Aankoopgids Security Information & Event Management (SIEM) as a Service

De kosten van een SIEM zitten in het verwerken, doorzoeken en bewaren van logdata, en dat schaalt met volume, niet met koppen. Twee organisaties met evenveel medewerkers kunnen een factor tien verschillen in logvolume, afhankelijk van hoeveel systemen en hoe uitgebreid je logt. Vraag daarom altijd om een volumeschatting voordat je een offerte vergelijkt.

Filter aan de bron: stuur niet alles door, maar kies logbronnen op detectiewaarde. Zet hoogvolume-data die je alleen voor forensiek nodig hebt op een goedkopere archieftier in plaats van de dure analysetier. Bij een vast dagvolume leveren commitment tiers korting op ten opzichte van pay as you go.

SIEM is de techniek die logs verzamelt en alarmen genereert. Een SOC is het team dat die alarmen beoordeelt en erop handelt. Een SIEM zonder mensen die de meldingen opvolgen levert vooral een dashboard op dat niemand leest, dus koop ze in samenhang in.

Voor onderzoek na een incident is een half jaar tot een jaar aan doorzoekbare data gebruikelijk, omdat aanvallers vaak maanden binnen zitten voordat ze zichtbaar worden. Sectorregels en contracten kunnen langere termijnen eisen. Retentie is een van de grootste kostenposten, dus splits korte doorzoekbare retentie van goedkope langetermijnarchivering.

Ja, mits je een managed variant kiest waarbij de aanbieder de detectieregels onderhoudt en de alarmen opvolgt. Neem je alleen het platform af, dan heb je zelf iemand nodig die regels afstemt en meldingen beoordeelt. Vraag expliciet wie de tuning doet en hoe vaak.

Veel aanbieders bieden een maand meedraaien zonder kosten. Gebruik die om te meten hoeveel data je echt genereert en hoeveel valse meldingen er binnenkomen, want dat zijn precies de twee variabelen die je jaarrekening en je werklast bepalen.