White-label SOC สำหรับ MSP, MSSP และ Reseller: โมเดลนี้ทำงานอย่างไรจริง ๆ
White-label SOC คือการให้ทีมภายนอกเฝ้าระวังความปลอดภัยให้ลูกค้าของคุณ โดยทุกอย่างที่ลูกค้าเห็นเป็นแบรนด์ของคุณ โลโก้คุณบนรายงาน ชื่อคุณบน ticket account manager ของคุณเป็นคนรับสาย ส่วนผู้ดำเนินการอยู่ข้างหลังและไม่ปรากฏตัว พาร์ทเนอร์มองหาโมเดลนี้เพราะเลขของการจ้างคนโหดมาก การเฝ้าระวัง 24 ชั่วโมงไม่ได้ใช้ analyst สี่คน แต่ใกล้แปดคนเมื่อรวมวันลา อัตราลาออก และตารางกะจริง อีกเหตุผลคือลูกค้าถามหาสิ่งที่พาร์ทเนอร์ยังขายไม่ได้อยู่เรื่อย ๆ โมเดลนี้เป็นโมเดลที่ดี แต่ไม่ได้ฟรี และหน้านี้พูดถึงทั้งสองด้าน
- ตรวจสอบล่าสุด
- เทียบกับ
- การสร้าง SOC เอง
- ช่องทางการขาย
- ผ่านพาร์ทเนอร์เท่านั้น
สองโมเดลนี้ต่างกันตรงไหน
หัวข้อที่ใช้ตัดสินว่าพาร์ทเนอร์ควรซื้อเจ้าไหน รวมหัวข้อที่เราสู้เขาไม่ได้ด้วย
| หัวข้อ | Cyber Defense | การสร้าง SOC เอง | ได้เปรียบ |
|---|---|---|---|
| เวลาถึงลูกค้ารายแรก | หน่วยเป็นสัปดาห์ บริการที่ไม่ต้องติดตั้งอะไร เช่น exposure management และ leak detection เริ่มใช้ได้ในสัปดาห์เดียวกับที่ปิดการขาย | หนึ่งปีขึ้นไปกว่าการเฝ้าระวัง 24 ชั่วโมงจะเป็นจริง และนานกว่านั้นกว่า runbook ที่อยู่เบื้องหลังจะใช้ได้จริง | เรา |
| ต้นทุนจริงของการเฝ้า 24 ชั่วโมง | หน่วยต่อลูกค้าต่อเดือนพร้อมขั้นต่ำ คุณรู้ต้นทุนก่อนเสนอราคา และต้นทุนขยับตามจำนวนลูกค้าที่ปิดได้ | เป็นเงินเดือนที่ต้องจ่ายไม่ว่าไตรมาสนี้จะขายได้หรือไม่ บวกค่าเครื่องมือ บวกค่าหาคนใหม่มาแทนคนที่ลาออก | เรา |
| การควบคุมคุณภาพ | คุณรับกระบวนการของคนอื่นมาใช้ และมองเห็นมันผ่านรายงานเป็นหลัก ควรขอดูสายการ escalate และตัวอย่างรายงานก่อนเซ็น ไม่ใช่หลังเซ็น | เป็นของคุณทั้งเส้น อยากแก้ playbook วันจันทร์เพราะตัดสินใจตอนวันอาทิตย์ก็ทำได้ | เขา |
| ใครเป็นเจ้าของความสัมพันธ์กับลูกค้า | คุณ โดยมีเงื่อนไขว่าผู้ดำเนินการต้องไม่มีการขายตรง ควรตรวจข้อนี้ก่อนจะเชื่อ เพราะมันคือฐานของข้อตกลงทั้งหมด | คุณ และไม่มีใครอื่นอยู่ในห้องเลย | เสมอ |
