Gartner прогнозує перевагу інженерів над аналітиками у SOC до 2028 року
Gartner прогнозує, що до 2028 року в SOC інженерів буде на 50% більше за аналітиків через автоматизацію обробки сповіщень ШІ.
До 2028 року в центрах операційної безпеки SOC інженерів може бути на 50% більше, ніж аналітиків, прогнозує Gartner у звіті про ролі в SOC, що використовують штучний інтелект. Як повідомляє BleepingComputer, аналітики дедалі менше займатимуться первинним опрацюванням сповіщень і більше відповідатимуть за ведення справ та вибір варіантів реагування.
Gartner пов’язує зміну структури команд із застосуванням ШІ-агентів для типових завдань з обробки сповіщень. Згідно зі звітом, такі агенти вже істотно скорочують обсяг роботи з поширеними й традиційними сценаріями виявлення загроз. Водночас висновки, сформовані ШІ, все ще потребують змістовної перевірки людиною.
Нові завдання для аналітиків
За рекомендацією Gartner, аналітики мають переходити від сортування сповіщень до повного супроводу справи: перевіряти результати роботи агента, ухвалювати рішення щодо реакції та пояснювати можливі дії тим, хто їх виконуватиме. Компанія також не очікує скорочення SOC до 2030 року: працівників, які раніше обробляли потік сповіщень, можуть спрямувати на інженерію виявлення загроз, експертизу загроз, наступальне тестування та управління вразливостями.
Окремим викликом є підготовка молодших аналітиків. Раніше робота з великим обсягом сповіщень на початкових рівнях допомагала їм розуміти нормальну поведінку систем у своєму середовищі. Gartner пропонує компенсувати це вивченням дій ШІ-агентів, раннім дорученням справ із контролем старших колег і зворотним зв’язком для поліпшення точності ШІ.
Інженерія та нові показники
Gartner очікує, що інженерія виявлення загроз перетворюватиметься на ширшу інженерну дисципліну SOC. До обов’язків таких фахівців можуть увійти проєктування підказок для ШІ, тестування робочих процесів, перевірка його висновків, а також застосування практик розробки програмного забезпечення — версіонування, тестування та можливості відкату змін.
У звіті також радять оцінювати роботу SOC не за кількістю сповіщень, а за справами й рішеннями. Серед запропонованих показників — точність висновків у справах, час від першого сигналу до рішення та впевненість у рішенні. Управління поверхнею атак і постійна перевірка вразливостей, за оцінкою Gartner, мають стати постійною функцією SOC.
