Jak vybudovat SOC: porovnání interního SOC, SOCaaS, MSSP a MDR

Firmy mohou SOC (Security Operations Center – Centrum bezpečnostních operací) vybudovat interně, outsourcovat prostřednictvím SOC-as-a-Service (SOC jako služba) nebo MSSP (Poskytovatele řízených bezpečnostních služeb), případně využít MDR (Managed Detection and Response, tedy spravovanou detekci a reakci na hrozby). Pojďme se podívat na srovnání těchto hlavních modelů, nákladů, požadavků na zajištění personálu, rozsah pokrytí a dobu potřebnou k dosažení přínosů. V dnešním článku si také představíme, jak dosáhnout vyspělosti SOC, a osvědčené postupy.

Různé provozní modely SOC

Vybudování a provoz SOC centra je drahé, časově náročné a vyžaduje průběžné investice. Mnoho organizací proto všechny aktivity či jejich část outsourcuje poskytovatelům služeb, jako je MSSP, SOCaaS nebo MDR, kterou nabízí například i ESET.

Všechny tři přístupy pomáhají rozložit náklady na provoz SOC mezi více zákazníků, každý z nich však funguje poněkud odlišným způsobem.

Jak to vypadá v praxi?

Mnoho organizací již nepovažuje SOC za funkci, kterou je nutné budovat výhradně interně. Místo toho se obracejí na externí poskytovatele, aby získaly schopnosti, které je obtížné interně škálovat, od nepřetržitého monitoringu a reakce na incidenty až po pokročilou analytiku a zpravodajství o hrozbách (Threat Intelligence).

„Trh s outsourcovanými řízenými bezpečnostními službami tvoří část trhu řízených bezpečnostních služeb v hodnotě 25,5 miliardy USD, který v posledních letech rostl meziročně o 11,5 %. Tento růst komplexních, externě zajišťovaných služeb je veden organizacemi, které mají potíže interně reagovat na změny vyžadované rychle se vyvíjejícím prostředím kybernetických hrozeb, technologickým pokrokem, měnícími se obchodními potřebami a rostoucí komplexností IT prostředí.“

- Gartner, Market Guide for Outsourced Managed Security Services, Leden 2026

Outsourcované služby se významně proměnily, aby odpovídaly této nové poptávce. Zatímco se poskytovatelé tradičně zaměřovali na oblasti, jako je správa firewallů, detekce průniků a základní monitoring, firmy dnes očekávají proaktivní vyhledávání hrozeb (Threat hunting), rychlou reakci, správu zranitelností a schopnost orchestrace a automatizace. To vedlo poskytovatele k rozšíření nabídky směrem k integrovanějším službám zaměřeným na výsledky, které odpovídají tomu, jak dnes probíhají moderní kybernetické útoky.

Důsledkem tohoto vývoje je i změna způsobu, jakým organizace strukturují své bezpečnostní operace. Outsourcing jim poskytuje přístup k širšímu přehledu o kampaních útočníků, rizicích specifických pro jednotlivá odvětví a nově vznikajících technikách útoků. Neměl by však být vnímán jako rozhodnutí typu „všechno, nebo nic“. Jedním z hlavních důvodů atraktivity tohoto přístupu je právě možnost různých úrovní zapojení.

V praxi proto mnoho firem volí hybridní model, který kombinuje interní dohled s externí odborností. Díky tomu si zachovávají kontrolu nad klíčovými aktivy a rozhodovacími procesy, zatímco poskytovatelé zajišťují nepřetržitý monitoring, detekci a reakci na hrozby, jejichž provoz je interně obtížně škálovatelný.

Jednou z těchto hybridních možností je MDR, spravovaná detekce a reakce na hrozby. Tento přístup se zaměřuje na výsledky a kombinuje technologie, zpravodajství o hrozbách a odborné znalosti lidí za účelem aktivní detekce a reakce na bezpečnostní hrozby. Namísto pouhého generování upozornění jsou služby MDR navrženy tak, aby hrozby vyšetřovaly, omezovaly jejich dopad a zmírňovaly rizika v okamžiku, kdy nastanou.

