In-house hay Managed Security?

Tự vận hành Security hay thuê Managed Security không có đáp án đúng cho mọi doanh nghiệp. Quyết định tốt phụ thuộc vào risk của website, năng lực đội nội bộ, coverage cần thiết, tốc độ thay đổi và tổng chi phí để duy trì capability thực tế — không chỉ mức lương hoặc giá gói dịch vụ.

NIST lưu ý đội ngũ cybersecurity có thể được xây theo nhiều mô hình: một người nội bộ, cả team, nhà cung cấp bên ngoài hoặc kết hợp hybrid. Điều quan trọng là xác định trước outcome cần đạt, capability nào phải tồn tại và ai chịu trách nhiệm khi có alert, finding hoặc incident.

Mô hình In-house, Managed và Hybrid

Đừng bắt đầu bằng câu hỏi “phương án nào rẻ hơn?”

Chi phí chỉ có ý nghĩa khi hai phương án cung cấp capability tương đương. Một kỹ sư nội bộ làm giờ hành chính không thể được so trực tiếp với dịch vụ có human triage ngoài giờ; ngược lại, một gói Managed Security chỉ gửi alert cũng không tương đương đội nội bộ có quyền remediation và hiểu application sâu.

Trước tiên hãy khóa:

Asset và critical flow cần bảo vệ.
Capability cần có.
Coverage hours.
Response/escalation expectation.
Quyền production.
Evidence/report cần thiết.

Tự vận hành Security phù hợp khi nào?

In-house có lợi thế khi security phụ thuộc sâu vào business/application context và tổ chức có đủ nhân lực để duy trì capability. Dấu hiệu phù hợp:

Có đội kỹ thuật ổn định và hiểu rõ architecture.
Có người chịu trách nhiệm security operations.
Có khả năng trực hoặc escalation theo business requirement.
Có quy trình patch, access, logging, backup và incident response.
Có thời gian duy trì runbook, training và tooling.
Security cần tích hợp chặt với development/change management.

Managed Security phù hợp khi nào?

Managed Security thường hợp lý khi website quan trọng nhưng tổ chức thiếu specialization, bandwidth hoặc coverage. Ví dụ:

Không có security engineer chuyên trách.
Alert thường bị bỏ qua do đội IT quá tải.
Cần capability WAF, vulnerability, incident hoặc monitoring chuyên sâu.
Cần coverage ngoài giờ nhưng không đủ người tạo on-call rotation.
Backlog security tồn đọng.
Cần reporting/evidence định kỳ.

Để đánh giá nhu cầu trước, có thể xem Website nào nên sử dụng Managed Security Service?.

Hybrid thường là mô hình thực tế nhất

Nhiều tổ chức không cần chọn hoàn toàn một bên. Hybrid có thể giữ business context, approval và development ownership nội bộ, trong khi thuê ngoài các capability cần coverage hoặc specialization.

Ví dụ:

Internal team giữ IAM/business risk; provider monitor và triage.
Developer nội bộ fix code; provider validate vulnerability và retest.
Provider vận hành WAF; internal owner phê duyệt exception ảnh hưởng checkout.
Provider incident triage; management nội bộ quyết định shutdown/risk acceptance.

So sánh In-house và Managed Security theo Capability

Tiêu chí	In-house	Managed Security
Business context	Thường rất tốt	Cần onboarding và knowledge transfer
Specialization	Phụ thuộc team	Có thể tiếp cận chuyên gia đa lĩnh vực
Coverage ngoài giờ	Cần staffing/on-call	Có thể mua theo SLA thực tế
Control trực tiếp	Cao	Phụ thuộc scope/authorization
Ramp-up	Cần tuyển/đào tạo	Có thể nhanh hơn nếu onboarding tốt
Knowledge retention	Nội bộ	Cần tránh phụ thuộc vendor
Chi phí	Staff + tool + process + on-call	Fee + internal owner + vendor management

Bảng này chỉ mô tả trade-off; chất lượng phụ thuộc từng team/provider cụ thể.

