Das Marktforschungsunternehmen Gartner prognostiziert einen strukturellen Wandel in Security Operations Centern (SOCs) bis zum Jahr 2028, bei dem der Cybersecurity-Sektor einen Anstieg der Anzahl von Ingenieuren um 50 % im Vergleich zur Anzahl der Analysten verzeichnen wird. Dieser Wandel wird durch die Fähigkeit von KI-Agenten (AI agents) vorangetrieben, routinemäßige Aufgaben bei der Bearbeitung von Warnmeldungen zu übernehmen, was das Ende der Ära einläutet, in der die „Warnmeldungs-Triage“ die primäre Funktion dieser Zentren darstellte.
Wandel der Analystenrollen: Von der Triage zur Fallverantwortung
Laut dem Gartner-Bericht wird die Größe der Teams in SOCs nicht schrumpfen, aber die Art ihrer Aufgaben wird sich ändern. Analysten werden nicht mehr die Rolle des „Triage-Spezialisten“ einnehmen, der eine enorme Menge an Warnmeldungen bearbeitet, sondern in die Rolle des „Fallverantwortlichen“ (Case Ownership) wechseln. In diesem neuen Modell führt der KI-Agent die erste Untersuchung der Warnmeldung durch, während der menschliche Analyst die Verantwortung für die Überprüfung der Ergebnisse, die Auswahl einer geeigneten Reaktion und die Kommunikation der verfügbaren Optionen an die Entscheidungsträger übernimmt.
Dieser Wandel erfordert neue Fähigkeiten; der Analyst wird Schlussfolgerungen nicht mehr von Grund auf neu ziehen, sondern mehr Zeit damit verbringen, die Genauigkeit der von der KI erzielten Ergebnisse zu bewerten, bevor er sie genehmigt.
Aufstieg des Security Operations Engineering
Der Bericht wies darauf hin, dass sich das Konzept des „Detection Engineering“ zu einem breiteren Fachgebiet ausweiten wird, das als „Security Operations Engineering“ bekannt ist. Die Aufgaben der Ingenieure werden sich nicht mehr nur auf das Schreiben von Programmregeln beschränken, sondern fortschrittliche technische Bereiche umfassen wie:
- Prompt-Design: Die Formulierung von Anweisungen und Kontexten, die der KI-Agent zur Untersuchung der Sicherheitsumgebung verwendet.
- Workflow-Testing: Die Überprüfung der Arbeitsabläufe von Agenten anhand früherer Vorfälle, um deren Effizienz vor dem tatsächlichen Betrieb sicherzustellen.
- Validierung von KI-Ergebnissen: Die regelmäßige Überwachung, inwieweit die Entscheidungen der Agenten mit der menschlichen Bewertung übereinstimmen.
- Versionsmanagement: Der Umgang mit Änderungen an Richtlinien und Regeln als nachverfolgbarer und wiederherstellbarer Programmcode.
Änderung der Leistungskennzahlen
Gartner empfiehlt SOC-Managern, sich nicht mehr auf Kennzahlen zum Warnmeldungsvolumen (Alert Volume) oder Abschlussraten zu verlassen, sondern auf Kennzahlen zu setzen, die sich auf die Qualität der Entscheidung konzentrieren, darunter:
- Fallgenauigkeit (Case Accuracy): Das Ausmaß, in dem die Expertenbewertung mit den von den Agenten oder Analysten getroffenen Entscheidungen übereinstimmt.
- Zykluszeit (Cycle Time): Die Zeit, die vom ersten Signal bis zur endgültigen Entscheidung und Reaktion vergeht.
- Entscheidungsvertrauen (Decision Confidence): Die Messung der Stärke der Beweise, die jede Entscheidung stützen, und deren Stabilität.
Was ändert sich praktisch für neue Mitarbeiter?
Dieser Wandel stellt eine große Herausforderung für die Ausbildung von Junior-Analysten (Tier 1) dar; die traditionelle Ausbildung basierte auf der wiederholten Bearbeitung von Warnmeldungen, um Erfahrung aufzubauen – eine Aufgabe, die in Zukunft von der KI übernommen wird. Um diese Lücke zu schließen, schlägt der Bericht Strategien vor, wie etwa das Studium der Agenten-Protokolle (Agent logs) durch Anfänger, um zu verstehen, wie Ergebnisse erzielt werden, oder ihnen frühzeitig die Verantwortung für risikoarme Fälle zu übertragen, um ihre Entscheidungsfähigkeiten zu stärken.
Warum ist diese Nachricht wichtig?
Dieser Bericht ist ein klares Signal an Cybersecurity-Experten, dass traditionelle technische Fähigkeiten in der „Triage und Überwachung“ ihren Marktwert zugunsten von „Engineering- und Validierungs“-Fähigkeiten verlieren. Der Wandel ist nicht nur eine Automatisierung von Arbeitsplätzen, sondern eine vollständige Neudefinition dessen, was es bedeutet, in einem Security Operations Center zu arbeiten; der Mehrwert wird sich von der „Fähigkeit, eine Warnmeldung zu erkennen“ hin zur „Fähigkeit, die Systeme zu entwickeln, die Warnmeldungen präzise erkennen und verwalten“ verlagern.