托管 SOC 报价单必须写清的七件事：比价之前先比范围

简短回答

一份托管 SOC 报价只有写清七件事才能拿来比较：覆盖哪些日志源、系统和时段；价格按什么计费；检测规则由谁编写、调优、归谁所有；SOC 不经电话确认可以对您的系统做什么；上线前的接入期怎么安排；日志存在哪里、归谁所有；以及您离开时能拿回什么。两家服务商对同一个平台报出相差很大的月费，往往只是因为监控的范围不一样。先把这七项拿到书面答复，再比价格；只给一个月费数字加一个响应时间的报价，按不完整处理。

这篇文章写给谁

写给博彩平台、加密货币交易所或金融科技公司的 CISO、安全负责人和采购负责人——手里有两三份看起来差不多的托管 SOC 方案。这篇只讲怎么读报价，不讲怎么选厂商或选运营模式。对于在马尼拉、金边或新加坡运营、团队集中在白天的平台来说，SOC 要补的正是本地下班后的夜间空档，所以"时段"这一行比在欧洲还重要。

要找的七行

报价条目	要问什么	为什么它决定价格和结果
监控范围	覆盖哪些日志源、系统和时段？哪些明确不覆盖？	只盯着一部分资产，其余部分没人看。
计价基础	按终端、数据量、用户数还是固定范围包干？什么情况会涨价？	计价基础决定业务增长时账单涨在哪里。
检测规则归属	规则由谁写、谁调优、归谁所有？退出时能带走吗？	贴合您平台的规则才是花钱买的价值，退出时丢掉等于归零。
响应权限	SOC 不打电话可以做什么？什么必须等您批准？	只检测不处置，就只是个告警服务。
接入期	多久才算真正开始监控？这期间盯着什么？	最初几周往往是覆盖最薄的时候。
数据条款	日志存在哪里、留多久、归谁所有？	这决定您的审计证据和数据风险。
退出条款	离开时能拿回什么？什么格式？	走不干净的合同就是锁定。

第一行：监控范围到底覆盖什么

"7×24 托管 SOC"不是范围。要拿到喂进监控的日志源和系统清单、哪些时段由人值守而不是只靠自动化、以及明确排除的部分。对博彩平台来说，是出纳/收银系统、身份认证服务和代理后台；对交易所来说，是托管与签名路径、提款审批流。服务商看不到的东西就检测不到，所以"排除项"比标题重要。接入前先把日志源补齐，再谈覆盖。

第二行：价格按什么计

服务商的计价基础各不相同：按监控的设备数、按接入的数据量、按用户数，或者按一个定义好的范围包干。每一种都让不同的东西随业务增长：按终端，加机器就涨；按数据量，日志开得更细就涨，攻击流量把日志灌满也会涨；按用户，人数增加就涨。要问清：新增一套系统时账单怎样，一次事件产生异常数据量时怎样，费率变动是否有上限或提前通知期。

第三行：检测规则归谁

针对您平台调优的检测规则，是这笔钱的大部分价值。要问：规则是为您的环境专门写的，还是套通用内容？多久调优一次，由谁发起？规则是否以您可以保留的形式交付？如果答案是"自有内容，归服务商"，那服务商一走，您的检测质量也跟着走。还要问误报怎么处理——一队没人复核的告警，成本落在您这边。

第四行：SOC 不打电话能做什么

分诊和响应是两回事。有的服务商只通知然后等待，有的可以在预先约定的规则下做到一定程度的遏制，比如隔离一台终端或禁用一个账号。报价应列出哪些动作是预先授权的、哪些需要您批准、以及夜里您这边谁有权批准。对于投注与交易 7×24 不停的平台，这一行等于问：凌晨三点告警响了，是有人能动手，还是只能等天亮。

第五行：上线前的接入期

SOC 不会在签字当天就开始监控。日志源要接、基线要学、规则要调。要拿到接入步骤、双方分工、这期间监控什么、服务商需要您的团队做什么。然后问：全额费用是从第一天起算，还是从覆盖真正生效起算。答案能看出服务商把接入当作服务的一部分，还是当作您的问题。

第六行：数据存放地、保留期与归属

您的日志是审计证据，也可能包含个人数据。报价或附件应写明：日志存在哪里、留多久、谁能访问、归谁所有、是否涉及分包方。对持牌运营商来说，这些答案会直接进入您向牌照方和合作银行提交的合规材料（例如 PAGCOR、MGA、MAS 等机构通常对日志留存有要求，具体以您的牌照条款为准），不要留到以后再谈。保留期短于审计方的预期，是只有出事后才发现的缺口。

第七行：报告与退出

问清楚定期能收到什么——摘要、调优变更、覆盖缺口——以及一份事件报告包含什么。然后趁手里还有筹码时问退出问题：离开时拿回哪些数据、规则和文档，什么格式，多久交付。对退出含糊其辞的服务商，已经在告诉您它预期这段关系怎么收场。另一个相关问题——事件需要深挖时谁接手——属于应急响应预留的报价，见延伸阅读。

报价里的危险信号

• 写了"7×24"，却没有日志源、系统或人工值守时段的清单。
• 计价基础没写，或者可以不经通知变动。
• 检测内容被描述为"自有"，退出时不交付规则。
• 罗列了一堆服务，却没说 SOC 可以对您的系统做什么。
• 覆盖还没生效就开始收全额费用，没有接入计划。
• 没写日志存在哪里、留多久、归谁所有。

局限

这是一份读报价的指南，不是价目表，也不推荐任何服务商。文中不含市场价格、工期或 AnySec 的自有数据，也不给厂商排名。条款因服务商、套餐和日期而异，请以每家的现行合同与服务说明为准。另外，合同不能证明检测有效——那要靠实际演练，例如用一次渗透测试验证 SOC 是否看得见测试者的动作。

下一步

把手里的方案对着上表并排放好，把缺的项目当作问题发回给服务商。如果需要有人帮您定 SOC 必须覆盖什么、把答案落成接入与升级流程，请查看托管 SOC 服务页，并通过联系表单告诉我们您的关键系统、日志源和夜间有权批准处置的人。

延伸阅读

• 应急响应预留报价：小时池、超额与响应时钟——SOC 升级之后由谁接手。
• DDoS 防护服务报价必须写清什么——同一套"先比范围"的读法用在防护合同上。
• English original: Managed SOC Services — What the Quote Must Say