Total cost, coverage và cost-of-failure

Tổng chi phí In-house gồm những gì?

Không nên chỉ tính salary. Total cost có thể gồm:

Recruiting và onboarding.
Salary/benefit.
Training và certification.
Tool/license.
Log/storage/monitoring infrastructure.
On-call compensation.
Backup coverage khi nhân sự nghỉ.
Management/process overhead.
Thời gian engineering dành cho remediation.

Nếu capability cần 24/7, một người giỏi vẫn không thể tạo coverage bền vững một mình.

Tổng chi phí Managed Security gồm những gì?

Managed service cũng có chi phí ngoài invoice:

Service fee.
Onboarding/integration.
Internal service owner.
Time xử lý approval/handoff.
Additional tool/license nếu không included.
Project ngoài scope.
Vendor governance và review.
Switching/exit cost nếu thay provider.

Outsource không loại bỏ nhu cầu người nội bộ chịu trách nhiệm business risk và vendor management.

Coverage là khác biệt chi phí lớn

Cần tách:

24/7 telemetry collection.
24/7 automated alert.
24/7 human triage.
24/7 incident response.

Bốn mức này có chi phí và staffing khác nhau. Đừng so giá nếu coverage không tương đương. Cách định nghĩa thời gian phản hồi có thể xem trong Managed Security SLA.

So sánh Cost-of-Failure, không chỉ Cost-of-Service

Nếu website downtime hoặc compromise ảnh hưởng lớn, phương án rẻ nhưng response chậm có thể có total risk cost cao hơn. Cần cân nhắc:

Lost revenue/lead.
Recovery effort.
Customer impact.
Data/credential exposure.
Opportunity cost của đội kỹ thuật.

Không cần gán con số giả nếu chưa có dữ liệu; có thể dùng business impact tiers để so.

Context, specialization và response capacity

Internal Knowledge là lợi thế lớn của In-house

Đội nội bộ hiểu:

Critical flow.
Release history.
Business exception.
Architecture undocumented.
Ai thực sự sở hữu từng component.

Knowledge này giúp triage nhanh. Nhưng nếu chỉ nằm trong đầu một người, đó lại là key-person risk. Runbook và documentation vẫn cần thiết.

Provider có lợi thế về Breadth và Pattern Recognition

Một Managed Security team có thể tiếp xúc nhiều loại incident và control hơn, từ WAF, server, vulnerability đến incident response. Điều đó có thể giúp pattern recognition tốt hơn cho những tình huống hiếm.

Tuy nhiên breadth không thay thế context. Provider cần asset inventory, critical flow và authority rõ để biến chuyên môn thành action đúng.

Response Capacity quan trọng hơn số lượng người trên brochure

Khi đánh giá team nội bộ hay provider, hỏi:

Ai trực thực tế?
Có backup không?
Concurrent incidents xử lý ra sao?
Senior escalation có sẵn khi cần không?
Ai có quyền containment?

Số headcount toàn công ty không nói lên capability dành cho website của bạn.

Tooling không phải Capability

Có SIEM, scanner hoặc WAF không đồng nghĩa có người vận hành hiệu quả. Capability cần:

Data source.
Detection/analysis.
Owner.
Action.
Validation.
Evidence.

Scope nên định nghĩa capability theo outcome. Có thể tham khảo Managed Security Scope.

Khi nào In-house thường hiệu quả hơn?

Security workload đủ lớn để duy trì team chuyên trách.
Application proprietary và context sâu.
Cần tích hợp trực tiếp với DevSecOps.
Đã có on-call/incident process tốt.
Compliance hoặc data constraints hạn chế external access.
Tổ chức muốn giữ capability chiến lược nội bộ.

Khi nào Managed Security thường hiệu quả hơn?

Security workload không đủ để tuyển nhiều specialist nhưng vẫn cần breadth.
Cần nhanh chóng có monitoring/triage capability.
Cần outside-hours coverage.
Đội IT/developer thiếu thời gian duy trì security operations.
Cần independent review hoặc specialized response.

Vendor risk, governance và service evidence

Vendor Risk là một phần của quyết định Outsource

Provider có privileged access hoặc telemetry nhạy cảm trở thành một phần của attack surface. Cần đánh giá:

Identity/access control của provider.
Employee access và offboarding.
Incident notification.
Data handling/retention.
Subcontractor.
Business continuity.
Exit process.

MSP/MSSP bản thân có thể trở thành mục tiêu hấp dẫn vì compromise provider có khả năng ảnh hưởng nhiều khách hàng, nên security posture của provider cũng là một phần của due diligence.

Outsource không chuyển Liability và Governance ra ngoài

NIST Small Business guidance nhấn mạnh doanh nghiệp vẫn chịu trách nhiệm bảo vệ hệ thống và dữ liệu dù thuê ngoài một phần cybersecurity. Provider có thể thực hiện task; business owner vẫn phải quản trị risk, contract, access và outcome.

Vì vậy luôn cần internal owner đủ hiểu service để challenge report, approve risk và điều phối các vendor khác.

Đừng dùng SLA để che Scope yếu

“Phản hồi 15 phút” không có giá trị nếu provider chỉ gửi acknowledgment và remediation nằm ngoài scope. Trước SLA, hãy xác định:

Alert nào được human triage.
Action nào provider được phép làm.
Containment có included không.
Dependency với developer/hosting.
Closure evidence là gì.

Escalation Model cần thực tế

Dù in-house hay outsource, cần biết alert đi đâu khi analyst không xử lý được. Security Escalation Matrix giúp thiết kế technical escalation, management elevation và emergency authority.

Report giúp kiểm tra giá trị của cả hai mô hình

Đừng đánh giá in-house bằng cảm giác “team đang bận” hoặc provider bằng dashboard đẹp. Cần evidence:

High-risk backlog trend.
Incident outcome.
SLA/triage quality.
Recurring issue.
Control drift.
Recovery readiness.

Managed Security Report mô tả cách xây KPI/evidence có thể kiểm chứng.

Decision matrix và checklist

Decision Matrix tham khảo

Câu hỏi	Nghiêng In-house	Nghiêng Managed/Hybrid
Security workload	Đủ lớn, liên tục	Biến động hoặc cần specialist theo nhu cầu
Business context	Rất proprietary	Có thể documented/onboard
24/7 coverage	Đã có staffing	Khó tự xây
Specialization	Đã có	Thiếu nhiều domain
Control yêu cầu	Cần direct control cao	Có thể dùng scoped authority
Budget model	Chấp nhận fixed staffing cost	Muốn service-based capacity

Checklist trước khi quyết định

Liệt kê critical assets và outcomes.
Map capability hiện có.
Xác định coverage cần thiết.
Tính TCO, không chỉ salary/fee.
Đánh giá cost-of-failure.
Xác định internal owner bắt buộc.
So in-house, outsource và hybrid cùng scope.
Đánh giá vendor/security risk.
Định nghĩa KPI/evidence.
Đặt review point để đánh giá lại mô hình.

Kết luận

Không có lựa chọn “tự vận hành luôn tốt hơn” hay “Managed Security luôn tiết kiệm hơn”. Quyết định đúng là mô hình cung cấp đủ capability, đủ coverage, đủ context và đủ accountability với total cost và risk phù hợp.

In-house mạnh về context và control; Managed Security có thể mạnh về specialization và coverage; hybrid thường giúp tận dụng cả hai. Dù chọn mô hình nào, doanh nghiệp vẫn cần giữ governance, risk ownership và khả năng kiểm chứng outcome.

Nguồn tham khảo: NIST Small Business Cybersecurity – Building Your Team: From In-House to Outsourcing; NIST NICE Framework; NIST SP 800-35; NIST Cybersecurity Framework 2.0.