Wat is het verschil tussen SOC as a service en een MSSP?

Een MSSP is het type bedrijf; SOC as a service is een van de diensten die het kan aanbieden, naast managed firewall, kwetsbaarheidsbeheer of SIEM-beheer. In de praktijk overlappen de termen, dus vergelijk de werkomschrijving in plaats van het etiket: wie bewaakt, wie onderzoekt, wie mag handelen, en op welke telemetrie.

Wat is het verschil tussen SOC as a service en MDR?

MDR is doorgaans gebouwd rond endpoint- of extended-detectietooling en omvat actieve insluiting door de aanbieder. SOC as a service is breder in telemetrie (identiteit, cloud, SaaS, netwerk, applicaties) en kan stoppen bij onderzoek en escalatie tenzij responsbevoegdheid is gecontracteerd. Veel organisaties combineren beide of kopen een SOC-dienst met MDR-achtige respons.

Wat kost SOC as a service?

De prijs is meestal gebaseerd op gebruikers, endpoints of ingenomen datavolume, plus onboarding en optionele responsretainers, en varieert met dekkingsuren, logbronnen en responsbevoegdheid. Wij publiceren geen prijzen; onze aparte gids over de kosten van SOC as a service legt uit wat het bedrag beweegt, zodat u offertes regel voor regel kunt vergelijken.

Vervangt SOC as a service ons interne securityteam?

Niet noodzakelijk. Veel organisaties werken hybride: de aanbieder dekt 24/7 monitoring en tier 1- en tier 2-onderzoek, terwijl het interne team governance, bedrijfscontext, escalaties en herstel draagt. Organisaties zonder securityteam gebruiken de dienst als hun volledige detectie- en responsfunctie.

Hoe lang duurt het aansluiten van SOC as a service?

De onboarding duurt doorgaans weken in plaats van maanden: eerst prioritering van logbronnen en uitrol van connectors, dan een baseline- en tuningperiode, afspraken over playbooks en detectievalidatie vóór livegang. De belangrijkste variabele is hoe snel uw organisatie toegang kan geven tot identiteits-, endpoint- en cloudtelemetrie.

Is SOC as a service voldoende voor ISO 27001, NIS2 of DORA?

Het dekt de monitoring-, detectie- en incidentresponsmaatregelen die deze kaders vereisen, zoals ISO 27001 A.8.15 en A.8.16, NIS2 artikel 21(2)(b) en DORA artikel 10 en 17, mits de logbronnen in scope overeenkomen met de systemen binnen uw auditgrens en de rapporten als bewijs zijn geschreven. Het vervangt niet de overige maatregelgroepen, zoals toegangsbeheer of kwetsbaarheidsbeheer.

2 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

Wat is SOC as a service? Hoe een uitbesteed security operations center werkt, wat u krijgt en hoe u kiest

SOC as a service (SOCaaS) is een abonnementsmodel waarin een gespecialiseerde aanbieder een security operations center voor u draait: analisten, detectieplatform, responsproces en 24/7 security monitoring, gevoed door uw eigen log- en endpointdata. Deze gids legt uit wat een SOC uur na uur doet, wat er verandert als u het als dienst inkoopt, hoe het zich verhoudt tot een eigen SOC of een hybride model, en welke vragen een echt SOC onderscheiden van een loket dat alerts doorstuurt.

Praat met ons managed-securityteam

SOC as a service, gedefinieerd

Een security operations center (SOC) is de functie die de systemen van een organisatie bewaakt op tekenen van een aanval, bepaalt welke signalen ertoe doen en handelt op de signalen die dat zijn. SOC as a service levert die functie per abonnement vanuit een externe aanbieder in plaats van vanuit een intern team. De aanbieder levert de mensen (analisten van tier 1 tot tier 3, detection engineers, incident responders), het platform (SIEM, EDR of XDR, casemanagement, threat intelligence) en het proces (triageregels, escalatiepaden, responsplaybooks, rapportage). U levert de telemetrie: logs van identiteitsvoorzieningen, endpoints, cloudaccounts, SaaS-applicaties, netwerkapparatuur en bedrijfssystemen. Wie zijn security operations center wil uitbesteden, komt dezelfde dienst tegen onder de namen SOCaaS of 24/7 security monitoring met mensen erachter.

