Memilih Managed SOC atau In-House SOC? Ini yang Perlu Dipertimbangkan Perusahaan

Banyak perusahaan memulai diskusi pembangunan SOC dari pertanyaan anggaran. Berapa biaya lisensi SIEM? Berapa gaji analis? Pertanyaan-pertanyaan itu penting, tetapi bukan titik awal yang tepat. Sebelum menyusun estimasi anggaran, manajemen perlu memetakan alur analisis, pemantauan alert di luar jam kerja, serta penanggung jawab eskalasi insiden.

TL;DR

• In-House SOC dan Managed SOC berbeda secara fundamental pada struktur biaya, kebutuhan sumber daya, dan pembagian tanggung jawab operasional, bukan hanya soal CAPEX versus OPEX.

• Volume alert, kompleksitas lingkungan, kebutuhan coverage 24/7, dan tingkat otomasi menjadi faktor penentu beban kerja harian tim SOC yang sering diabaikan dalam kalkulasi awal.

• Kebutuhan audit tidak berhenti pada penyimpanan log. Regulator dan auditor membutuhkan bukti proses pemantauan, analisis, eskalasi, dan respons yang terdokumentasi secara aktif.

• Pilihan build atau buy harus diselaraskan secara rasional dengan profil risiko, kapabilitas internal, serta kewajiban regulasi masing-masing organisasi.

• Tidak ada opsi yang secara universal lebih baik. Keputusan yang tepat bergantung pada skala, sektor, dan kematangan operasional keamanan siber organisasi.

Apa Itu Managed SOC dan In-House SOC?

Security Operations Center (SOC) adalah fungsi pemantauan, deteksi, analisis, dan respons insiden keamanan siber secara terkoordinasi. Perbedaan antara In-House SOC dan managed SOC terletak pada siapa yang menjalankan fungsi tersebut dan dari mana sumber dayanya berasal.

In-House SOC beroperasi sepenuhnya di bawah tim internal. Analis, detection rules, dan platform SIEM, EDR, serta SOAR dikelola langsung oleh staf organisasi. Pendekatan ini memberikan kendali penuh atas telemetri, fleksibilitas aturan deteksi, serta kedaulatan data secara mandiri.

Managed SOC menyediakan layanan pemantauan dan respons dari penyedia pihak ketiga. Provider menyediakan analis, infrastruktur teknologi, serta threat intelligence lintas-pelanggan. Organisasi mempertahankan tim internal kecil sebagai penghubung (liaison) serta pembuat keputusan strategis.

Dalam praktik, model co-managed membagi peran secara fleksibel. Provider menangani pemantauan 24/7, sementara tim internal mengelola detection engineering dan tata kelola risiko. Perbedaan arsitektur operasional ini secara langsung menentukan struktur pembiayaan yang dibutuhkan organisasi.

Mengapa Membandingkan OPEX dan CAPEX Saja Tidak Cukup?

In-House SOC menuntut investasi awal untuk lisensi dan server sebagai belanja modal (CAPEX). Sebaliknya, Managed SOC dibebankan melalui biaya layanan berkala sebagai biaya operasional (OPEX). Namun, pemisahan pos anggaran ini belum mencakup total biaya kepemilikan menyeluruh selama masa operasional berlangsung.

Faktor Penentu Biaya Operasional SOC

Laporan survei SANS 2026 dan konsensus industri SecOps mencatat estimasi In-House SOC 24/7 berkisar antara 1,5 juta hingga 4 juta dolar pada tahun pertama, mencakup personel, lisensi, dan infrastruktur. Sebaliknya, layanan managed SOC berada pada rentang 50 ribu hingga 500 ribu dolar per tahun.

Dinamika personel turut menjadi beban biaya tersembunyi. Rekrutmen analis membutuhkan waktu 6 hingga 9 bulan, dengan rata-rata turnover tahunan mencapai 25 hingga 35%. Biaya penggantian dan pelatihan mencapai 30 ribu hingga 80 ribu dolar per personel secara berulang.

Volume Alert dan Beban Analisis sebagai Cost Driver

Riset Vectra AI (2026) mencatat rata-rata organisasi menerima 2.992 alert keamanan per hari. Studi Cybersecurity Insiders (2025) menemukan bahwa investigasi rata-rata membutuhkan 70 menit, dengan 56 menit untuk pengumpulan konteks. Pada volume 4.400 alert per hari, analisis D3 Security memperkirakan kebutuhan 200 analis manual.

Kondisi ini menimbulkan inefisiensi operasional. Volume alert rendah memicu utilisasi analis yang minim di luar jam sibuk. Sebaliknya pada beban tinggi, kelelahan analis menyebabkan 63% alert tidak terselidiki berdasarkan data Vectra AI. Kedua situasi ini membebani anggaran keamanan secara langsung.

