MSSP ile SOC Arasındaki Fark Nedir?

Kısa cevap

• SOC (Security Operations Center — güvenlik operasyon merkezi), ağ ve sistemlerdeki teknik olayları izleyerek güvenlik olaylarını tespit eden, analiz eden ve müdahaleyi yürüten ya da koordine eden ekip ve işlevdir. Bir "şey"den çok bir "iş"tir: insan + süreç + araç.
• MSSP (Managed Security Service Provider — yönetilen güvenlik hizmeti sağlayıcı), güvenlik izleme ve yönetimini hizmet olarak sunan üçüncü taraf şirkettir. Bir MSSP'nin sunduğu hizmetlerden biri — çoğu zaman en önemlisi — kendi SOC'unu müşterileri adına çalıştırmaktır ("yönetilen SOC").
• Yani soru "hangisi daha iyi?" değil, "SOC işlevini kim çalıştıracak?" sorusudur: kendi ekibiniz (iç SOC), bir sağlayıcı (MSSP / yönetilen SOC) ya da ikisinin karışımı (hibrit).
• KOBİ'ler için pratik cevap çoğunlukla MSSP'dir, sık sık da hibrit biçimde; çünkü 7x24 izlemenin belirleyici maliyeti genellikle araçta değil, vardiya tutan analistlerdedir. Büyük kurumlar ise iç SOC kurup belirli işleri (gece izleme, tehdit istihbaratı, olay müdahale takviyesi) MSSP'den alabilir.

SOC nedir?

Avrupa Birliği Siber Güvenlik Ajansı ENISA'nın "How to set up CSIRT and SOC" rehberi (Aralık 2020) SOC'u şöyle tanımlar: SOC, ağlardaki ve sistemlerdeki teknik olayları gözlemleyerek olay tespit hizmeti sunar; olay müdahalesi ve olay yönetiminden de sorumlu olabilir. Büyük kuruluşlarda SOC bazen yalnızca izleme ve tespite odaklanır, olay yönetimini ayrı bir CSIRT'e (siber olaylara müdahale ekibi) devreder; küçük yapılarda iki rol aynı ekipte birleşir.

Aynı rehber önemli bir noktayı da kaydeder: SOC'lar fiziksel bir odada çalışmak zorunda değildir; sanal, dış kaynaklı ya da iç ve dış personelin karışımı olabilir; zaman içinde iç ve dış kaynak arasında geçiş yapmak yaygın bir uygulamadır. Bu cümle, MSSP tartışmasının özüdür: SOC bir işlevdir ve işlev dışarıdan da alınabilir.

Bir SOC'un tipik işleri:

1. İzleme ve tespit — SIEM (güvenlik bilgi ve olay yönetimi), uç nokta (EDR — uç nokta tespit ve müdahale yazılımı), ağ ve bulut kaynaklarından gelen alarmların 7x24 takibi.
2. Triyaj (ön eleme) ve analiz — alarmın gerçek bir olay mı, yanlış pozitif mi (gerçek tehdit olmayan alarm) olduğuna karar verme; önem derecesi atama.
3. Olay müdahalesi veya koordinasyonu — engelleme, izolasyon, hesap kilitleme gibi adımları uygulama ya da müşteriye/BT ekibine "şu adımı atın" diye iletme.
4. Tehdit istihbaratı ve kural bakımı — yeni saldırı tekniklerine göre tespit kurallarını güncelleme.
5. Raporlama — aylık özetler, hizmet seviyesi ölçümleri, olay sonrası dersler.

Bunun için araç gerekir (SIEM başta olmak üzere), ama araç tek başına SOC değildir; alarmı okuyup harekete geçecek insanlar da gerekir.

MSSP nedir?