Het model bestaat om rekenkundige redenen. Doorlopende dekking vraagt minimaal acht tot tien analisten om drie ploegen te bezetten met verlof en verloop, plus engineers die detecties actueel houden, plus een platformlicentie die meeschaalt met het logvolume. Weinig middelgrote organisaties kunnen dat werven en vasthouden, en wie het wel kan, ziet het team vaak meer tijd kwijt zijn aan tuning dan aan onderzoek. Een aanbieder spreidt de vaste kosten over veel klanten en ziet aanvalspatronen bij allemaal, en dat is wat detectie maand na maand beter maakt.

SOCaaS staat naast twee verwante termen. Een managed security services provider (MSSP) is het bedrijf; SOC as a service is vaak een van zijn diensten, naast firewall- of kwetsbaarheidsbeheer. Managed detection and response (MDR) is smaller en actiever: het bedient doorgaans endpoint- of extended-detectietooling en voert insluitingsacties namens u uit, waar een SOC-dienst kan stoppen bij onderzoek en escalatie tenzij responsbevoegdheid is gecontracteerd. Onze vergelijking MSSP versus MDR versus SOC, hieronder gelinkt, zet de drie naast elkaar; deze pagina blijft bij het SOC zelf.

Wat een security operations center werkelijk doet

Zes functies, of het SOC nu van u is of van een aanbieder. Een dienst die niet kan beschrijven hoe zij elk van deze uitvoert, monitort wel maar opereert niet.

Monitoring en tier 1-triage

Analisten bewaken de alertwachtrijen de klok rond, verwerpen false positives, verrijken de rest met asset- en gebruikerscontext en beslissen binnen minuten of een alert een onderzoek wordt. Volume is hier de vijand; een volwassen SOC meet hoeveel alerts een tier 1-analist per uur met vertrouwen kan sluiten.

Tier 2-onderzoek

Geëscaleerde alerts worden cases. Analisten reconstrueren de tijdlijn over bronnen heen (identiteit, endpoint, e-mail, cloud), bepalen omvang en oorzaak en beslissen of het een incident is. Hier telt bedrijfscontext het zwaarst: wat normaal is voor uw financiële afdeling om 02:00 uur is dat voor niemand anders.

Detection engineering

Het schrijven, testen en bijstellen van de regels en analyses die alerts voortbrengen, gekoppeld aan MITRE ATT&CK-technieken en aan de logbronnen die u werkelijk heeft. Zonder deze functie draait het SOC op de standaardregels van de leverancier, die aanvallers allang hebben gelezen.

Threat intelligence

Externe indicatoren en rapporten over actieve campagnes omzetten in detecties en hunts die relevant zijn voor uw sector en uw stack. In een goed SOC stroomt intelligence ook de andere kant op: wat offensieve testers in omgevingen als de uwe vinden, wordt een detectiehypothese.

Incident response en insluiting

Wordt een case bevestigd, dan isoleert het SOC endpoints, schakelt accounts uit, blokkeert indicatoren en stemt af met uw IT-team en leiding volgens een vooraf afgesproken playbook en bevoegdhedenmatrix. Hoe ver de aanbieder zonder uw goedkeuring mag gaan, is een contractbepaling, geen aanname.

Rapportage en compliancebewijs

Maand- en kwartaalrapporten over alertvolumes, cases, incidenten, detectiedekking en tuningwijzigingen, zo geschreven dat zij aansluiten op de maatregelen waarover u rapporteert (ISO 27001, NIS2, DORA, SOC 2, PCI DSS). Het rapport is ook de plek waar u controleert of de dienst doet wat het contract zegt.

Wat u krijgt met SOC as a service: mensen, platform, proces en data

Elk SOCaaS-voorstel is een bundel van deze vier onderdelen. Weten bij welk onderdeel elke regel hoort, maakt twee heel verschillende offertes vergelijkbaar.

Mensen: wie bewaakt, wie onderzoekt, wie beslist

Benoemde rollen en dekking: analisten in dienst 24/7 of follow-the-sun, detection engineers, incident responders, een servicemanager die uw omgeving kent. Vraag of de analisten die uw alerts triëren aan een klein aantal klanten zijn toegewezen of een gedeelde wachtrij bedienen, en wie op zondag om 03:00 uur wakker en bereikbaar is.

