De la fatigue d’alerte à l’intelligence actionnable : Comment l’IA révolutionne le SOC

Le centre des opérations de sécurité (SOC) est à la limite de rupture. L’épuisement des analystes a longtemps été un risque critique, mais le problème ne fait qu’empirer. En fait, 73 % des organisations récemment interrogées par Cybersecurity Insiders et Gurucul déclarent souffrir d’épuisement et de pénurie de personnel persistante. Les volumes d’alertes augmentent, les menaces se multiplient et les analystes sont coincés avec des outils legacy et fragmentés.

Il est simplement trop pour les humains seuls pour suivre, ce qui signifie que l’IA passe rapidement d’un élément agréable à une nécessité stratégique.

La crise dans les SOCs d’aujourd’hui

Alors que le taux d’épuisement dans le SOC est bien documenté, la situation n’a pas encore amélioré, il ne peut donc pas être dit suffisamment : les analystes sont à la fin de leur corde. Ils sont aux prises avec des défis qui empirent, notamment :

• La fatigue d’alerte – Non seulement il y a trop d’alertes, mais les faux positifs augmentent, ce qui rend difficile et inefficace de répondre à l’afflux de manière efficace. En fait, selon l’enquête mentionnée ci-dessus, 88 % des dirigeants de la cybersécurité ont déclaré que le volume d’alertes a augmenté ; 46 % signalent une augmentation de plus de 25 % au cours de la dernière année.
• Nouvelles et évolutions de menaces – Le paysage des menaces est toujours en évolution, et l’IA équipe les acteurs malveillants de nouveaux outils qui leur permettent de réaliser plus de menaces, plus rapidement. L’abus de mots de passe et les risques internes ajoutent une complexité supplémentaire.
• Manque de visibilité et lacunes dans les outils – L’enquête a révélé que 96 % des entreprises admettent avoir des points aveugles importants. Les infrastructures cloud (74 %) et le comportement d’identité et d’accès (67 %) sont les principales préoccupations.
• Écart de compétences et turnover – L’écart de compétences en cybersécurité continue d’être un défi pour l’industrie dans son ensemble, et les taux d’épuisement élevés signifient un taux de turnover élevé. Vous devez former des analystes de niveau 2 (L2) et supérieur à travers le système, mais s’ils s’épuisent au niveau 1 (L1), cela ne peut pas se produire. Cela nécessite beaucoup de temps et d’efforts pour trouver, embaucher, intégrer, former et conserver des employés, ainsi que maintenir un banc de talents de remplacement, simplement pour suivre le turnover.

 Apporter l’IA à la table

L’IA et l’automatisation offrent un potentiel énorme pour le SOC. Il n’est pas étonnant que 81 % des organisations dans l’enquête mentionnée ci-dessus aient déclaré déployer ou tester des outils d’IA pour le SOC. Et ceux qui utilisent ces outils à leur plein potentiel connaissent des résultats majeurs : 60 % des adoptants ont déclaré avoir constaté une réduction de 25 % (ou plus) des temps d’enquête, et 21 % constatent des réductions supérieures à 50 %.

L’IA transforme la fatigue d’alerte en intelligence actionnable en aidant à :

• La réduction du bruit – Avec l’IA dans le SOC, les organisations gagnent une corrélation et une priorisation basées sur l’IA
• Des enquêtes plus rapides – L’IA et l’automatisation aident à la triage, à la collecte de contexte et à la réponse
• L’autonomisation des analystes – Le temps des analystes est libéré pour se concentrer sur des activités à plus forte valeur

Le fossé d’exécution

L’IA offre un potentiel énorme pour améliorer le SOC, mais voici le problème : seuls 31 % des répondants utilisent ces outils dans les flux de travail de détection et de réponse de base. Alors que l’intérêt est élevé, il y a un fossé d’exécution.

Il y a des obstacles à la pleine opérationnalisation de l’IA. L’un d’eux est les défis d’intégration. Les infrastructures legacy et les outils fragmentés peuvent également rendre difficile l’adoption de nouvelles technologies. Une autre préoccupation est la transparence et l’explicabilité ; comment comprendre pourquoi les décisions sont prises par l’IA ?

Le deuxième obstacle concerne la confiance que les analystes doivent avoir dans les systèmes sur lesquels ils sont censés compter. La confiance est une exigence essentielle pour la maturité de l’IA. Seuls 9 % des participants à l’enquête ont déclaré être « très confiants » dans les alertes et les recommandations générées par l’IA. Un autre 33 % « font confiance » aux résultats de l’IA mais veulent les examiner, et 41 % pensent que l’IA est utile dans l’ensemble, mais nécessite toujours une validation continue.

Le troisième obstacle est la gestion du changement. Les organisations luttent contre l’écart de compétences et les nouveaux besoins de formation qui peuvent rendre difficile l’introduction de nouvelles technologies et l’utilisation de l’IA à son plein potentiel. Il y a également une résistance culturelle ; une mentalité de « Eh bien, nous l’avons toujours fait de cette façon, pourquoi changer ? »

Surmonter les obstacles pour le succès du SOC

Commencez par des projets pilotes qui offrent un retour sur investissement rapide. Corréléz l’identité et le comportement, et non seulement les événements. En raison des lacunes de visibilité dans les comportements d’identité et d’accès, xx % des répondants, selon l’enquête mentionnée ci-dessus, qui sont souvent exploités, les plateformes d’IA doivent faire plus que l’analyse des journaux pour déterminer quels personnes et appareils effectuent des actions à travers les systèmes. Le contexte comportemental de ce type est crucial pour trouver des menaces sophistiquées basées sur l’identité.

Éliminer les obstacles au succès du SOC nécessite plusieurs étapes. Tout d’abord, donnez la priorité à l’IA explicative pour la transparence et la confiance. L’IA explicative, transparente, la triage et les enquêtes avec contexte et étapes de remédiation détaillées aident les analystes de niveau 1 (L1) à apprendre rapidement, à performer à un niveau plus élevé et à améliorer rapidement leurs compétences.

Deuxièmement, améliorez les compétences des analystes pour la chasse aux menaces à plus forte valeur et les initiatives stratégiques (comme Zero Trust). L’IA n’est pas censée remplacer les humains ; elle est censée les compléter. C’est une distinction importante à comprendre et est clé pour réussir avec l’IA dans le SOC. Gardez un humain dans la boucle jusqu’à ce que la confiance soit établie, puis laissez l’IA gérer les tâches de sécurité banales et à faible impact et escaladez le reste.

Troisièmement, traitez l’IA comme une stratégie SOC de base, et non comme un élément ajouté ou une afterthought, mais comme partie d’une approche globale et complète.

Il est temps d’adopter l’IA dans le SOC

Les SOCs sont confrontés à une crise croissante à mesure que le volume d’alertes augmente, que l’épuisement des analystes s’aggrave et que les menaces basées sur l’identité se multiplient. Les défenses legacy ne peuvent pas suivre les menaces qui imitent un comportement légitime et opèrent patiemment en arrière-plan, en travaillant « bas et lent ». L’IA permet aux équipes de SOC de réduire la fatigue d’alerte, de surmonter la surcharge de données et d’aider à enquêter en fonction du contexte. Vous devez trouver vos points aveugles avant qu’une faille ne se produise, et non pendant ou après. Évaluez les capacités, les défis actuels et la vision stratégique de votre SOC et identifiez où l’IA peut aider aujourd’hui – et où elle peut contribuer à créer une posture de sécurité plus résiliente à long terme.