Doorlopende detectie en respons, samen gedraaid met jouw mensen. De capability zonder zelf een volledig SOC-team te bouwen, terwijl jij eigenaar blijft.
Kernuitdagingen
Een detectie-capability vraagt mensen die elke dag tunen, jagen en reageren. Dat team intern rond krijgen en vasthouden, is het echte probleem.
10
mensen voor een eigen bezetting rond de klok
Een bezetting rond de klok met twee analisten per ploeg vraagt al gauw acht tot tien mensen, los van management, specialismen en verloop. Voor de meeste organisaties in de midmarket is dat kostprohibitief, en de schaarste op de arbeidsmarkt maakt het niet makkelijker.
Gartner, Five Models of SOC; orde van grootte op een 24/7-bezetting, B.
60%
van de meldingen wordt nooit onderzocht
Meldingen stapelen op, capaciteit is eindig en het merendeel wordt nooit onderzocht. Wie de queue niet bijhoudt, jaagt de verkeerde dingen na. De cyclus van tunen en jagen vraagt handen die er continu zijn, niet erbij gedaan tussen andere taken door.
Orde van grootte; Tines Voice of the SOC 2025, vendor-onderzoek, B.
65%
van de analisten overweegt te vertrekken
Burn-out en verloop zijn structureel in detectie-werk: een groot deel van de analisten overweegt te vertrekken. Met elke vertrekker loopt de kennis van jouw omgeving mee de deur uit, en de cyclus die is opgebouwd valt stil tot de vacature gevuld is.
Orde van grootte; SOC-analyst surveys 2025-2026 (o.a. Tines, UnderDefense), vendor-onderzoek, B.
Toezicht en bestuur vragen niet of er een team staat vandaag. Ze vragen of de detectie volgende maand en volgend jaar nog draait, of je niet afhankelijk bent geworden van één leverancier of één persoon, en of de uitgaven aan monitoring in verhouding staan tot het risico. Dat is de vraag naar continuïteit, niet naar dekking.
Het verschil
Niet wie de knoppen bedient, maar of je de capability krijgt zonder een team te bouwen dat je niet rond krijgt, en zonder de regie te verliezen aan een black box.
Twee uitersten: een eigen team optuigen dat je niet bemensd krijgt, of alles weggeven aan een dienst die de cyclus uit je handen neemt. Het ene is onhaalbaar, het andere kost je de grip.
Onze seniors draaien de cyclus naast je team, niet in plaats ervan. Je bouwt de capability op zonder een volledig SOC-team te hoeven werven en vasthouden, en zonder de detectie uit handen te geven.
Intern is het team te klein voor een cyclus rond de klok. Bij een black-box dienst weet je niet wie er kijkt, hoe senior diegene is, of hoeveel accounts diezelfde analist tegelijk doet.
Dezelfde seniors die de cyclus bepalen, draaien die ook mee: detection engineering, tuning, threat hunting en triage. Geen anonieme Tier 1 die afhaakt zodra het lastig wordt.
Vertrekt de sleutelpersoon, dan valt de cyclus stil. Wissel je van leverancier, dan begint de kennisopbouw opnieuw. De capability zit in hoofden, niet in het proces.
De cyclus, de runbooks en de detection content liggen vast en zijn overdraagbaar. Valt iemand weg, dan loopt de detectie door. De capability blijft van jou, ook als de samenstelling verandert.
Zelf draaien betekent alle last dragen. Een black-box dienst neemt de last over, maar ook het zicht: je krijgt meldingen over de schutting en weet niet hoe de detectie is opgebouwd.
Je houdt eigenaarschap en zicht: de detectie is van jou, de keuzes maken we samen, de uitvoering is navolgbaar. Geen lock-in, geen black box, wel handen die continu meedraaien.
Hoe het werkt
Links wat detectie voedt, in het midden de cyclus die we samen draaien, rechts wat je overhoudt. Geen rip-and-replace: we sluiten aan op de stack die je al hebt.
Het onderscheid
Tussen zelf bouwen en alles weggeven zit een derde weg: wij draaien de cyclus mét je team, niet ervoor in de plaats. Je krijgt de capability zonder een volledig SOC-team te werven, en zonder de regie kwijt te raken aan een black box.
Dat kan omdat de kwaliteit van detectie niet in de tool zit, maar in de mensen en het proces: wie tunet, wie jaagt, wie de melding oppakt. Door die cyclus samen te draaien en in proces te borgen, bouw je een capability op die standhoudt als de samenstelling verandert.
Geen rip-and-replace. Je bestaande SIEM, EDR en tooling blijven staan; we sluiten aan en draaien de cyclus erop. Een tool of dienst is een middel, geen doel.
De detectie is van jou, niet van de leverancier die meedraait. De cyclus, de runbooks en de content liggen vast en zijn overdraagbaar. Geen black box, geen lock-in: je kunt het op elk moment zelf voortzetten.
Niet een rapport met monitor je omgeving en de uitvoering bij jou, niet een uitbestede Tier 1 die afhaakt zodra het lastig wordt. Dezelfde senior die bepaalt wat gedetecteerd moet zijn, draait de cyclus mee en bouwt het over naar je team.
Uit de praktijk
Een grote vereniging detecteerde pas als er al iets stuk was, zonder dekking buiten kantooruren. Wij brachten 24/7 co-managed detectie en response, met senior expertise naast hun eigen team.
Aan de slag
Geen meerjarig SOC-bouwplan. Eén gesprek waarin we bepalen wat je betrouwbaar moet detecteren, en hoe we de cyclus samen draaien zodat jij de capability krijgt zonder de regie te verliezen.