Platform: SIEM, endpointtelemetrie en casemanagement

De aanbieder draait een eigen multi-tenant platform of bedient er een in uw tenant. Veelgebruikte platformen zijn Microsoft Sentinel, Splunk, Elastic, Google SecOps en QRadar; de keuze telt minder dan wie de licentie bezit, waar de data staat en wat ermee gebeurt als het contract eindigt. Een aparte gids over managed SIEM behandelt de platformlaag in de diepte.

Proces: playbooks, escalatie en bevoegdheid

Gedocumenteerde triagecriteria, ernstdefinities, een escalatiematrix met uw benoemde contactpersonen, responsplaybooks per scenario (ransomware, business email compromise, diefstal van inloggegevens, misbruik door insiders) en de bevoegdhedenmatrix die vastlegt welke acties het SOC zelfstandig mag nemen. Het proces is wat u werkelijk koopt; het platform is hoe het wordt geleverd.

Data: uw telemetrie en wat ermee gebeurt

Welke logbronnen in scope zijn, in welke volgorde zij worden aangesloten, hoe lang zij worden bewaard, in welk rechtsgebied zij staan en hoe u ze terugkrijgt. Organisaties onder de AVG, en organisaties met Amerikaanse klanten onder HIPAA of staatsprivacywetten, regelen dataresidentie en verwerkersvoorwaarden voordat de eerste connector wordt uitgerold.

Eigen SOC, SOC as a service of hybride: de drie bedrijfsmodellen

Drie bedrijfsmodellen. Welk model past, hangt minder af van de omvang van uw organisatie dan van de vraag of u al mensen heeft die detectie en respons kunnen dragen, en hoeveel bedrijfscontext de functie nodig heeft.

Aspect	Eigen SOC	SOC as a service	Hybride (co-managed)
Wie bemant het	Uw analisten en engineers	Analisten en engineers van de aanbieder	Aanbieder dekt 24/7 monitoring; uw team draagt escalaties en bedrijfscontext
Dekkingsuren	Zoveel als u kunt bemannen, vaak kantooruren plus bereikbaarheidsdienst	24/7 per contract	24/7 door de aanbieder, diepgang overdag door uw team
Tijd tot operationeel	Twaalf tot vierentwintig maanden om te werven, bouwen en tunen	Weken om logbronnen en playbooks aan te sluiten	Weken, mits uw platform en rollen al bestaan
Eigendom platform	Van u, inclusief licentie- en tuninglast	Van de aanbieder, of bediend in uw tenant	Meestal van u, gezamenlijk bediend
Detectie-inhoud	Door uw team geschreven voor uw omgeving	Bibliotheek van de aanbieder plus klantspecifieke tuning	Bibliotheek van de aanbieder plus omgevingsspecifieke regels van uw team
Bedrijfscontext	Hoogst	Afhankelijk van onboardingkwaliteit en toegewezen analisten	Hoog, als de rollen duidelijk zijn verdeeld
Kostenlogica	Vaste personeels- en licentiekosten ongeacht alertvolume	Abonnement geschaald naar gebruikers, endpoints of datavolume	Abonnement plus een kleiner intern team
Exitrisico	Geen, maar afhankelijkheid van sleutelpersonen	Dataportabiliteit en eigendom van detectie-inhoud moeten contractueel zijn geregeld	Lager, omdat platform en kennis deels intern blijven
Past het best bij	Grote organisaties met toezicht- of soevereiniteitsredenen om het intern te houden	Middelgrote en grote organisaties zonder 24/7-capaciteit	Organisaties met een securityteam dat eigenaarschap wil houden maar geen ploegendienst

Waar u op let bij een aanbieder van SOC as a service

Acht vragen, in de volgorde waarin een CISO ze zou moeten stellen. De antwoorden laten zien of 24/7 security monitoring betekent dat mensen onderzoeken of dat software doorstuurt.

1. Dekkingsmodel

Wordt er 24/7 door analisten bewaakt, follow-the-sun over regio's, of door automatisering met mensen in bereikbaarheidsdienst? Vraag wat er met een alert van hoge ernst gebeurt om 03:00 uur: wie ziet hem, binnen hoeveel tijd, en wat mag die persoon doen. Een term als 24/7 hoort in het contract te zijn gedefinieerd in menselijke respons, niet in platformbeschikbaarheid.