MSSP, güvenlik cihaz ve sistemlerinin izlenmesini ve yönetimini müşterileri adına üstlenen bir hizmet sağlayıcıdır. Hizmet kataloğu sağlayıcıya göre değişir; tipik kalemler:

• Yönetilen SIEM / yönetilen SOC — log toplama, korelasyon, 7x24 alarm izleme, olay bildirimi.
• Yönetilen güvenlik duvarı — kural değişiklikleri, yama, yapılandırma yedeği.
• Log saklama ve uyum — örneğin 5651 erişim kayıtlarının imzalı saklanması.
• Zafiyet tarama, Active Directory denetimi, güvenlik duvarı kural analizi gibi periyodik değerlendirmeler.
• Danışmanlık ve raporlama.

Sektörde yakın terimler de dolaşır: SOC-as-a-Service (sektörde genellikle yönetilen SOC ile aynı anlamda kullanılır) ve MDR (Managed Detection and Response — genellikle uç nokta odaklı tespit ve müdahale hizmeti). Sınırlar sağlayıcıdan sağlayıcıya değiştiği için sözleşmede "ne izleniyor, kim müdahale ediyor" maddelerine bakmak, terime bakmaktan daha güvenilirdir.

MSSP ile SOC arasındaki fark nedir?

MSSP ile SOC arasındaki fark, birinin işlev, diğerinin sağlayıcı olmasıdır. SOC (güvenlik operasyon merkezi), güvenlik olaylarını izleyen, analiz eden ve müdahaleyi yürüten ya da koordine eden ekip ve süreçtir; içeride kurulabilir, dışarıdan alınabilir. MSSP (yönetilen güvenlik hizmeti sağlayıcı) ise bu işlevi birden çok müşteri adına hizmet olarak sunan üçüncü taraf şirkettir. Kısaca SOC "ne yapılır", MSSP "kim yapar" sorusunun cevabıdır. Aşağıdaki tablo, işlevi kendi ekibinizle çalıştırmakla (iç SOC) bir sağlayıcıdan almayı (MSSP / yönetilen SOC) karşılaştırır.

Kısacası SOC ile MSSP birbirinin alternatifi değildir; MSSP, SOC işlevini satın almanın bir yoludur.

Üç model: iç SOC, yönetilen SOC, hibrit

İç SOC. Tam kontrol ve kurum içi bilgi; karşılığında 7x24 için en az dört kişilik vardiya (haftada 168 saat, kişi başı 45 saatlik yasal çalışma haftası — hesabı SIEM yazısında verdik), araç ve kural bakımı, sürekli eğitim. Analist bulmak ve tutmak küçük şirketler için zordur.

Yönetilen SOC (MSSP). Toplayıcı sizde, platform ve analistler sağlayıcıda; tanımlı hizmet seviyeleriyle 7x24 izleme. Karşılığında bağımlılık ve "sağlayıcı benim ağımı ne kadar tanıyor?" sorusu; iyi bir MSSP bunu keşif aşaması, kaynak envanteri ve düzenli raporlarla kapatır.

Hibrit. Mesai saatinde iç ekip, gece/hafta sonu MSSP; ya da izleme ve ilk analiz MSSP'de, engelleme/izolasyon gibi uygulama adımları içeride. KOBİ'de sık rastlanan bir biçim şudur: MSSP tespit eder ve ne yapılacağını bildirir, kurumun BT ekibi uygular.

Hangi model olursa olsun, sorumluluk kurumdadır. ABD standart kurumu NIST'in olay müdahalesi kılavuzu (SP 800-61 Rev. 3, Nisan 2025) olay müdahalesini kurumun risk yönetiminin sürekli bir parçası olarak ele alır. SOC'un iç ya da dış olması bu sorumluluğu ortadan kaldırmaz: dış kaynak kullansanız da olay yönetimi politikası, roller ve karar yetkisi kurumun kendisinde tanımlı olmalıdır.

