od jednego z dwóch miejsc. Albo firma właśnie dowiedziała się, że podlega pod KSC 2.0 i potrzebuje ciągłego monitoringu. Albo zespół IT od miesięcy tonie w alertach, których nikt nie analizuje, bo nie ma na to ludzi ani czasu.

W obu przypadkach pytanie brzmi tak samo: budować własny SOC, czy zlecić to komuś?

Odpowiedź wymaga kalkulacji, nie przekonań. Własny SOC to minimum 6-8 analityków na zmiany, licencje SIEM/XDR rzędu 300-800 tys. PLN rocznie, infrastruktura, szkolenia, rekrutacja. Razem: 2-5 mln PLN/rok. I 6-12 miesięcy, zanim ruszy pełna operacyjność.

SOC as a Service daje te same kompetencje jako usługę. Płacisz abonament, dostajesz zespół, technologię, procedury i AI — bez wielomilionowej inwestycji i bez czekania.

Podstawy tego, czym jest SOC i jak działa — opisujemy w przewodniku po Security Operations Center. Ten artykuł skupia się na czymś innym: co konkretnie dostajesz w modelu „as a Service", ile to kosztuje i jak odróżnić dobrego dostawcę od słabego.

Co powinna zawierać usługa managed SOC

Rynek jest pełen ofert, które nazywają się „SOC as a Service", a w praktyce oznaczają „dostajemy Twoje alerty i przekazujemy je mailem". To nie SOC — to forwarding.

Profesjonalna usługa managed SOC powinna stać na czterech filarach.

Ludzie, którzy znają Twoją firmę

Fundament, którego nie zastąpi żadna technologia. Analityk, który widzi Twoje alerty po raz pierwszy, nie wie, czy logowanie z Londynu o 2 w nocy to Twój oddział w UK, czy przejęte konto. Analityk, który zna Twoje środowisko — wie.

Szukaj modelu concierge: dedykowany opiekun bezpieczeństwa, który zna Twoją infrastrukturę, procesy biznesowe i specyfikę branży. Nie anonimowa platforma, nie losowy dyżurny z call center.

Pytaj o certyfikaty konkretnych ludzi (SC-200, AZ-500, OSCP), nie firmy. Certyfikat firmy bez certyfikowanych analityków to marketing.

Technologia, która widzi pełny obraz

SIEM zbiera logi z całej infrastruktury i koreluje zdarzenia. XDR łączy sygnały z endpointów, poczty, tożsamości i chmury w jeden widok łańcucha ataku. SOAR automatyzuje powtarzalne czynności — wzbogacanie kontekstu, wstępną klasyfikację, blokowanie znanych zagrożeń.

Ważne pytanie: czy te narzędzia współpracują natywnie, czy to patchwork z pięciu vendorów? Natywna integracja (np. Microsoft Sentinel + Defender XDR) daje bogatsze dane i szybszą korelację niż łączenie narzędzi od różnych producentów.

Jeśli Twoja firma pracuje w ekosystemie Microsoft 365 — a 85% firm w Polsce pracuje — stack Microsoft Security daje najlepszą integrację bez konieczności kupowania dodatkowych narzędzi.

Procedury, które działają o 3 w nocy

Playbooki, eskalacja, podział odpowiedzialności — to musi być opisane i przetestowane, zanim przyjdzie incydent. Bo o 3 w nocy, gdy szyfrowane są serwery plików, nikt nie ma czasu pisać procedur od zera.

Pytaj dostawcę: kto decyduje o izolacji endpointu — Ty czy oni? Jak wygląda eskalacja? Jakie kanały komunikacji w trakcie incydentu? Czy po incydencie aktualizują reguły detekcji?

AI, które nie śpi

Czwarty filar, coraz częściej decydujący. Przeciętne środowisko generuje tysiące alertów dziennie. Analityk, który ręcznie przegląda każdy z nich, zmęczy się. Alert o 3:17 w nocy dostanie mniej uwagi niż ten o 9 rano. AI nie ma tego problemu.

AI w dojrzałym SOC klasyfikuje alerty w sekundach, wzbogaca kontekst, wykrywa wzorce niewidoczne dla reguł statycznych. Analityk dostaje gotową analizę do weryfikacji — nie musi przesiewać szumu.

Ale — i to jest granica — decyzję operacyjną podejmuje zawsze człowiek. Izolacja, blokada, eskalacja do zarządu. AI przyspiesza, człowiek decyduje.

Ile to kosztuje — konkretnie

Transparentność w kwestii kosztów to rzadkość na polskim rynku. Większość dostawców ukrywa ceny za formularzem kontaktowym. My uważamy, że decyzja o bezpieczeństwie firmy nie powinna zaczynać się od zgadywania kosztów.

Cena finalna zależy od liczby endpointów, użytkowników i zakresu usługi. Ale rząd wielkości jest jasny: 1 499 PLN/mies. vs 190 000+ PLN/mies. za własny SOC.

Pełną kalkulację — z rozbiciem na stanowiska, technologie i ukryte koszty — znajdziesz w artykule Koszty SOC — ile kosztuje ochrona 24/7.

Ukryte koszty, o których dostawcy nie mówią

Pytając o cenę, sprawdź pięć rzeczy:

Koszty logów. Czy cena obejmuje storage logów, czy płacisz per GB? Przy wzroście firmy koszt per GB rośnie nieprzewidywalnie.