Tento model odráží způsob, jakým se vyvíjejí moderní kybernetické útoky, a stále častěji je považován za standard očekávaný obchodními partnery, regulačními orgány i poskytovateli kybernetického pojištění.

Koupit nebo pronajmout?

Jedním ze způsobů, jak o těchto modelech přemýšlet, je přístup „Build or Buy“ (vybudovat, nebo koupit): vybudujete si danou funkci sami, nebo si pořídíte řízené služby či outsourcované zdroje, které vám poskytnou stejné možnosti?

V případě interního SOC nesete odpovědnost za vybudování a údržbu všeho: technologií, procesů i kvalifikovaného personálu. To s sebou často nese opakované investice, protože se nástroje vyvíjejí, infrastruktura se rozrůstá a zkušení analytici odcházejí.

Průzkum mezi odborníky na SOC, který v roce 2025 provedl institut SANS, na tento problém upozorňuje. Uvádí, že mnoho SOC týmů je stále poměrně malých, čelí průběžné fluktuaci zaměstnanců a obtížně si udržuje talentované pracovníky. Týmy, které se v průzkumu označily jako SOC, měly obvykle dva až deset členů, nejčastější délka působení zaměstnanců byla tři až pět let a 62 % pracovníků se domnívalo, že jejich organizace nedělá dost pro udržení talentů.

Naproti tomu většina outsourcovaných modelů přesouvá část této zátěže na třetí stranu. Dělá to však různými způsoby. U SOCaaS organizace obvykle využívají službu postavenou na platformě, která poskytuje monitoring, detekci a analýzu. V závislosti na poskytovateli a úrovni služby však interní týmy potřebují zajistit personál, procesy nebo schopnosti reagovat na incidenty.

MSSP přistupují k problematice víc ze široka a zaměřují se na provoz a správu bezpečnostní infrastruktury, sběr a analýzu logů, generování upozornění a správu bezpečnostních nástrojů. Ve většině případů však zůstává na straně firmy jako zákazníka vyšetřování incidentů, rozhodování a samotná reakce. Interní pracovníci tak stále nesou významnou část provozní odpovědnosti.

U MDR se model posouvá směrem k výsledkům. Poskytovatelé MDR přebírají odpovědnost za prvotní vyhodnocení incidentů, jejich vyšetřování a aktivní omezení hrozeb. Kombinují technologie, zpravodajství o hrozbách (Threat Intelligence) a odborné znalosti lidí, aby snižovali rizika a reagovali na incidenty v okamžiku, kdy nastanou. Následující tabulka nabízí přehledné porovnání těchto provozních modelů, včetně jejich typických silných stránek, omezení a oblastí odpovědnosti.

Poznámka: V praxi mnoho poskytovatelů kombinuje prvky níže uvedených modelů a jednotlivé vlastnosti se mezi konkrétními nabídkami mohou výrazně lišit.

Kdy dává smysl spravovaná detekce a reakce

Rychlost, s jakou lze služby MDR a MSSP nasadit, z nich činí obzvláště cenné řešení pro organizace, které potřebují rychle vybudovat nebo posílit své schopnosti v oblasti detekce a reakce na bezpečnostní hrozby.

Na rozdíl od modelů, které primárně pouze generují upozornění, je MDR zaměřeno na výsledky, včetně vyšetřování, omezování a zmírňování dopadů hrozeb v reálném čase. Zároveň snižuje provozní zátěž interních týmů.

Právě to je jeden z hlavních důvodů, proč se MDR stalo široce využívaným modelem zejména mezi malými a středně velkými organizacemi. Tyto organizace často nemají dostatečné zdroje na vybudování a dlouhodobé udržení plnohodnotného SOC s nepřetržitým provozem, přesto však čelí stejným kybernetickým hrozbám jako velké podniky. S postupným dozráváním trhu se služby MDR staly dostupnějšími, zatímco rostoucí regulatorní požadavky a podmínky kybernetického pojištění jejich adopci dále urychlují.

