Managed SIEM: Bring Your Own SIEM atau Platform Managed?

Saat organisasi mengevaluasi layanan managed SOC, satu pertanyaan yang sering muncul adalah apakah SIEM yang sudah dimiliki perlu diganti atau cukup mencari provider yang dapat mengoperasikannya. Jawaban atas pertanyaan ini menentukan struktur kapabilitas, pembagian tanggung jawab operasional, dan total biaya jangka panjang.

Executive Summary

• Model Bring Your Own SIEM (BYOS) mengubah peran provider managed SOC dari penyedia platform menjadi operator sistem milik klien, dengan konsekuensi langsung pada batas kapabilitas yang dapat dijanjikan.

• Kedalaman deteksi, otomatisasi playbook, dan analitik machine learning bergantung pada kemampuan native SIEM klien, ketersediaan API, dan lapisan orkestrasi yang tersedia di sekitar sistem.

• Biaya lisensi yang sudah dibayar bukan indikator yang cukup untuk menyimpulkan efisiensi platform karena biaya rekayasa parser, storage berbasis konsumsi, dan pemeliharaan detection rules perlu dihitung tersendiri.

• Migrasi platform membutuhkan waktu validasi paralel 8-12 minggu di mana dua stack kolektor berjalan bersamaan, serta translasi penuh correlation rules ke sintaks query baru.

• Keputusan platform sebaiknya didasarkan pada cakupan deteksi yang dapat dijamin, kepemilikan operasional, batasan integrasi, dan TCO yang dikalkulasi secara lengkap.

Apa Perbedaan BYOS dan Managed SIEM?

Bring Your Own SIEM (BYOS) adalah model pengadaan managed SOC di mana organisasi mempertahankan kepemilikan lisensi dan infrastruktur SIEM miliknya, sementara security partner menjalankan pemantauan, triase alert, dan investigasi insiden sesuai scope layanan. Model ini menggeser peran provider dari pemilik teknologi menjadi operator platform analitik klien.

Pada model Managed SIEM, security partner menyediakan dan mengoperasikan platform SIEM sebagai bagian dari layanan. Provider menyediakan seluruh infrastruktur SIEM, membangun dan memelihara parser log, menulis serta memperbarui detection rules, dan mengelola storage. Klien cukup menerima eskalasi dan mengambil keputusan atas insiden yang sudah dikonfirmasi provider, lengkap dengan rekomendasi incident response yang diberikan.

Perbedaan ini bukan hal kecil dalam konteks pengadaan layanan. Vijilan Security mencatat bahwa model BYOS membutuhkan analis yang memahami data apa yang tersedia, apa yang tidak tersedia, dan tindakan mana yang dapat dieksekusi dari masing-masing platform.

Ketika data tidak cukup atau kemampuan respons tidak tersedia, layanan 24/7 hanya berfungsi sebagai eskalasi dan konfirmasi, tanpa evaluasi atau analisis berdampak. Dalam praktik evaluasi SOC, dua pertanyaan pertama yang relevan adalah kualitas telemetri SIEM klien dan wewenang respons yang dapat diberikan provider saat insiden terjadi.

Apa yang Berubah Saat Provider Mengoperasikan SIEM Anda?

Ketika provider menjalankan managed SIEM milik klien, empat hal berubah secara konkret. Pertama, akses telemetri bergantung pada connector dan forwarder yang sudah dikonfigurasi di lingkungan klien, bukan pada connector library standar provider. Kedua, ketersediaan API menentukan apakah provider dapat mengeksekusi tindakan respons otomatis atau hanya mengirim notifikasi. Ketiga, eksekusi detection rules dan logika korelasi terikat pada kemampuan query platform klien. Keempat, wewenang isolasi host dan penonaktifan akun bergantung pada integrasi antara SIEM dan endpoint atau identity platform.

Sedangkan dalam model Managed SIEM, provider mengetahui model telemetri, logika deteksi, dan tindakan respons yang tersedia sejak awal. Onboarding lebih cepat dan standardisasi lebih mudah dicapai, terutama ketika stack klien sudah terpisah-pisah atau tidak dikonfigurasi dengan baik. Acronis mencatat bahwa Gartner pada 2026 menetapkan kriteria MDR mencakup staf 24/7 dan immediate remote mitigating response, sebuah kapabilitas yang lebih mudah dipenuhi saat provider mengontrol seluruh platform.