Kebutuhan Analis untuk Operasional SOC 24/7

Tingginya persentase alert yang tidak terselidiki menunjukkan pentingnya perhitungan kapasitas analis yang akurat. Monitoring 24 jam secara berkelanjutan tidak dapat dipenuhi hanya dengan membagi total jam operasional ke dalam jumlah staf. Komposisi tim pemantauan harus memperhitungkan jadwal shift, pergantian tugas, serta eskalasi insiden.

Perencanaan Shift dan Efisiensi Kapasitas Analis

Operasional 24/7 menuntut perencanaan jadwal kerja, rotasi, serah terima shift, hak cuti, dan eskalasi terstruktur. Komposisi tim bergantung langsung pada rancangan jadwal, tingkat otomatisasi, cakupan telemetri, serta target SLA organisasi.

Kapasitas analis juga harus disesuaikan dengan volume pemantauan aktual. Pada lingkungan dengan telemetri terbatas, mempertahankan formasi analis penuh berisiko memicu inefisiensi biaya operasional. Sebaliknya tanpa perencanaan memadai, beban kerja berlebih mempercepat kejenuhan staf dan mengurangi kesinambungan pengetahuan teknis internal.

Penyesuaian Kapasitas Saat Beban Alert Meningkat

Saat volume alert melonjak akibat perubahan konfigurasi lingkungan atau peningkatan aktivitas ancaman, In-House SOC tidak dapat menambah kapasitas dengan cepat. Penyedia managed SOC dapat menyesuaikan alokasi analis lebih responsif karena berbagi kapasitas lintas beberapa klien.

Regulasi Ketahanan Siber yang Relevan di Indonesia

Selain pertimbangan kapasitas dan fleksibilitas tim, penentuan model SOC terikat pada kepatuhan terhadap regulasi di Indonesia. Regulator menetapkan standar ketahanan siber minimum bagi penyelenggara sistem elektronik dan sektor keuangan. Ketentuan ini mengatur proses pengawasan yang harus dijalankan tanpa membatasi kepemilikan infrastruktur secara kaku.

Ketentuan OJK untuk Perbankan

Ketentuan perbankan, termasuk POJK No. 11/POJK.03/2022 dan SEOJK No. 29/SEOJK.03/2022, mengatur ketahanan dan keamanan siber, mulai dari identifikasi, deteksi, hingga pemulihan insiden. Regulasi ini menekankan berjalannya fungsi pengawasan, bukan mewajibkan setiap bank umum membangun unit SOC internal secara mandiri.

Ketentuan Bank Indonesia untuk Penyelenggara Jasa Pembayaran

Bagi penyelenggara sistem pembayaran, PBI No. 2 Tahun 2024 menetapkan standar ketahanan siber dan keamanan sistem informasi sejak 22 April 2024. Aturan ini menetapkan kerangka pencegahan gangguan, pemantauan aktif, serta kesiapan penanganan insiden siber.

Secara prinsip, regulasi sektor keuangan maupun UU No. 27 Tahun 2022 Pasal 35 berfokus pada efektivitas proses pemantauan, bukan model kepemilikan SOC semata. Baik model in-house maupun managed dapat memenuhi ketentuan tersebut sepanjang mekanisme pelaporan selaras dengan mandat regulator.

Kesiapan Bukti Audit untuk In-House dan Managed SOC

Efektivitas pemantauan yang diatur dalam regulasi dibuktikan melalui artefak operasional saat pemeriksaan audit. Auditor sistem informasi tidak hanya meninjau ketersediaan log, tetapi menguji apakah deteksi, eskalasi, dan penanganan anomali berjalan secara konsisten. Kesiapan menyediakan bukti aktif ini menghadirkan tuntutan tata kelola yang berbeda bagi tim in-house dan penyedia layanan terkelola.

Bukti Kepatuhan dan Analisis Aktif In-House SOC

Audit berbasis ISO 27001 Annex A Controls 8.15 dan 8.16 membutuhkan bukti aktif yang melampaui arsip log tersimpan di media penyimpanan. Auditor memeriksa apakah log dianalisis aktif serta anomali ditindaklanjuti. Dokumentasi tindakan, kronologi waktu, dan mitigasi risiko menjadi pembuktian utama.

Tim In-House SOC wajib memproduksi seluruh artefak ini secara internal. Dokumen pembuktian mencakup tiket eskalasi, rekaman serah terima shift, dokumentasi runbook yang dieksekusi, serta laporan insiden lengkap.

