A pergunta que aparece em comitês executivos com frequência crescente é uma versão moderna de um velho dilema: “nós precisamos de um SIEM ou precisamos de um SOC?”. Ou seja, o tema se resume a SIEM x SOC mas, embora possa parecer simples, a resposta é bastante complexa, porque exige duas decisões complementares. Um SIEM é tecnologia; um SOC é capacidade operacional. E, no mercado atual, as empresas que escolhem “um ou outro” geralmente estão escolhendo uma lacuna: ou ficam com dados sem operação, ou ficam com operação sem dados.

O momento ajuda a explicar por que esse tema voltou ao centro do debate. Em 2024, o Verizon DBIR analisou 30.458 incidentes e confirmou 10.626 violações de dados. Nesse conjunto, credenciais roubadas aparecem como a principal ação inicial (24%), com ransomware logo atrás (23%). E há um dado que deveria “travar” qualquer conversa que trate o assunto como simplesmente “comprar ferramenta”: aproximadamente um terço das violações envolveu ransomware ou alguma técnica de extorsão. Ou seja, não estamos falando apenas de detecção; estamos falando de crise — indisponibilidade, chantagem, vazamento e decisão sob pressão.

Quando o risco tem esse perfil, o fator que separa “incidente contido” de “crise corporativa” é tempo — e tempo, aqui, é produto de dois componentes: dados bons e capacidade de operar os dados. O relatório 2024 de custo de violação de dados da IBM (com pesquisa do Ponemon Institute) aponta custo médio global de US$ 4,88 milhões e destaca que custos são puxados por interrupção do negócio e resposta pós-incidente.

O mesmo estudo mostra que organizações com uso extensivo de IA e automação têm custo médio menor (US$ 3,84 milhões) do que organizações que não usam essas capacidades (US$ 5,72 milhões), além de identificar e conter violações quase 100 dias mais rápido em média. Isso não é uma “defesa da IA” por si só; é um indicador de que operações e automação, quando apoiadas por dados, mudam economia do risco.

SIEM x SOC?

É aqui que vale separar alguns conceitos. O SIEM agrega e analisa eventos de segurança em ambientes on-premises e cloud para detecção, investigação e resposta, com funções de normalização e suporte a compliance. É, em termos práticos, a base para responder perguntas como: “o que aconteceu?”, “quando começou?”, “quais identidades e ativos estavam envolvidos?”, “qual foi a sequência de eventos?”.

O SOC, por outro lado, é a função que faz o “trabalho de verdade” com essas respostas potenciais: monitora, investiga, decide e responde. Um SOC coordena tecnologias e operação para aumentar capacidade de detecção, resposta e prevenção – o que inclui triagem, priorização, investigação, resposta a incidentes, comunicação e melhoria contínua. Sem esse componente humano-processual, o SIEM vira, com frequência, um grande repositório caro: ele até produz alertas, mas a empresa não consegue transformar alertas em contenção, erradicação e aprendizado.

SOC: serviço que se tornou indispensável

O mercado recente fornece dois alertas que reforçam por que o SOC é indispensável mesmo para organizações que “já têm tecnologia”. Primeiro: ainda descobrimos intrusões tarde — e, muitas vezes, por terceiros. No M-Trends 2024, 54% das organizações comprometidas souberam do comprometimento por uma fonte externa; em ransomware, 70% dos casos foram descobertos externamente (frequentemente via pedido de resgate).

Isso expõe uma verdade incômoda: em muitos cenários, não é a sua empresa que “detecta”; é o ecossistema (ou o criminoso) que avisa. Ter um SOC é, entre outras coisas, investir para inverter essa proporção — descobrir internamente, antes do extorsor, antes da imprensa, antes do cliente.

Segundo: o gargalo operacional é real e mensurável. Pesquisa global divulgada pela Splunk descreve SOCs atolados em manutenção de ferramentas, dados desconectados e excesso de alertas. Quase metade dos respondentes (46%) disse gastar mais tempo mantendo ferramentas do que defendendo a organização; 78% afirmaram que as ferramentas são dispersas e desconectadas; e o excesso de alertas e falsos positivos aparece como um elemento que degrada velocidade de investigação.

Se esse é o retrato do SOC, ele reforça que “ter SIEM” não basta: é preciso desenhar arquitetura e operação como um sistema, não como um conjunto de consoles.

Nesse ponto, surge uma objeção comum de executivos: “então basta um SOC terceirizado e está resolvido?”. A terceirização (SOCaaS/MDR) é, sim, uma tendência importante – e em muitos casos é a única forma realista de conseguir 24×7. O problema é que terceirizar SOC não terceiriza governança, nem terceiriza a decisão de negócio. Um fornecedor pode alertar; mas quem define se o incidente é material, se uma contenção vai derrubar um sistema crítico, se a empresa vai comunicar cliente e regulador, e qual narrativa será usada, é a liderança interna, com jurídico, risco, comunicação e TI.

A própria expansão de terceirização em ambientes públicos mostra o peso dessa decisão: em estudo realizado pela Deloitte em 2024, 75% dos respondentes declararam terceirizar o SOC centralizado. Isso sugere que o desafio não é “ter SOC”, mas sustentar SOC com escala e talento — e isso reforça a necessidade de integrar tecnologia (SIEM) com operação.