Kapabilitas Apa yang Ditentukan oleh SIEM?

Deteksi, FIM, dan Analitik Machine Learning

File Integrity Monitoring (FIM) pada banyak implementasi bukan kapabilitas native SIEM, melainkan dikirimkan melalui integrasi EDR atau agent endpoint ke SIEM. Analitik machine learning untuk deteksi anomali bergantung pada apakah SIEM klien memiliki modul User and Entity Behavior Analytics (UEBA) atau analytics layer bawaan, bukan kemampuan menerima log saja.

Jika SIEM klien tidak mendukung keduanya secara native, provider tidak dapat menyediakan kapabilitas tersebut tanpa menambahkan lapisan integrasi eksternal yang perlu dinegosiasikan secara terpisah.

SOAR, Playbook, dan Integrasi API

Orkestrasi respons otomatis melalui Security Orchestration, Automation, and Response (SOAR) bergantung pada ketersediaan API yang terbuka dari SIEM klien dan kemampuan webhook atau connector ke platform respons. Playbook otomatis yang mengeksekusi isolasi host atau pemblokiran indikator membutuhkan integrasi antara SIEM, EDR, dan firewall atau identity provider yang sudah terdaftar dan terdokumentasi. Tanpa integrasi ini, playbook berfungsi sebagai prosedur manual yang memerlukan intervensi tim klien.

Komponen Biaya yang Perlu Dibandingkan

Biaya Parser, Telemetri, Storage, dan Detection Rules

Biaya lisensi SIEM bukan satu-satunya komponen TCO. Rekayasa parser untuk menormalisasi log dari sumber tidak standar, pemeliharaan detection rules agar tetap relevan, dan biaya storage berbasis konsumsi untuk hot, warm, dan cold data perlu dihitung secara terpisah.

Platform berbasis konsumsi membebankan biaya per GB ingestion. Sumber log bervolume tinggi seperti NetFlow atau DNS query yang ekonomis di model lisensi kapasitas dapat menghasilkan tagihan yang berbeda signifikan di model pay-per-GB.

Biaya Migrasi dan Validasi Paralel

Jika organisasi mempertimbangkan perpindahan platform, ada komponen biaya yang sering tidak masuk estimasi awal. Databahn mencatat bahwa translasi correlation rules ke KQL atau SPL membutuhkan pemetaan ulang kondisi, Active Lists, dan rantai aturan secara manual. Bukan proses copy-paste.

Periode validasi paralel berlangsung selama 8-12 minggu di mana kedua stack kolektor berjalan bersamaan. Cribl mencatat bahwa pipeline pengumpulan log pada umumnya mengandalkan agen dan protokol proprietary lama, sehingga migrasi bukan hanya perpindahan SIEM tetapi pembangunan ulang seluruh pipa data.

Matriks Keputusan BYOS vs Managed SIEM

Tabel berikut merangkum lima dimensi evaluasi untuk mendukung keputusan pengadaan model managed SOC.

Sebuah studi Total Economic Impact dari Forrester yang meneliti implementasi Microsoft Sentinel pada organisasi komposit mencatat potensi penurunan TCO hingga 44% dibandingkan SIEM legacy. Angka ini mencerminkan kondisi organisasi komposit tertentu dan tidak berlaku sebagai tolok ukur universal di semua lingkungan.

Bagaimana Memilih Model SOC yang Tepat?

Tim internal yang mengelola platform, kualitas telemetri dari stack yang sudah ada, dan kapabilitas respons yang dibutuhkan, menjadi tiga faktor yang menentukan pilihan antara BYOS dan platform managed, bukan nilai sisa lisensi yang sudah dibayar.

Cisometric menyediakan tiga pola keterlibatan yang dapat disesuaikan dengan kondisi arsitektur klien. Model BYOS melibatkan dukungan analis 24/7/365 dari fasilitas data center Tier-3, dengan batasan kapabilitas yang dijelaskan secara transparan berdasarkan kemampuan native SIEM klien. Model Managed SIEM menyediakan platform pemantauan berbasis open-source untuk kebutuhan esensial. Model Enterprise Platform menawarkan arsitektur analitik dengan dukungan machine learning terintegrasi dan detection engineering aktif.