MSSP seçerken sorulacak 10 soru

1. Hangi kaynaklar izleniyor (güvenlik duvarı, dizin, bulut, uç nokta, sunucu) ve hangi saatlerde?
2. Alarm bize nasıl geliyor — yalnız "bir şey oldu" mu, yoksa açıklama ve önerilen adım ile mi?
3. Kritik alarmda ilk bildirim süresi nedir ve sözleşmede yazıyor mu?
4. Müdahaleyi kim uygular: sağlayıcı mı, bizim ekibimiz mi, hangi yetkiyle?
5. Verilerimiz nerede tutuluyor; müşteriler birbirinden nasıl ayrılıyor?
6. Korelasyon kurallarını kim yazıyor, kim güncelliyor, yanlış pozitifler nasıl ayıklanıyor?
7. Aylık ne raporlanıyor; hizmet seviyeleri ölçülüp paylaşılıyor mu?
8. Yasal saklama (5651) ve KVKK rolleri (veri işleyen sözleşmesi) nasıl karşılanıyor?
9. Kurulum ne gerektiriyor — sahaya cihaz mı, sanal toplayıcı mı, ajan mı?
10. Sözleşme süresi ve çıkış: ayrılırsak loglarımızı ve kuralları nasıl alırız?

voosec'te model nasıl kurulu?

voosec bir MSSP'dir; SOC işlevini paketlere göre farklı derinlikte sunar, böylece "kim izleyecek?" sorusunu siz cevaplarsınız:

• Görünürlük — izleme sizde: merkezi log toplama ve korelasyon platformda çalışır, alarmları panelden siz izlersiniz, kararı da siz verirsiniz. SOC'un insan tarafı (izleme ve karar) kurumda kalır.
• Alert & Bildirim — Görünürlük'ün tamamı + kural seti tanımı, alarm başına açıklama notu, aylık tehdit raporu ve 5x8 e-posta danışmanlık; izleme yine sizde, yorum bizde.
• Yönetilen SOC — 7x24 izlemeyi ekibimiz yapar; tanımlı bildirim SLA'sı (hizmet seviyesi taahhüdü) ile kritik alarmda hızlı müdahale, olay analizi ve sınırsız danışmanlık; hizmet seviyeleri her ay ölçülüp raporlanır.

Üç pakette de kurulum tek bir sanal sunucuyla (voosec proxy) yapılır. Kayıtlar şifreli kanaldan taşınır ve Türkiye'deki altyapımızda saklanır; müşteri verilerini satır seviyesinde erişim denetimiyle (RLS) birbirinden ayırırız. KVKK rollerini veri işleme sözleşmesi tanımlar. Dönem 12 veya 24 aydır.

Sık sorulanlar

MSSP ile çalışırsak kendi güvenlik ekibimize gerek kalmaz mı?

Kalır, ama boyutu değişir. Tespit ve bildirim MSSP'de olsa bile karar yetkisi, iç uygulama (hesap kapatma, cihaz izolasyonu, kullanıcıyla iletişim) ve politika kurumdadır. Küçük şirketlerde bu rol genellikle mevcut BT sorumlusuna düşer.

SOC ile CSIRT aynı şey mi?

Değil. ENISA'nın ayrımıyla SOC izleme ve tespite odaklanır; CSIRT olay yönetimini ve koordinasyonu üstlenir. Küçük yapılarda ikisi aynı ekipte birleşir; MSSP modelinde tespit sağlayıcıda, olay yönetiminin karar kısmı kurumda kalabilir.

MDR ile MSSP arasındaki fark nedir?

MDR genellikle uç nokta odaklı tespit ve müdahaleyi anlatır; MSSP ise izleme, yönetim, uyum ve danışmanlığı kapsayan daha geniş bir hizmet kataloğudur. Pratik soru şudur: sözleşme hangi kaynakları izliyor ve müdahaleyi kim uyguluyor? Cevap terimden değil kapsam maddesinden okunur.

Kaynaklar

• ENISA, How to set up CSIRT and SOC — Good Practice Guide (10 Aralık 2020)
• NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management (Nisan 2025)
• NIST Cybersecurity Framework (CSF) 2.0 (26 Şubat 2024)
• MITRE, 11 Strategies of a World-Class Cybersecurity Operations Center (2. baskı, 2022)
• SIEM nedir? — voosec blog · 5651 loglama nedir? — voosec blog

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımaz.