Serie de entrevistas con Tom Findling, cofundador y director ejecutivo de Conifers

Tom Findling Es un líder estratégico con una sólida trayectoria en estrategias de comercialización, desarrollo de productos y ciencia de datos. Tras haber sido Director de Experiencia del Cliente en IntSights (adquirida por Rapid7) y posteriormente Director Senior de Producto en Rapid7, aporta una combinación única de visión estratégica y capacidad de ejecución a la gestión de operaciones a gran escala. Además, desempeñó funciones de liderazgo en estrategias de comercialización y desarrollo de productos en VMware y SUS.

Las coníferas Ofrece una plataforma CognitiveSOC impulsada por IA que optimiza las capacidades de los centros de operaciones de seguridad (SOC) mediante la integración con herramientas existentes, la incorporación de datos y perfiles de riesgo únicos de cada organización y la adaptación continua de los flujos de trabajo de investigación. Aborda desafíos comunes como el volumen excesivo de alertas, la visibilidad limitada del rendimiento del SOC y los sistemas genéricos estandarizados, permitiendo investigaciones más profundas, modelando el conocimiento institucional y utilizando ciclos de retroalimentación para mejorar la precisión y reducir el ruido. La plataforma está diseñada para ofrecer resultados cuantificables, incluyendo un retorno de la inversión tres veces mayor y una reducción del 87 % en el tiempo de investigación.

Has tenido una larga trayectoria en ciberseguridad, desde IntSights hasta Rapid7; ¿qué experiencias te llevaron finalmente a cofundar Conifers y qué problema te propusiste resolver?

Durante mi trayectoria profesional, he visto a equipos de operaciones de seguridad lidiar con la sobrecarga de alertas, herramientas y presión. En IntSights, observé la dificultad que suponía para los humanos actuar en función de la información generada. En Rapid7, asumí el reto de ampliar nuestro equipo con menos personal para dar soporte a una mayor base de clientes, rediseñando los procesos de trabajo e implementando la ciencia de datos para gestionar el alto volumen de tareas. Fue entonces cuando empecé a creer que gestionar un centro de operaciones de seguridad (SOC) de la forma tradicional no sería sostenible. Conifers nació de nuestros esfuerzos por resolver ese problema de escalabilidad. Queríamos crear una solución capaz de escalar para gestionar el creciente volumen de amenazas y datos sin agotar al personal. Así, creamos CognitiveSOC, nuestra plataforma de agentes SOC con IA.

Conifers se posiciona como un “multiplicador de fuerza de SOC con IA”. ¿En qué se diferencia su plataforma CognitiveSOC de las herramientas de automatización de SOC tradicionales?

La mayoría de las herramientas de automatización en el SOC se basan en procedimientos estáticos. Ejecutan una serie de pasos predefinidos, pero fallan cuando los atacantes se comportan de forma impredecible o cuando el entorno cambia. CognitiveSOC es una plataforma de IA con capacidad de aprendizaje y adaptación a entornos cambiantes. Correlaciona datos, utiliza el conocimiento institucional y extrae conclusiones sin necesidad de automatizar cada paso del proceso. La plataforma apoya a los analistas en lugar de reemplazarlos y se fortalece continuamente mediante la retroalimentación y el aprendizaje, en lugar de requerir mantenimiento manual. Este crecimiento constante en sus capacidades es lo que la convierte en un verdadero multiplicador de fuerza.

Los equipos SOC suelen quejarse de fatiga por alertas y agotamiento. ¿Cómo aborda Conifers este desafío en la práctica?

CognitiveSOC combate la fatiga por alertas reduciendo el ruido antes de que llegue al analista. Recibe el flujo constante de alertas de diversas herramientas y las consolida en investigaciones que ya incluyen el contexto relevante. En lugar de que el analista se vea abrumado por una avalancha de alarmas parpadeantes, revisa un conjunto mucho más reducido de investigaciones que incluyen contexto histórico, evidencia y causas probables. De esta forma, los analistas pueden procesar la información y tomar decisiones en lugar de perseguir señales sin procesar, lo que ayuda a reducir la fatiga y el agotamiento.

La confianza es fundamental en la ciberseguridad: ¿cómo contribuye su enfoque de intervención humana a generar confianza en la toma de decisiones basada en IA?

La clave para generar confianza reside en la transparencia y el control. Los analistas mantienen el control del sistema y reciben recomendaciones y explicaciones que pueden confirmar o refutar, además de proporcionar una calificación. Con el tiempo, al observar que el sistema toma decisiones acertadas, pueden permitirle automatizar más acciones. Este enfoque permite a los equipos probar y corregir el sistema, manteniendo la autoridad en manos humanas. Fomentamos la confianza y la adopción al tratar la IA como un socio que aprende de los analistas, en lugar de una caja negra que toma decisiones inexplicables.

Su marco de implementación por etapas permite una adopción gradual. ¿Por qué lo diseñó de esta manera y cómo ayuda a las organizaciones a superar la resistencia a la IA?

Desde el principio sabíamos que la mayor barrera para la adopción sería la confianza en la IA. Si entras en un SOC y le pides al equipo que delegue sus operaciones a un sistema de IA, la respuesta será negativa. Al dividir la adopción en etapas, permitimos que las organizaciones comiencen con un número limitado de casos de uso y los escalen gradualmente. Cada etapa demuestra valor y genera confianza, lo que facilita la aceptación de la siguiente. Este camino gradual fomenta la confianza, reemplaza la reticencia con evidencia y garantiza que los equipos se sientan en control.

Las métricas son fundamentales para demostrar el valor en seguridad. ¿Qué KPI deberían monitorizar las organizaciones para medir el progreso hacia un SOC autónomo?

Las métricas más importantes son la velocidad de detección, respuesta y resolución, así como la calidad y la proporción de alertas sin procesar frente a investigaciones contextuales significativas. Otra métrica es la capacidad del sistema para gestionar la carga de trabajo sin intervención humana. Estos indicadores muestran si el SOC está aumentando su eficiencia, si los analistas tienen la autonomía necesaria para centrarse en tareas de mayor valor y si la organización se acerca a un modelo donde la IA asume las tareas más complejas. El seguimiento de estas cifras proporciona una prueba clara del progreso.

Conifers destaca la integración con los sistemas de gestión de incidentes existentes. ¿Por qué la no interrupción fue un principio de diseño tan fundamental?

Los equipos de seguridad han invertido considerablemente en sus herramientas y procesos. La mayoría de la tecnología actual exige que los equipos SOC cambien de herramienta para revisar y resolver las alertas. Eliminamos esta fricción al integrarnos con los analistas en las herramientas que ya utilizan.

¿Cuál cree que será la ruta gradual desde los SOC semiautomatizados actuales hasta un futuro en el que los agentes de IA tengan mayor autoridad sobre las herramientas y los datos?

El camino hacia un SOC autónomo comienza con la fase de ampliación, donde la IA analiza e investiga las alertas bajo supervisión humana. A partir de ahí, las organizaciones avanzan hacia la delegación, permitiendo que el sistema gestione cada vez más casos de uso de forma autónoma. La etapa final es la autonomía total, cuando se confía en que los agentes de IA gestionen la detección y la respuesta en diversos entornos, mientras que las personas definen la estrategia y gestionan las situaciones únicas. Actualmente, la mayoría de los equipos aún se encuentran en la fase de ampliación con cierta delegación inicial, pero la confianza en la delegación de escenarios rutinarios está creciendo rápidamente y sentará las bases para la autonomía total.

De cara a los próximos cinco años, ¿cómo prevé que evolucionen las operaciones de los SOC a medida que madure la IA, tanto en términos tecnológicos como del papel del analista?

En cinco años, los SOC funcionarán con sistemas que se asemejarán más a agentes autónomos que a paneles de control. Estos agentes detectarán, responderán y se adaptarán a nuevas amenazas, además de ajustar políticas y compartir conocimientos entre organizaciones en tiempo real. A medida que esta capacidad madure, el rol del analista se centrará en la supervisión, la estrategia y las investigaciones complejas. El trabajo consistirá menos en gestionar un flujo interminable de alertas y más en aplicar la experiencia donde tenga mayor impacto. El resultado será un SOC que se parecerá menos a un centro de llamadas y más a una sala de control de misiones.

Gracias por la gran entrevista, los lectores que deseen obtener más información deben visitar Las coníferas.