Dalam evaluasi layanan SOC, dokumen Statement of Work (SOW) perlu mencantumkan secara eksplisit proses parser dan rule development, bukan klausul generik “assist with migration.” Kaseya mencatat bahwa celah dalam model shared responsibility, khususnya di area respons insiden dan kedaulatan data, menjadi titik kegagalan yang paling sering terjadi dalam hubungan managed SIEM.

Sebelum menandatangani kontrak, tim user perlu mendokumentasikan jawaban atas tiga pertanyaan ini. Pertama, sumber telemetri apa yang wajib dan opsional. Kedua, tindakan respons apa yang dapat dieksekusi provider secara langsung. Ketiga, aktivitas mana yang menjadi responsibility dan accountability masing-masing pihak saat insiden terjadi.

Informasi lebih lanjut mengenai model keterlibatan Cisometric tersedia di halaman layanan SOC Cisometric dan layanan keamanan Cisometric.

Apa Implikasi Regulasi terhadap Model Managed SOC?

Pilihan model managed SIEM memiliki implikasi langsung terhadap pemenuhan regulasi sektor keuangan. POJK No. 11/POJK.03/2022 Pasal 21 mewajibkan bank umum menyelenggarakan proses ketahanan siber yang didukung oleh sistem informasi ketahanan siber yang memadai. Organisasi perlu membuktikan bahwa model BYOS atau platform managed yang mereka pilih memenuhi persyaratan deteksi, respons, dan pemulihan sesuai regulasi ini.

SEOJK No. 29/SEOJK.03/2022 sebagai pedoman teknis ketahanan dan keamanan siber bagi bank umum menempatkan ketergantungan pada pihak ketiga sebagai salah satu parameter penilaian risiko inheren. Organisasi yang menggunakan provider managed SOC eksternal, baik dengan model BYOS maupun platform SIEM, perlu menetapkan batas tanggung jawab keamanan dan alur eskalasi yang terdefinisi secara terukur.

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi Pasal 35 mewajibkan pengendali data melindungi dan memastikan keamanan data pribadi melalui langkah teknis dan operasional. Ketentuan ini relevan ketika operator pihak ketiga mengakses dan memproses log telemetri yang memuat data pribadi klien.

Analisis regulasi dalam artikel ini bersifat informatif dan tidak merupakan nasihat hukum. Organisasi disarankan berkonsultasi dengan konsultan hukum atau kepatuhan yang memahami regulasi sektor spesifik sebelum mengambil keputusan arsitektur berdasarkan pertimbangan regulasi.

FAQ

Apa perbedaan BYOS dan managed SIEM?

BYOS adalah model di mana organisasi mempertahankan infrastruktur dan lisensi SIEM miliknya, sementara provider SOC bertindak sebagai operator. Managed SIEM berarti provider menyediakan sekaligus mengoperasikan platform, termasuk infrastruktur, parser, dan pemeliharaan detection rules secara penuh.

Mengapa fitur SOC bergantung pada SIEM?

Kapabilitas FIM, analitik machine learning, dan SOAR bergantung pada kemampuan native SIEM, ketersediaan API, dan akses telemetri yang tim klien sudah konfigurasi. Jika SIEM klien tidak mendukung fitur tertentu, provider tidak dapat menjamin kapabilitas tersebut. Tim klien perlu menambahkan lapisan integrasi eksternal dengan biaya dan waktu onboarding tambahan.

Apa saja biaya tersembunyi migrasi SIEM?

Komponen yang sering terlewat dalam estimasi awal mencakup penyesuaian parser, migrasi correlation rules, biaya storage berdasarkan volume log, dan validasi paralel 8-12 minggu. Parser yang minim dokumentasi dan workflow SOAR yang saling terhubung juga dapat membuat biaya migrasi lebih tinggi dari perkiraan.

Kapan BYOS menjadi pilihan yang masuk akal?

BYOS masuk akal ketika SIEM klien menghasilkan telemetri berkualitas tinggi dan sudah terintegrasi ke alur audit serta kepatuhan, tim internal memiliki kapasitas untuk memelihara parser dan detection rules, dan ada kebutuhan data residency atau ketentuan pengadaan yang membatasi perpindahan platform.