Além disso, a pressão regulatória está tornando a pergunta “precisa dos dois?” menos filosófica e mais objetiva. Hoje, muitas organizações operam sob cronômetros regulatórios e exigências de evidência. Nos EUA, a SEC estabeleceu requisitos de disclosure de incidentes materiais em Form 8‑K (Item 1.05) dentro de quatro dias úteis após a determinação de materialidade, além de exigir transparência sobre governança e gestão de risco cibernético. Na proposta do CIRCIA, entidades cobertas precisariam reportar incidentes em 72 horas e pagamento de resgate em 24 horas.

No Brasil, a ANPD publicou a Resolução nº 15/2024, criando regulamento de comunicação de incidente de segurança com dados pessoais, trazendo prazos e reforçando a necessidade de manter registro desses incidentes por, no mínimo, cinco anos. Na União Europeia, NIS2 ampliou escopo setorial com prazo de transposição em 17/10/2024, e o DORA passou a se aplicar em 17/01/2025 no setor financeiro. A leitura agregada é simples: em vários regimes, o custo do improviso aumentou, e a capacidade de comprovar (logs, trilhas e decisões) virou parte do risco.

É aqui que a dupla SIEM + SOC se torna uma arquitetura de negócio. O SIEM sustenta a evidência e o “senso situacional” do incidente; o SOC sustenta a decisão e a ação (incluindo comunicação). Se você tem SOC sem SIEM, você opera com buracos: não enxerga bem identidade, cloud, SaaS e trilhas; não consegue reconstruir linha do tempo; não consegue responder auditoria e regulador com consistência. Se você tem SIEM sem SOC, você tem dados sem decisão: alertas não viram contenção; triagem não é contínua; e a organização descobre incidentes pela via mais cara — a externa.

O que mudou nos últimos anos é que o SIEM também mudou de natureza econômica e técnica. A IDC projeta crescimento do mercado de SIEM com CAGR de 10,1% até 2029, com receita global saindo de US$ 6,075 bilhões (2023) para US$ 11,324 bilhões (2029).

O estudo também aponta a migração para cloud, com participação projetada de cloud pública chegando a cerca de 75,9% da receita em 2029. E traz um detalhe decisivo para estratégia: à medida que mais fontes geram mais dados, e muitos SIEMs são precificados por ingestão, custo explode — o que incentiva gestão de pipeline (enviar para SIEM o que é necessário para detecção e investigação) e uso de data lakes para retenção mais barata. Isso muda o papel do executivo: não é só escolher fornecedor; é decidir arquitetura de dados de segurança, orçamento recorrente e prioridades de telemetria.

Do lado do SOC, o “mercado” está sinalizando dois movimentos simultâneos: demanda crescida e crise operacional. A demanda cresce porque o ataque cresce e porque a pressão regulatória aumenta. A crise operacional aparece em dados de ferramentas desconectadas e excesso de alertas — e também na escassez de profissionais: o estudo de força de trabalho da ISC2 apontou lacuna global de milhões de profissionais necessários, com crescimento anual significativo, enquanto parte das empresas enfrenta cortes e restrições. Em outras palavras: o SOC é mais necessário, mas mais difícil de operar. E isso empurra o mercado para automação, IA, terceirização e padronização de processos — sem que isso elimine a necessidade de telemetria consistente e governança interna.

No Brasil, essa discussão ganha um tempero adicional: maturidade heterogênea e aceleração de obrigações. A TIC Empresas 2024 mostra que apenas cerca de metade das empresas declara ter política de segurança digital (51%), e práticas estruturantes de resiliência aparecem em proporções ainda menores (30% com treinamento de gestão de risco, 25% com incentivos, 42% discutindo riscos). Ao mesmo tempo, a ANPD formaliza regras de comunicação e registro de incidentes com dados pessoais, elevando o custo de não ter processo e evidência. Isso cria um quadro típico de transição: empresas que estavam em “conscientização” precisam migrar para “operação” — e operação, aqui, é SOC (nem que seja mínimo, híbrido ou terceirizado) + SIEM (nem que seja cloud, com ingestão seletiva e casos de uso).

Como transformar essa tese em orientação prática para executivos sem cair em generalidade? Uma forma objetiva é pensar em três perguntas, cada uma apontando para um dos componentes:

Como vamos enxergar? (telemetria)

Sem logs e eventos, não há detecção robusta e não há evidência. Isso é SIEM (e sua camada de dados).

Como vamos decidir e agir? (operação)

Sem triagem, playbooks, escalonamento e autoridade para conter e comunicar, não há resposta. Isso é SOC (interno/terceiro/híbrido).

Como vamos reduzir custo e tempo de forma sustentada?

A evidência sugere que automação e IA reduzem custo e aceleram containment, mas isso só funciona se dados e processos estiverem bem desenhados. Isso é a interseção SOC + SIEM (com automação).

Ao final, a frase mais útil para um comitê executivo não é “SIEM ou SOC”, mas “qual capacidade de detecção, resposta e evidência estamos financiando?”. O mundo atual – com credenciais como porta de entrada recorrente, extorsão como modelo dominante, e cronômetros regulatórios comprimidos – tornou economicamente irracional escolher apenas metade do sistema. SIEM e SOC, juntos, são a diferença entre gerir risco e apenas registrar o dano.