| ความรู้สะสมอยู่ที่ใคร | งาน detection engineering สะสมอยู่กับผู้ดำเนินการ ถ้าคุณเลิกสัญญา การ tune จะไม่ตามคุณไปด้วย เว้นแต่สัญญาระบุไว้ ดังนั้นให้ระบุไว้ | ทุกอย่างที่ทีมเรียนรู้อยู่ในบริษัทของคุณ และทบต้นอยู่ตรงนั้น | เขา |
| โครงสร้างมาร์จิ้น | ต้นทุนต่อหน่วยคงที่เข้า ราคาของคุณเองออก มาร์จิ้นดีขึ้นตามจำนวนลูกค้าที่เพิ่ม ไม่ใช่ตามจำนวนคนที่จ้างเพิ่ม | มาร์จิ้นจะโผล่ก็ต่อเมื่อ utilisation เกินต้นทุนคงที่ของทีม ซึ่งเป็นเหตุผลที่ SOC ขนาดไม่ถึงจุดคุ้มขาดทุนเงียบ ๆ อยู่หลายปี | เรา |
| ความรับผิดและหน้าที่แจ้งเหตุ | การมอบงานให้คนอื่นทำไม่ใช่การมอบความรับผิด สัญญากับลูกค้าปลายทางเป็นของคุณ หน้าที่แจ้งเหตุข้อมูลรั่วก็เป็นของคุณ | เหมือนกันทุกข้อ ต่างแค่มีคู่สัญญาน้อยรายกว่าตอนต้องประสานงานจริง | เสมอ |
การสร้าง SOC เอง เหมาะกับคุณมากกว่าเราเมื่อไร
ถ้าข้อไหนตรงกับสถานการณ์ของคุณ ให้เชื่อข้อนั้นแล้วเลือกอีกฝั่ง เรายอมเสียดีลดีกว่าเป็นบรรทัดที่ผิดบน price list ของคุณ
- งานความปลอดภัยคือสินค้าที่คุณขาย ไม่ใช่ของแถมของบริการไอที ถ้า SOC คือสิ่งที่ลูกค้าจ่ายเงินซื้อ การเป็นเจ้าของมันคือตัวธุรกิจ
- คุณมี analyst ตั้งแต่สามคนขึ้นไป และมีปริมาณเคสมากพอให้ทีมไม่ว่าง เลยจุดนั้นไปแล้ว ผู้ดำเนินการภายนอกกลายเป็นต้นทุน ไม่ใช่ขีดความสามารถ
- สัญญา ผู้กำกับดูแล หรือ TOR ของภาครัฐกำหนดให้ต้องใช้พนักงานของคุณเอง สถานที่ของคุณเอง หรือการประมวลผลในประเทศที่บุคคลที่สามทำแทนไม่ได้
- คุณมีลูกค้ารายใหญ่รายเดียวที่ใหญ่พอจะเลี้ยงทั้งทีมได้ ซึ่งเปลี่ยนสมการทั้งหมด
- จุดต่างของคุณคือวิธีตรวจจับที่คุณคิดขึ้นเอง และคุณไม่อยากส่งให้คนอื่นเอาไปรัน
สรุปแล้วพาร์ทเนอร์ควรทำอย่างไร
White-label SOC เหมาะกับพาร์ทเนอร์ที่ลูกค้าถามหาเรื่องความปลอดภัยอยู่เรื่อย ๆ แต่ตัวธุรกิจหลักไม่ใช่งาน security operations มันเปลี่ยนปัญหาการจ้างคนให้กลายเป็นต้นทุนต่อหน่วย และทำให้คุณเริ่มขายได้เดือนหน้าแทนที่จะเป็นปีหน้า แต่มันไม่เหมาะถ้าคุณอยากเป็นเจ้าของวิชานี้เอง ถ้าคุณผ่านจุดที่ทีมเลี้ยงตัวเองได้แล้ว หรือถ้าคุณทำใจไม่ได้กับการตัดสินคุณภาพผ่านรายงานแทนการยืนดูอยู่ข้างหลังคนทำงาน สองข้อที่ควรยืนกรานก่อนเซ็นกับใครก็ตาม หนึ่งคือผู้ดำเนินการต้องไม่มีการขายตรง มิฉะนั้นรายชื่อลูกค้าของคุณก็คือรายชื่อผู้มุ่งหวังของเขา สองคือขอสายการ escalate เป็นลายลักษณ์อักษรที่มีชื่อคนและเวลากำกับ Cyber Defense ขายผ่านพาร์ทเนอร์อย่างเดียว เราจึงพูดข้อแรกได้เต็มปาก