Ketersediaan Bukti Audit pada Layanan Managed SOC

Penyedia managed SOC umumnya menyediakan laporan berkala, log terstruktur, dan dokumentasi respons insiden sebagai bagian dari layanan berlangganan. Namun, cakupan bukti sangat bergantung pada ruang lingkup kontrak. Sebelum menandatangani perjanjian, organisasi sebaiknya memastikan jenis artefak audit yang disediakan dan pihak yang bertanggung jawab atas pelaporan.

In-House vs Managed SOC dalam Tabel

Memilih antara In-House SOC dan Managed SOC memerlukan evaluasi menyeluruh terhadap aspek biaya, kapasitas personel, kepatuhan regulasi, serta pembuktian audit yang telah dibahas. Matriks perbandingan berikut merangkum perbedaan kedua model dalam empat dimensi strategis untuk membantu proses pengambilan keputusan.

Tabel ini bukan acuan mutlak untuk memilih satu jawaban. Setiap baris mencerminkan trade-off yang bergantung pada konteks dan kesiapan masing-masing organisasi. Dari empat dimensi di atas, keputusan akhirnya bergantung pada volume alert, kesiapan tim internal, dan kompleksitas kepatuhan organisasi.

Layanan SOC Cisometric sebagai Alternatif Solusi

Bagi organisasi yang mengevaluasi model pemantauan terkelola berbasis kepatuhan regulasi di Indonesia, Cisometric menyediakan layanan Security Operations Center (SOC) yang beroperasi dari fasilitas data center lokal Tier-3.

Layanan ini didukung oleh analis tersertifikasi seperti CISA dan CISSP dengan tata kelola terdaftar BSSN serta sertifikasi ISO 27001. Pendekatan operasional difokuskan pada analisis kontekstual dan kesiapan dokumentasi audit daripada meneruskan notifikasi mentah. Organisasi dapat meninjau portofolio pengawasan keamanan di halaman layanan resmi untuk mendiskusikan model kerja sama yang selaras dengan arsitektur teknologi dan profil risiko masing-masing.

Informasi dalam artikel ini bersifat edukatif dan bukan nasihat hukum atau kepatuhan regulasi. Ketentuan POJK No. 11/POJK.03/2022, SEOJK No. 29/SEOJK.03/2022, PBI No. 2 Tahun 2024, dan UU No. 27 Tahun 2022 berlaku spesifik berdasarkan sektor dan karakteristik masing-masing entitas.

Pembaca disarankan berkonsultasi dengan ahli hukum berwenang sebelum mengambil keputusan operasional berdasarkan regulasi yang disebutkan. Cisometric tidak bertanggung jawab atas keputusan bisnis yang dibuat berdasarkan konten artikel ini semata.

FAQ

Kapan sebaiknya memilih in-house SOC?

In-House SOC dapat lebih sesuai ketika organisasi memiliki lingkungan teknologi yang unik, kebutuhan kedaulatan data penuh, regulasi internal yang membatasi akses pihak ketiga, atau skala operasi yang memadai untuk sepadan dengan investasi jangka panjang. Model ini memberikan kendali langsung atas seluruh proses dan metodologi pemantauan.

Mengapa volume alert memengaruhi biaya SOC?

Volume alert menentukan beban kerja dan kebutuhan kapasitas analis. Lingkungan dengan volume peringatan tinggi membutuhkan sumber daya investigasi yang memadai agar sinyal ancaman tidak terabaikan. Sebaliknya, volume alert yang relatif rendah pada tim in-house berisiko menimbulkan biaya operasional yang kurang efisien bagi organisasi.

Apa saja evidence yang perlu disiapkan untuk audit?

Audit kepatuhan membutuhkan bukti operasional aktif, mencakup catatan penanganan tiket, rekaman serah terima shift, dokumentasi runbook, serta laporan kronologi insiden. Auditor mengevaluasi apakah proses deteksi dan respons berjalan secara konsisten, melampaui pemeriksaan keberadaan arsip log mentah di media penyimpanan.

Apakah regulasi Indonesia mewajibkan in-house SOC?

Tidak secara umum. Beberapa regulasi sektor keuangan mengatur fungsi dan proses keamanan siber yang harus dijalankan, tetapi tidak otomatis menetapkan bahwa fungsi tersebut harus dikelola melalui SOC internal. Model operasional perlu disesuaikan dengan ketentuan yang berlaku dan kebutuhan organisasi.

Apakah managed SOC membantu pemenuhan audit?

Penyedia Managed SOC dapat membantu pemenuhan bukti audit melalui penyediaan laporan berkala, rekaman tiket insiden, dan dokumentasi penanganan anomali. Namun, organisasi klien tetap bertanggung jawab memastikan bahwa ruang lingkup kontrak layanan mencakup seluruh persyaratan pembuktian yang disyaratkan oleh regulator terkait.