A Gartner prevê uma mudança estrutural nos Centros de Operações de Segurança (SOC) até 2028, onde o setor de cibersegurança verá um aumento de 50% no número de engenheiros em comparação com o número de analistas. Essa mudança é impulsionada pela capacidade dos agentes de IA (AI agents) de assumir tarefas de processamento de alertas rotineiros, encerrando a era em que a "triagem de alertas" era a função principal desses centros.
Mudança nos papéis dos analistas: da triagem para a propriedade de casos
De acordo com o relatório da Gartner, o tamanho das equipes nos SOCs não diminuirá, mas a natureza de suas tarefas mudará. Os analistas deixarão de desempenhar o papel de "triagem" (Triage), que lida com enormes quantidades de alertas, para passar ao papel de "proprietário do caso" (Case Ownership). Neste novo modelo, o agente de IA realiza a investigação inicial do alerta, enquanto o analista humano assume a responsabilidade de verificar os resultados, escolher uma resposta adequada e comunicar as opções disponíveis aos tomadores de decisão.
Essa mudança exige novas habilidades; o analista não construirá conclusões do zero, mas passará mais tempo avaliando a precisão das conclusões alcançadas pela IA antes de adotá-las.
Emergência da Engenharia de Operações de Segurança (SOC Engineering)
O relatório indicou a expansão do conceito de "Engenharia de Detecção" (Detection Engineering) para se tornar uma especialidade mais ampla conhecida como "Engenharia de Operações de Segurança". As tarefas dos engenheiros não se limitarão apenas à escrita de regras de código, mas incluirão áreas técnicas avançadas como:
- Design de Prompts (Prompt Design): Elaboração de instruções e contexto que o agente de IA utiliza para investigar o ambiente de segurança.
- Teste de Fluxo de Trabalho (Workflow Testing): Verificação dos fluxos de trabalho dos agentes em relação a incidentes anteriores para garantir sua eficiência antes da operação real.
- Verificação de saídas de IA: Monitoramento periódico do nível de conformidade das decisões dos agentes com a avaliação humana.
- Gerenciamento de Versões (Versioning): Lidar com mudanças em diretrizes e regras como códigos programáveis rastreáveis e recuperáveis.
Mudança nos padrões de medição de desempenho
A Gartner recomenda que os gerentes de SOC parem de depender de métricas de volume de alertas (Alert Volume) ou taxas de fechamento, e migrem para métricas focadas na qualidade da decisão, tais como:
- Precisão do Caso (Case Accuracy): O grau de conformidade da revisão de especialistas com as decisões tomadas pelos agentes ou analistas.
- Tempo de Ciclo (Cycle Time): O tempo decorrido desde o primeiro sinal até a tomada da decisão final e a resposta.
- Confiança na Decisão (Decision Confidence): Medição da força das evidências que apoiam cada decisão e seu nível de estabilidade.
O que muda na prática para os novos funcionários?
Essa mudança apresenta um grande desafio no que diz respeito ao treinamento de analistas iniciantes (Tier 1); o treinamento tradicional dependia da repetição do tratamento de alertas para construir experiência, algo que a IA assumirá no futuro. Para superar essa lacuna, o relatório sugere estratégias como fazer com que os iniciantes estudem os registros de agentes (Agent logs) para entender como chegar aos resultados, ou conceder-lhes a propriedade de casos de baixo risco precocemente para reforçar suas habilidades de tomada de decisão.
Por que esta notícia é importante?
Este relatório representa um sinal claro para os especialistas em cibersegurança de que as habilidades técnicas tradicionais de "triagem e monitoramento" começaram a perder seu valor de mercado em favor das habilidades de "engenharia e verificação". A mudança não é apenas a automação de funções, mas uma redefinição completa do que significa trabalhar em um centro de operações de segurança; onde o valor agregado passará da "capacidade de detectar o alerta" para a "capacidade de projetar os sistemas que detectam e gerenciam os alertas com precisão".