คำถามที่พาร์ทเนอร์ถามก่อนตัดสินใจ
White-label SOC คืออะไร
คือข้อตกลงที่ทีม security operations ภายนอกทำหน้าที่เฝ้าระวัง triage และ escalate ให้ลูกค้าของคุณ แต่ทุกอย่างที่ลูกค้าเห็นเป็นแบรนด์ของคุณ ผู้ดำเนินการไม่มีความสัมพันธ์กับลูกค้าปลายทาง ไม่ปรากฏบน ticket และไม่ได้เป็นคู่สัญญากับลูกค้า
White-label SOC ต่างจาก MDR อย่างไร
MDR มักซื้อในฐานะบริการที่มีแบรนด์ของ vendor ลูกค้ารู้ชื่อ vendor และหลายครั้งก็ login เข้า console ของ vendor เอง ส่วน white-label SOC คือรูปแบบการส่งมอบที่อยู่หลังบริการของคุณ เนื้องานอาจคล้ายกันมาก ความต่างอยู่ที่ชื่อใครอยู่บนงาน และใครเป็นเจ้าของความสัมพันธ์
ลูกค้าจะรู้ไหมว่าใครอยู่เบื้องหลัง SOC
ถ้าเป็น white-label จริง จะไม่รู้จากรายงาน จุดที่ข้อตกลงแบบนี้มักถูกเปิดคือตอนเกิดเหตุจริง เมื่อมีคนต้องเข้า bridge call ตอนตีสาม ให้ถามผู้ดำเนินการทุกรายที่คุณกำลังประเมินว่าสายนั้นจัดการอย่างไร และขอเป็นลายลักษณ์อักษรก่อนเซ็น
White-label SOC ราคาเท่าไร
โดยปกติคิดเป็นต่อหน่วย ไม่ใช่ต่อชั่วโมง เช่น ต่อลูกค้าต่อเดือนสำหรับการเฝ้าระวัง ต่อโดเมนสำหรับ exposure และ leak detection ต่อไซต์สำหรับงาน OT ตัวเลขที่สำคัญที่สุดคือขั้นต่ำ เพราะนั่นคือต้นทุนที่คุณแบกในเดือนที่ลูกค้ารายนั้นเงียบ
เก็บ SIEM ที่มีอยู่ไว้ได้ไหม
ขึ้นกับผู้ดำเนินการแต่ละราย และเป็นคำถามที่ตัดสินการประเมินส่วนใหญ่ ของเรา Managed SOC รันบน zcr เส้นนั้นจึงหมายถึงการย้าย telemetry ส่วนเส้น detection engineering ทำงานกับแพลตฟอร์มที่คุณมีอยู่ได้ ถามให้ได้คำตอบตรง ๆ ตั้งแต่ต้น เพราะมารู้ทีหลังแพงมาก
เริ่มขายได้เร็วแค่ไหน
บริการที่ไม่ต้องติดตั้งอะไรจะเร็วที่สุด exposure management และ leak detection ไม่ต้องมี agent และไม่ต้องมี credential ลูกค้าจึงเริ่มใช้ได้ในหนึ่งสัปดาห์ และคุณมีของขายระหว่างที่งาน deployment ของระบบเฝ้าระวังยังรอคิวอยู่