Swimlane Lancia AI SOC per MSSP per Scalare le Operazioni di Sicurezza con Agentic AI

Swimlane ha lanciato una nuova versione della sua piattaforma di sicurezza operativa basata su intelligenza artificiale, progettata specificamente per i fornitori di servizi di sicurezza gestita (MSSP) che difendono più ambienti di clienti.

Un MSSP è un fornitore di sicurezza informatica esternalizzato che monitora i sistemi, indaga sull’attività sospetta e aiuta le organizzazioni a rispondere alle minacce. Il centro operativo di sicurezza, comunemente abbreviato come SOC, è la combinazione di analisti, processi e tecnologie responsabili di questo lavoro.

Basata sulla piattaforma Swimlane Turbine, la nuova AI SOC per MSSP è intesa ad automatizzare più del lavoro ripetitivo associato alla gestione degli avvisi di sicurezza, consentendo ai fornitori di servizi di mantenere il controllo delle relazioni con i clienti, dei dati e dei servizi gestiti.

Costruire un’Infrastruttura di Intelligenza Artificiale senza Competere per i Clienti

L’argomentazione strategica dietro il lancio va oltre l’automazione.

Man mano che i fornitori di sicurezza basati su intelligenza artificiale ampliano le loro offerte, alcuni iniziano a fornire servizi di sicurezza gestita direttamente. Ciò può creare un potenziale conflitto per gli MSSP che in precedenza si affidavano a quei fornitori come partner tecnologici, ma che potrebbero ora trovarsi a competere con loro per i clienti.

Swimlane assume una posizione diversa. Invece di diventare l’organizzazione responsabile della gestione dell’ambiente di sicurezza del cliente, fornisce la tecnologia di intelligenza artificiale e automazione sottostante che gli MSSP possono utilizzare per costruire i propri servizi.

Per i fornitori di servizi, questa distinzione è importante. L’MSSP continua a definire il servizio, gestire la relazione con il cliente, controllare i dati del cliente e determinare come gli analisti interagiscono con i sistemi automatizzati. Swimlane fornisce lo strato di orchestrazione che opera dietro quei servizi.

La tecnologia esistente della società si concentra già sull’aiutare gli MSSP a coordinare le indagini, le approvazioni e le azioni di risposta attraverso più ambienti di clienti senza costringere ogni cliente in un flusso di lavoro identico.

Utilizzare l’Intelligenza Artificiale Agente per Investigare gli Avvisi di Sicurezza

Il prodotto utilizza l’intelligenza artificiale agente per gestire porzioni del processo di indagine sugli avvisi.

A differenza di un assistente di intelligenza artificiale convenzionale che riassume le informazioni o risponde a una singola domanda, un sistema di intelligenza artificiale agente può coordinare più passaggi verso un obiettivo più ampio. In un SOC, ciò potrebbe includere la raccolta di informazioni su un avviso, il controllo delle fonti di intelligence sulle minacce, la correlazione di eventi correlati, la valutazione del rischio potenziale e la preparazione della prossima azione di risposta.

Swimlane distingue tra agenti di intelligenza artificiale ristretti che completano compiti individuali e sistemi agente più ampi che portano il contesto in tutta la sicurezza del flusso di lavoro. Quest’ultimo può spostare un caso dall’iniziale triage all’indagine, all’escalation, alla risposta e alla segnalazione, operando all’interno delle regole stabilite dal team di sicurezza.

Per il nuovo prodotto MSSP, ogni avviso può essere normalizzato, il che significa che le informazioni provenienti da diversi strumenti di sicurezza vengono convertite in un formato coerente. Il sistema quindi arricchisce l’avviso con l’intelligence sulle minacce, come la reputazione di un indirizzo IP, dominio, file o account utente, prima di correlarlo con l’attività correlata.

L’intelligenza artificiale produce un verdetto spiegabile e un piano di indagine piuttosto che assegnare semplicemente un punteggio di rischio. I casi possono anche essere mappati contro MITRE ATT&CK, una conoscenza ampiamente utilizzata che organizza le tattiche e le tecniche osservate in attacchi informatici reali. Ciò fornisce agli analisti un quadro comune per comprendere cosa potrebbe tentare un attaccante e come il comportamento osservato si inserisce in un’intrusione più ampia.

L’obiettivo non è quello di rimuovere completamente gli analisti dal processo. I casi routinari possono essere gestiti automaticamente, mentre i casi ambigui, sensibili o ad alto rischio vengono elevati per il giudizio umano.

Condividere il Contesto delle Minacce tra i Clienti

Una delle caratteristiche più notevoli è un livello di intelligenza sulle minacce cross-tenant.

In questo contesto, un tenant è un ambiente di cliente individuale che opera all’interno della piattaforma più ampia dell’MSSP. Ogni cliente può avere strumenti di sicurezza diversi, autorizzazioni di accesso, obblighi normativi e procedure di risposta diverse.

Quando il sistema indaga un osservabile come un indirizzo IP sospetto, un hash di file o un dominio per un cliente, il risultato di arricchimento e verdetto può diventare immediatamente il contesto per gli avvisi che coinvolgono lo stesso indicatore altrove nel portfolio dei clienti dell’MSSP.