Licencje. Czy Microsoft Defender, Sentinel, Entra ID P2 są wliczone, czy to Twój koszt?

Onboarding. Jednorazowy koszt konfiguracji i integracji źródeł logów. Bywa od 10 000 do 100 000 PLN.

Incident response. Czy reakcja jest w cenie, czy rozliczana per godzinę? „Monitoring w cenie, incident response osobno" to popularny model, który kończy się niespodziankami na fakturze.

Vendor lock-in. Jeśli dostawca używa własnościowego SIEM-a, migracja będzie kosztowna. Microsoft Sentinel to platforma otwarta — dane są Twoje.

Kiedy managed SOC ma sens — a kiedy nie

Uczciwa odpowiedź, nie sprzedażowa.

Managed SOC ma sens, gdy masz 25-5000 endpointów, zespół IT liczy 1-15 osób i nie ma czasu ani kompetencji na security operations, podlegasz regulacjom (KSC 2.0, DORA, ISO 27001) i potrzebujesz dowodów ciągłego monitoringu, korzystasz z Microsoft 365 i chcesz maksymalnie wykorzystać posiadane licencje.

Managed SOC może nie wystarczyć, gdy masz ponad 10 000 endpointów i wysoce specjalistyczne środowisko (OT/ICS, SCADA), regulacje wymagają, by dane nie opuszczały Twojej infrastruktury (rzadkie, ale możliwe) lub potrzebujesz pełnego Red Team w ramach usługi — to osobna specjalizacja.

W większości przypadków managed SOC to najbardziej racjonalny wybór dla firm od 25 do kilku tysięcy endpointów. Nie dlatego, że jest tańszy (choć jest). Dlatego, że daje dostęp do kompetencji, które budowanie wewnętrznie zajęłoby miesiące — przy założeniu, że uda się w ogóle zrekrutować ludzi.

KSC 2.0 a SOC as a Service

Ustawa KSC 2.0 (Dz.U. 2026 poz. 252) nakłada na podmioty kluczowe i ważne obowiązki, które bez SOC są trudne do spełnienia:

Ciągły monitoring. Monitoring 8/5 (godziny pracy) nie spełnia wymogu ustawy. SOC as a Service zapewnia 24/7/365 — z definicji.

Raportowanie w 24h. Incydent wykryty w piątek o 23:00 musi być zgłoszony do CSIRT przed sobotą 23:00. Bez zespołu dyżurującego w weekendy ten termin jest fikcją.

Logi chronione przed manipulacją. Atakujący usuwają logi na lokalnych serwerach. Przechowywanie w chmurze — poza zasięgiem ataku — to fundament ciągłości dowodowej.

Audytowalność. Regularne raporty z SOC, dokumentacja procedur IR, dowody na ciągły monitoring — to wszystko jest wymagane podczas audytu.

Kary za niezgodność sięgają 10 mln EUR lub 2% rocznego obrotu. SOC od 1 499 PLN/mies. to ułamek procenta tej kwoty.

Jak odróżnić dobrego dostawcę od przeciętnego

Pięć pytań, które eliminują słabych:

Czy reagujecie, czy tylko powiadamiacie? Jeśli odpowiedź to „wysyłamy alert mailem" — to nie SOC, to forwarding. Szukaj dostawcy, który izoluje zagrożony endpoint o 3 w nocy, zanim Ty się obudzisz.

Gdzie trzymacie logi? Jeśli na Twoim serwerze — atakujący je zniszczy razem z dowodami. Logi muszą być w chmurze, poza zasięgiem lokalnego ataku.

Ile trwa onboarding? „Podłączymy się w 2 godziny" oznacza, że podłączą agenta na endpointach i nazwie to „SOC". Pełne wdrożenie — z mapowaniem infrastruktury, strojeniem reguł i testowaniem procedur — trwa 2-4 tygodnie.

Co robicie po incydencie? Jeśli odpowiedź kończy się na „incydent zamknięty" — to za mało. Po incydencie powinny być zaktualizowane reguły detekcji, napisany raport root cause i zaproponowane zmiany w konfiguracji.

Mogę porozmawiać z Waszym klientem? Najlepszy test. Referencja od klienta, który powie „reagowali o 2 w nocy i było dobrze" — to więcej niż każda prezentacja.

Pełny przewodnik po wyborze dostawcy: 10 pytań, które musisz zadać.

Następne kroki

1. Porównaj pakiety — sprawdź szczegóły pakietów Starter, Podstawowy, Rozszerzony i Premium
2. Porozmawiaj z ekspertem — umów 30-minutową konsultację, podczas której omówimy Twoją infrastrukturę i dopasujemy zakres usługi
3. Pogłęb wiedzę:
   • Co to jest SOC — kompletny przewodnik
   • Koszty SOC — ile kosztuje ochrona 24/7
   • SOC vs MDR vs MSSP — czym się różnią

Źródła

• Gartner, Market Guide for Managed Detection and Response Services, 2025 — definicja i ewolucja modeli MDR/SOCaaS
• ISC2, Cybersecurity Workforce Study 2025 — dane o niedoborze specjalistów cyberbezpieczeństwa
• MITRE ATT&CK Framework — taksonomia taktyk i technik atakujących