Dall’affaticamento degli avvisi all’intelligenza azionabile: Come l’AI sta ridisegnando il SOC

Il centro operativo di sicurezza (SOC) è al punto di rottura. L’esaurimento degli analisti è da tempo un rischio critico, ma il problema sta solo peggiorando. In effetti, il 73% delle organizzazioni recentemente intervistate da Cybersecurity Insiders e Gurucul affermano di soffrire di esaurimento e carenza di personale persistente. I volumi di avvisi sono in aumento, le minacce si moltiplicano e gli analisti sono bloccati nell’uso di strumenti legacy e frammentati.

È semplicemente troppo per gli esseri umani da soli per tenere il passo, il che significa che l’AI sta rapidamente passando da un optional a una necessità strategica.

La crisi nei SOC di oggi

Mentre il tasso di esaurimento nel SOC è ben documentato, la situazione non è ancora migliorata, quindi non può essere detto abbastanza: gli analisti sono alla fine della loro corda. Stanno lottando con sfide sempre peggiori che includono:

• Affaticamento degli avvisi – Non solo ci sono troppi avvisi, ma i falsi positivi sono in aumento, e ciò rende difficile e inefficiente rispondere all’ondata in modo efficace. In effetti, secondo il sondaggio menzionato sopra, l’88% dei leader della sicurezza informatica ha affermato che il volume degli avvisi è aumentato; il 46% segnala un aumento del 25% o più nell’ultimo anno.
• Minacce nuove e in evoluzione – Il panorama delle minacce è sempre in cambiamento, e l’AI sta dotando gli attori malintenzionati di nuovi strumenti che consentono loro di eseguire più minacce, più velocemente. L’abuso delle credenziali e i rischi interni aggiungono ulteriore complessità.
• Mancanza di visibilità e lacune negli strumenti – Il rapporto ha rilevato che il 96% delle aziende ammette di avere punti ciechi significativi. L’infrastruttura cloud (74%) e il comportamento di identità e accesso (67%) sono le principali preoccupazioni.
• Divario delle competenze e turnover – Il divario delle competenze in materia di sicurezza informatica continua a essere una sfida per l’industria nel suo complesso, e i tassi di esaurimento elevati significano un tasso di turnover elevato. È necessario formare gli analisti di livello 2 (L2) e superiori attraverso il sistema, ma se si esauriscono al livello 1 (L1), ciò non può accadere. Richiede molto tempo e sforzo trovare, assumere, formare e trattenere dipendenti, nonché mantenere una riserva di talenti di sostituzione, solo per tenere il passo con il turnover.

Portare l’AI al tavolo

L’AI e l’automazione offrono un enorme potenziale per il SOC. Non è un caso che l’81% delle organizzazioni nel sondaggio menzionato sopra abbia affermato di stare distribuendo o sperimentando strumenti AI per il SOC. E coloro che utilizzano questi strumenti al loro pieno potenziale stanno sperimentando risultati significativi: il 60% degli adottanti ha affermato di aver visto una riduzione del 25% (o più) dei tempi di indagine, e il 21% vede riduzioni superiori al 50%.

L’AI trasforma l’affaticamento degli avvisi in intelligenza azionabile aiutando con:

• Riduzione del rumore – Con l’AI nel SOC, le organizzazioni guadagnano una correlazione e una priorità guidate dall’AI
• Indagini più veloci – L’AI e l’automazione aiutano con il triage, la raccolta del contesto e la risposta
• Potenziamento degli analisti – Il tempo degli analisti è liberato per concentrarsi su attività di valore più elevato

Il divario di esecuzione

L’AI offre un enorme potenziale per migliorare il SOC, ma ecco il problema: solo il 31% dei rispondenti sta utilizzando questi strumenti in core detection e response workflows. Mentre l’interesse è alto, c’è un divario di esecuzione.

Esistono ostacoli alla piena operatività dell’AI. Uno di questi è la sfida di integrazione. L’infrastruttura legacy e gli strumenti frammentati possono anche rendere difficile adottare nuove tecnologie. Un’altra preoccupazione è la trasparenza e la spiegabilità; come si capisce perché le decisioni vengono prese dall’AI?

Il secondo ostacolo si concentra sulla fiducia che gli analisti devono avere nei sistemi su cui devono fare affidamento. La fiducia è un requisito essenziale per la maturità dell’AI. Solo il 9% dei partecipanti al sondaggio ha affermato di essere “molto fiducioso” negli avvisi e nelle raccomandazioni generate dall’AI. Un altro 33% “si fida in gran parte” dei risultati dell’AI, ma vuole esaminarli, e il 41% ritiene che l’AI sia utile nel complesso, ma richiede ancora una convalida continua.

Il terzo ostacolo è la gestione del cambiamento. Le organizzazioni stanno lottando con il divario delle competenze e le nuove esigenze di formazione che possono rendere difficile adottare nuove tecnologie e utilizzare l’AI al suo pieno potenziale. C’è anche una resistenza culturale; una mentalità di “Beh, l’abbiamo sempre fatto in questo modo, quindi perché cambiare?”

Superare gli ostacoli per il successo del SOC

Inizia con progetti pilota che offrono un ritorno sull’investimento rapido. Correla l’identità e il comportamento, non solo gli eventi. A causa delle lacune di visibilità nel comportamento di identità e accesso, xx% dei rispondenti, secondo il sondaggio menzionato sopra, che vengono spesso sfruttati, le piattaforme AI devono fare più dell’analisi dei log per determinare quali persone e dispositivi stanno eseguendo azioni attraverso i sistemi. Il contesto comportamentale di questo tipo è cruciale per trovare minacce sofisticate guidate dall’identità.

Superare gli ostacoli per il successo del SOC richiede diversi passaggi. In primo luogo, dare priorità all’AI spiegabile per la trasparenza e la fiducia. L’AI spiegabile e trasparente aiuta gli analisti di livello 1 (L1) a imparare rapidamente, a eseguire al livello superiore e a migliorare rapidamente le competenze.

In secondo luogo, aumentare le competenze degli analisti per la caccia alle minacce di valore più elevato e le iniziative strategiche (come Zero Trust). L’AI non è destinata a sostituire gli esseri umani; è destinata ad aumentarli. Questa è una distinzione importante da capire e è fondamentale per avere successo con l’AI nel SOC. Mantenere un essere umano nel ciclo fino a quando la fiducia non è stabilita, poi lasciare che l’AI gestisca le attività di sicurezza banali e a basso impatto e scalare il resto.

Terzo, trattare l’AI come una strategia SOC di base, non come un componente aggiuntivo o un afterthought, ma come parte di un approccio globale e completo.

È il momento di abbracciare l’AI nel SOC

I SOC affrontano una crisi crescente poiché il volume degli avvisi aumenta, l’esaurimento degli analisti peggiora e le minacce basate sull’identità si moltiplicano. Le difese legacy non possono tenere il passo con le minacce che imitano il comportamento legittimo e operano pazientemente dietro le quinte, lavorando “basso e lento”. L’AI consente ai team del SOC di ridurre l’affaticamento degli avvisi, superare il sovraccarico di dati e aiutare a indagare in base al contesto. È necessario trovare i propri punti ciechi prima che si verifichi una violazione, non durante o dopo. Valutare le capacità, le sfide attuali e la visione strategica del SOC e identificare dove l’AI può aiutare oggi – e dove può contribuire a creare una posizione di sicurezza più resiliente nel lungo termine.