Ciò potrebbe ridurre la necessità di acquistare o recuperare più volte la stessa intelligenza sulle minacce e potrebbe aiutare gli analisti a identificare le campagne che colpiscono più clienti. Un indicatore inizialmente rilevato in un ambiente potrebbe quindi aiutare ad accelerare un’indagine in un altro.

Allo stesso tempo, riutilizzare il contesto delle minacce tra i clienti introduce importanti considerazioni relative alla governance dei dati. Swimlane afferma che la piattaforma utilizza l’isolamento dei tenant nativo e i controlli di accesso basati su ruolo a grana fine per mantenere le informazioni dei clienti separate e garantire che gli analisti abbiano accesso solo agli ambienti che sono autorizzati a gestire.

L’obiettivo pratico è condividere l’intelligence di sicurezza utile senza annullare i confini tra i conti dei clienti.

Un Centro di Comando Centrale per più Ambienti di Clienti

Swimlane AI SOC per MSSP introduce anche un centro di comando centrale che porta i casi dagli ambienti di clienti connessi in un unico spazio di lavoro dell’analista.

Invece di passare tra strumenti e dashboard separati per ogni cliente, gli analisti possono vedere i casi aperti, gli avvisi critici, le indagini non assegnate e le azioni automatizzate da tutto il portfolio dell’MSSP.

Un livello di sincronizzazione inoltra i metadati pertinenti della gestione dei casi nel centro di comando, consentendo all’MSSP di standardizzare come vengono onboardati i nuovi clienti. Ciò è inteso a ridurre la dipendenza dai progetti di servizi professionali personalizzati, in cui gli ingegneri devono costruire un’integrazione e un modello operativo separati per ogni cliente.

I dashboard a livello di portfolio forniscono informazioni sui casi attivi, sui carichi di lavoro degli analisti, sull’engagement dei clienti e sul numero di incidenti creati, chiusi, lasciati aperti o triati dall’intelligenza artificiale. Possono anche essere generate relazioni automatizzate settimanali per la gestione interna o la segnalazione ai clienti.

La piattaforma si connette con i sistemi di flusso di lavoro e di ticketing esistenti, tra cui ServiceNow e Jira. Ciò consente di mantenere gli incidenti di sicurezza all’interno degli strumenti che le squadre operative già utilizzano, anziché creare un’altra coda isolata che gli dipendenti devono monitorare.

Sotto l’offerta nuova c’è Swimlane Turbine, che combina agenti di intelligenza artificiale, gestione dei casi, playbook di automazione a basso codice, reporting e un’architettura cloud-native. La piattaforma è anche progettata per connettersi con prodotti di sicurezza di terze parti attraverso le loro interfacce di programmazione delle applicazioni, o API, consentendo ai dati e alle azioni di muoversi tra strumenti altrimenti non connessi.

Affrontare l’Economia della Sicurezza Informatica Gestita

Il caso d’uso è basato in gran parte sulla capacità degli analisti e sul costo del servizio per ogni cliente.

Gli MSSP di solito distribuiscono la loro tecnologia di sicurezza e la forza lavoro degli analisti su più clienti. Questo modello diventa più difficile man mano che i volumi di avvisi crescono, gli ambienti dei clienti diventano più complessi e ogni organizzazione richiede integrazioni o procedure di risposta personalizzate.

Aggiungere più clienti può eventualmente richiedere l’aggiunta di analisti e personale tecnico quasi allo stesso ritmo, limitando le economie di scala che rendono il modello di servizio gestito attraente.

Swimlane tenta di cambiare questa relazione automatizzando l’arricchimento degli avvisi, la triage, la creazione dei casi, la segnalazione e parti del processo di indagine. In teoria, ogni analista può supportare più clienti senza che l’MSSP debba aumentare il numero di dipendenti in proporzione.

La misura importante non sarà semplicemente il numero di azioni che l’intelligenza artificiale esegue. Gli MSSP dovranno determinare se il sistema riduce il costo per caso, accorcia i tempi di onboardaggio, migliora la coerenza della risposta e abbassa il numero di falsi positivi che raggiungono gli analisti umani.

L’enfasi di Swimlane sui fornitori di servizi si adatta anche alla sua strategia di canale più ampia. Nel giugno 2025, la società ha raccolto 45 milioni di dollari in finanziamenti per la crescita e ha segnalato che circa il 75% del suo business fluiva attraverso i partner del canale, tra cui MSSP, distributori, rivenditori e system integrator.

L’Intelligenza Artificiale Sta Diventando uno Strato Operativo per il SOC

L’offerta di Swimlane per gli MSSP estende la sua piattaforma AI SOC ai fornitori di sicurezza che gestiscono più ambienti di clienti, ognuno con i propri strumenti, politiche, autorizzazioni e requisiti di dati.

Il lancio riflette un più ampio spostamento nella sicurezza informatica, con l’intelligenza artificiale che si sposta oltre la sintesi degli avvisi per coordinare le indagini e i flussi di lavoro di risposta attraverso i team di sicurezza e i sistemi.

Per gli MSSP, il valore dipenderà dai miglioramenti misurabili nella capacità degli analisti, nei tempi di risoluzione dei casi e nei costi operativi. I controlli rigorosi intorno alle approvazioni, ai registri di audit, all’isolamento dei tenant e alla supervisione umana rimarranno essenziali man mano che più processi di sicurezza diventano automatizzati.