Gartner ha previsto un cambio estructural en los centros de operaciones de seguridad (SOC) para el año 2028, donde el sector de la ciberseguridad experimentará un aumento del 50% en el número de ingenieros en comparación con el número de analistas. Este cambio está impulsado por la capacidad de los agentes de inteligencia artificial (AI agents) para asumir las tareas de procesamiento de alertas rutinarias, poniendo fin a la era en la que el "triaje de alertas" se consideraba la función principal de estos centros.
Cambio en los roles de los analistas: del triaje a la propiedad de los casos
Según el informe de Gartner, el tamaño de los equipos de trabajo en los SOC no se reducirá, sino que la naturaleza de sus tareas cambiará. Los analistas dejarán de desempeñar el papel de "triaje" (Triage), que gestiona grandes cantidades de alertas, para pasar al papel de "propietario del caso" (Case Ownership). En este nuevo modelo, el agente de IA realiza la investigación inicial de la alerta, mientras que el analista humano asume la responsabilidad de verificar los resultados, elegir una respuesta adecuada y comunicar las opciones disponibles a los responsables de la toma de decisiones.
Este cambio requiere nuevas habilidades; el analista no construirá las conclusiones desde cero, sino que pasará más tiempo evaluando la precisión de las conclusiones alcanzadas por la IA antes de adoptarlas.
Surgimiento de la ingeniería de operaciones de seguridad (SOC Engineering)
El informe señala la expansión del concepto de "ingeniería de detección" (Detection Engineering) para convertirse en una especialidad más amplia conocida como "ingeniería de operaciones de seguridad". Las tareas de los ingenieros no se limitarán únicamente a la escritura de reglas de código, sino que incluirán campos técnicos avanzados como:
- Diseño de prompts (Prompt Design): Formulación de las instrucciones y el contexto que utiliza el agente de IA para investigar el entorno de seguridad.
- Pruebas de flujo de trabajo (Workflow Testing): Examen de las rutas de trabajo de los agentes frente a incidentes anteriores para garantizar su eficiencia antes de la puesta en marcha real.
- Verificación de los resultados de la IA: Supervisión periódica del grado de concordancia de las decisiones de los agentes con la evaluación humana.
- Gestión de versiones (Versioning): Gestión de los cambios en las instrucciones y las reglas como código programable que puede ser rastreado y recuperado.
Cambio en los estándares de medición del desempeño
Gartner recomienda a los directores de los SOC que dejen de depender de las métricas de volumen de alertas (Alert Volume) o de las tasas de cierre, y que pasen a métricas centradas en la calidad de la decisión, tales como:
- Precisión del caso (Case Accuracy): El grado de concordancia de la revisión de los expertos con las decisiones tomadas por los agentes o los analistas.
- Tiempo de ciclo (Cycle Time): El tiempo transcurrido desde la primera señal hasta la toma de la decisión final y la respuesta.
- Confianza en la decisión (Decision Confidence): Medición de la solidez de la evidencia que respalda cada decisión y su estabilidad.
¿Qué cambia en la práctica para los nuevos empleados?
Este cambio plantea un gran desafío en lo que respecta a la formación de los analistas principiantes (Tier 1); la formación tradicional se basaba en la repetición del manejo de alertas para desarrollar la experiencia, algo que la IA se encargará en el futuro. Para superar esta brecha, el informe sugiere estrategias como hacer que los principiantes estudien los registros de actividad de los agentes (Agent logs) para comprender cómo se llega a los resultados, o otorgarles la propiedad de casos de bajo riesgo de forma temprana para reforzar sus habilidades de toma de decisiones.
¿Por qué es importante esta noticia?
Este informe representa una señal clara para los especialistas en ciberseguridad de que las habilidades técnicas tradicionales de "triaje y monitoreo" están empezando a perder su valor de mercado en favor de las habilidades de "ingeniería y verificación". El cambio no es simplemente una automatización de funciones, sino una redefinición completa de lo que significa trabajar en un centro de operaciones de seguridad; el valor añadido pasará de la "capacidad de detectar la alerta" a la "capacidad de diseñar los sistemas que detectan y gestionan las alertas con precisión".