En la propuesta del SOC el costo de licencia y el costo de monitoreo aparecen por separado — ¿es normal esta separación?

La separación es muy correcta xq el lado de EDR se cotiza por agente y el lado de logs por eventos por segundo (EPS). El monitoreo, en cambio, es el costo de turno de los analistas de Nivel 1 y Nivel 2 que revisan esas alertas. Las empresas que unen ambos en una sola partida generalmente mantienen bajo el límite de logs y provocan que te quedes ciego en el momento del ataque.

Antes de firmar confirma estos puntos: 1) ¿Las licencias se definen a nombre de la persona jurídica de tu empresa? 2) ¿Hay costo de penalización extra si se excede la cuota diaria de GB de logs o EPS? 3) ¿Se da compromiso de exportar el archivo de logs en caso de salida del servicio? 4) ¿Se hace descuento en el costo del servicio si se incumplen los tiempos de SLA de monitoreo?

Nosotros usamos una estructura similar para 140 puntos finales. Pagamos 48.000 TL mensuales por el servicio y 6.800 USD anuales por la licencia. El año pasado había una empresa que daba una sola partida, en el mes 4 intentaron subir unilateralmente el contrato diciendo q excediste la cuota de logs. Dos partidas transparentes siempre son más seguras.

El verdadero peligro aquí es que el proveedor meta su propio margen de ganancia y venda la licencia más cara que el precio de lista. Llama directamente al distribuidor en Turquía del software de seguridad en cuestión y hazte una idea aproximada del precio de lista para 120 agentes. A ver si el proveedor tb obtiene ganancia oculta sobre la licencia.

mira bien quién va a ser el administrador de la consola. la cuenta de admin principal debe quedar en ti a la empresa que da el servicio se le debe abrir rol de analista autorizado. si algún día se pelean no te quedes bloqueado en tu propio sistema.

Corrección: recordaba mal la cifra, era un poco más baja.

En caso de que los costos de licencia de software se determinen en divisas, debe redactarse expresamente como cláusula del contrato que se tomará como base el tipo de cambio efectivo de venta del Banco Central en la fecha de pago y que las fechas de facturación se fijarán en periodos trimestrales.

Hace dos años trabajamos con un lugar que emitía una sola factura todo incluido. Cuando no quedamos conformes con el servicio quisimos salirnos pero resulta que los agentes estaban en su pool. Quitar los agentes a mano de todas las computadoras e instalar los nuevos nos tomó dos semanas, el trabajo se bloqueó. Separarlo desde el principio es definitivamente lo más sano.

Pienso diferente. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

No te olvides de: Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Ánimo.

Tiene razón. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Voy a contar mi experiencia. Que todo el mundo haga algo no significa que sea lo correcto.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

En teoría es correcto, pero en la práctica no funciona así. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Este hilo es para archivar.

Correcto. Intentar hacerlo solo es la vía más cara.

Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Yo también estaba pensando en lo mismo. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Hay una cosa a la que hay que prestar atención. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Ha sido una buena idea abrir este hilo.

Le agradecería que compartiera el resultado.