2. Ondersteunde logbronnen en telemetrie

Identiteit (Entra ID, Okta, Active Directory), endpoints, cloudbeheerlagen (AWS CloudTrail, Azure Activity, auditlogs van Google Cloud), SaaS-applicaties, e-mail, netwerk en waar relevant OT. Vraag de lijst met ondersteunde connectors en hoe niet-ondersteunde bronnen worden afgehandeld. Een SOC dat uw identiteitsvoorziening niet ziet, is blind voor de meeste moderne inbraken.

3. Detection engineering en tuningritme

Hoeveel detecties de bibliotheek telt, hoe zij aan MITRE ATT&CK zijn gekoppeld, hoe vaak er nieuwe bijkomen en hoe klantspecifieke tuning wordt bijgehouden en gerapporteerd. Vraag wie valideert dat detecties afgaan: een aanbieder die zijn eigen regels test met purple-teamoefeningen opereert, en abonneert zich niet alleen op een feed.

4. Metrieken: MTTD en MTTR als begrippen, niet als reclame

Mean time to detect en mean time to respond betekenen pas iets als begin- en eindpunt zijn gedefinieerd. Vraag hoe elk wordt gemeten, vanaf welk tijdstempel, en of de genoemde cijfers gemiddelden over alle klanten zijn of voor u worden gerapporteerd. De nuttige vragen gaan over de spreiding en de uitschieters, niet over het gemiddelde.

5. Escalatie en responsbevoegdheid

Meldt de aanbieder, adviseert hij, of handelt hij? Welke acties (een host isoleren, een account uitschakelen, een domein blokkeren) zijn vooraf geautoriseerd, welke vereisen goedkeuring, en hoe wordt die buiten kantooruren verkregen? De bevoegdhedenmatrix hoort een bijlage bij het contract te zijn.

6. Threat intelligence en offensieve terugkoppeling

Waar komt de intelligence van de aanbieder vandaan, en omvat zij kennis uit de eerste hand van hoe aanvallers zich werkelijk door omgevingen als de uwe bewegen? Aanbieders met een offensieve securitypraktijk kunnen bevindingen uit penetratietesten en red-teamopdrachten omzetten in detectiehypothesen; vraag om een voorbeeld.

7. Dataresidentie, bewaartermijnen en verwerkersvoorwaarden

Waar logs worden opgeslagen en verwerkt, hoe lang, onder welke versleuteling en onder welke juridische voorwaarden (verwerkersovereenkomst onder de AVG, business associate agreement onder HIPAA). Organisaties met Amerikaanse klanten of dochters bevestigen dat beide regimes zijn gedekt.

8. Onboarding, rapportage en exit

Een schriftelijk onboardingplan met mijlpalen, een rapportformaat dat u als compliancebewijs kunt archiveren, en exitvoorwaarden die uw logs, detectie-inhoud en documentatie in een bruikbaar formaat teruggeven. Onze MSSP-contractchecklist, hieronder gelinkt, behandelt de bepalingen in detail.

Een SOC-dienst aansluiten: de stappen in volgorde

De onboarding bepaalt of de dienst werkt. Een aanbieder die de baseline- en tuningperiode overslaat, levert volume, geen detectie.

Kick-off: assetinventaris, kroonjuweelsystemen, benoemde contactpersonen aan beide kanten, bevoegdhedenmatrix en escalatiepaden schriftelijk vastgelegd
Prioritering van logbronnen: eerst identiteit en endpoints, dan cloudbeheerlagen en e-mail, daarna netwerk en bedrijfsapplicaties
Uitrol van connectors en datavalidatie: bevestigen dat elke bron volledig, geparset en tijdgesynchroniseerd binnenkomt
Baseline- en tuningperiode, doorgaans enkele weken, waarin normaal gedrag wordt geleerd en ruisende detecties met uw akkoord worden bijgesteld
Playbooks per scenario, getest in een tabletopbespreking met uw IT-, juridische en communicatieverantwoordelijken
Detectievalidatie: een gecontroleerde set aanvallerstechnieken uitgevoerd tegen de omgeving om te bevestigen dat alerts afgaan en de juiste mensen bereiken
Livegang met een hypercare-periode, daarna de eerste maandelijkse servicereview tegen de afgesproken metrieken en het rapportformaat

Compliance-haken: wat kaders verwachten van 24/7 security monitoring

Europese kaders zeggen zelden 'SOC', maar vereisen de functie wel. NIS2 artikel 21(2)(b) vraagt om incidentafhandeling en artikel 23 stelt termijnen van 24 uur voor de vroegtijdige waarschuwing en 72 uur voor de melding van significante incidenten. DORA artikel 10 vereist mechanismen om afwijkende activiteit snel te detecteren en artikel 17 een proces voor het beheer van ICT-gerelateerde incidenten, met meldtermijnen in artikel 19. ISO 27001:2022 maatregelen A.8.15 en A.8.16 dekken logging en monitoring, en A.5.24 tot A.5.28 het incidentbeheer. De AVG verlangt in artikel 33 melding van een datalek binnen 72 uur, wat zonder een functie die incidenten snel detecteert en afbakent niet haalbaar is.

Amerikaanse kaders volgen hetzelfde patroon. SOC 2 criteria CC7.2 tot CC7.4 vereisen monitoring op afwijkingen, beoordeling van beveiligingsgebeurtenissen en een responsprogramma. PCI DSS v4.0.1 eis 10 vereist dat auditlogs minimaal dagelijks worden beoordeeld (10.4.1) met geautomatiseerde middelen (10.4.1.1), eis 10.7 dat uitval van kritieke beveiligingsmaatregelen snel wordt gedetecteerd, eis 11.5 inbraakdetectie en 12.10.5 dat het incidentresponsplan alerts van monitoringsystemen omvat. HIPAA vereist beoordeling van systeemactiviteit (45 CFR 164.308(a)(1)(ii)(D)), incidentprocedures (164.308(a)(6)) en auditmaatregelen (164.312(b)). NIST CSF 2.0 plaatst dit alles onder de functie Detect, en NIST SP 800-61 Rev. 3 (2025) lijnt incident response uit op hetzelfde profiel. Beursgenoteerde ondernemingen melden onder de SEC-regels van 2023 een materieel incident binnen vier werkdagen op Form 8-K, en NYDFS 23 NYCRR 500 vereist monitoring van gebruikersactiviteit (500.14) en melding binnen 72 uur (500.17). Een SOC-rapport moet elk van deze eisen naar bewijs laten herleiden.

Waar SOC as a service misgaat

De faalpatronen zijn consistent. De onboarding stokt omdat niemand aan klantzijde de toegang tot logbronnen draagt, zodat het SOC live gaat met zicht op een derde van de omgeving. Bedrijfscontext bereikt de analisten nooit, zodat legitieme financiële activiteit wordt geëscaleerd en een ongewoon serviceaccount niet. De bevoegdhedenmatrix blijft vaag, zodat de aanbieder om 03:00 uur meldt en wacht terwijl de aanvaller dat niet doet. Prijzen per logvolume ontmoedigen het aansluiten van juist de uitgebreide bronnen die het meest tellen, zoals identiteits- en cloudauditlogs. En de exit wordt nooit gepland, zodat na drie jaar de detectie-inhoud en de historische data in de praktijk van de aanbieder zijn. Elk van deze punten is een contract- en onboardingbeslissing, en daarom stelt u de vragen hierboven vóór de handtekening en niet na het eerste incident.

Hoe HackersHub SOC as a service invult

Onze managed-securitypraktijk levert 24/7 monitoring, SIEM- en EDR-beheer, detection engineering en ondersteuning bij incident response voor organisaties in de EU en de Verenigde Staten, op afstand vanuit Amsterdam en op locatie waar een opdracht dat vraagt. Wat de dienst vormt, is onze offensieve achtergrond: hetzelfde team dat penetratietesten en red-teamopdrachten uitvoert, bepaalt mee voor welke technieken wij detecties bouwen, en wij valideren die detecties tegen echt aanvallersgedrag in plaats van tegen leveranciersstandaarden. De rapportage is geschreven om aan te sluiten op de kaders waaraan u verantwoording aflegt, van ISO 27001, NIS2 en DORA tot SOC 2 en PCI DSS, zodat het maandrapport ook als compliancebewijs dient. Scope, dekkingsmodel, bevoegdhedenmatrix en logbronnen worden per organisatie afgesproken; er is geen catalogusniveau, omdat de variabelen hierboven de dienst meer bepalen dan een niveau zou kunnen vangen.

Veelgestelde vragen

Gerelateerde gidsen en diensten

Overweegt u SOC as a service?

Wij scopen dekking, logbronnen, bevoegdheid en rapportage per organisatie, met detecties die zijn gevoed door de aanvallen die ons offensieve team elke week uitvoert. Bespreek uw omgeving met ons managed-securityteam.

Bekijk managed security Plan een gesprek