Jak vybudovat (nebo pořídit) SOC

Pro většinu organizací je otázkou, jakým způsobem mají být schopnosti SOC centra poskytovány. Z praktického hlediska si pouze omezený počet organizací dokáže plně odůvodnit náklady a komplexitu spojenou s vybudováním a provozem samostatného centra.

Organizacím, které zvažují své možnosti, mohou pomoci rámce, jako je SOC-CMM (Security Operations Center Capability Maturity Model, model vyspělosti schopností SOC). Poskytují strukturovaný způsob, jak posoudit současnou úroveň vyspělosti a plánovat její další rozvoj. SOC-CMM definuje šest úrovní schopností, od situace bez formálně zavedených bezpečnostních operací až po plně optimalizované SOC.

Model vyspělosti SOC

Vyspělost SOC se běžně popisuje prostřednictvím šesti úrovní:

1: Žádná (None)

Neexistuje žádná formálně zavedená funkce SOC.

2: Ad hoc

Na bezpečnostní upozornění reagují běžní pracovníci IT podle potřeby, bez definovaných procesů a modelu pokrytí.

3: Počáteční (Initial)

Jsou k dispozici základní nástroje, například SIEM, a omezené procesy. Pokrytí je nekonzistentní a zpravidla omezené na pracovní dobu.

4: Definovaná (Defined)

Jsou zavedeny zdokumentované procesy a postupy, k dispozici je dedikovaný personál a strukturované eskalační cesty. Sledují se klíčové metriky, jako jsou MTTD (Mean Time to Detect, průměrná doba detekce) a MTTR (Mean Time to Respond, průměrná doba reakce).

5: Kvantitativně řízená (Quantitatively Managed)

Je zavedeno nepřetržité monitorování spolu s proaktivním vyhledáváním hrozeb (Threat hunting). Výkonnost detekce a reakce je měřena a vyhodnocována z pohledu dopadu na podniková rizika. Současně probíhá automatizace s cílem snížit množství manuální práce analytiků.

6: Optimalizovaná (Optimized)

SOC se stává strategickou funkcí organizace a poskytuje poznatky založené na zpravodajství o hrozbách (Threat Intelligence) pro rozhodování o rizicích. Threat intelligence je úzce integrována do každodenního provozu a jsou zavedené pokročilé postupy jako red teaming, blue teaming a purple teaming.

Jednoduchý test, zda potřebujete vybudovat vlastní SOC

Vybudování interního SOC obvykle dává smysl pouze organizacím se specifickými regulačními požadavky, povinnostmi v oblasti lokalizace dat (data residency) nebo potřebou prokázat interní bezpečnostní schopnosti. Tyto organizace často působí v silně definovaných odvětvích a již disponují rozsáhlými interními bezpečnostními týmy.

Pro většinu ostatních organizací je hlavní výzvou spíše to, jak získat schopnosti SOC bez nákladů a složitosti, které se pojí s jejich interním budováním a provozem.

Pro organizace, které chtějí SOC pořídit externě

Organizace zvažující outsourcované modely SOC musí najít rovnováhu mezi mírou kontroly, tolerancí k riziku a dostupnými zdroji. V praxi modely SOCaaS, MSSP a MDR rozdělují odpovědnost za lidi, procesy a technologie různými způsoby.

Nejvýznamnější nákladem každého SOC jsou kvalifikovaní specialisté. Proto se rozhodnutí často odvíjí od toho, jak velkou část odpovědnosti si organizace chce ponechat interně a jakou část je ochotna svěřit externímu poskytovateli výměnou za rychlejší detekci hrozeb, konzistentnější pokrytí a lepší výsledky v oblasti reakce na bezpečnostní incidenty.

Zvolte správně

Neexistuje jediný provozní model, který by vyhovoval všem organizacím. Správná volba závisí na toleranci k riziku, interních odborných kapacitách, regulatorních požadavcích a dostupném rozpočtu. Pro mnoho organizací není cílem vybudovat SOC od základu, ale dosáhnout očekávaných výsledků prostřednictvím kombinace – lidí, procesů a technologií – která nejlépe odpovídá jejich konkrétním potřebám.