Gartner прогнозирует структурный сдвиг в центрах управления безопасностью (SOC) к 2028 году, когда в секторе кибербезопасности число инженеров увеличится на 50% по сравнению с числом аналитиков. Это изменение обусловлено способностью агентов искусственного интеллекта (AI agents) брать на себя задачи по обработке рутинных оповещений, что положит конец эпохе, когда «сортировка оповещений» считалась основной функцией этих центров.
Трансформация ролей аналитиков: от сортировки к владению случаями
Согласно отчету Gartner, размер команд в SOC не уменьшится, но изменится характер их задач. Аналитики перестанут играть роль «сортировщика» (Triage), работающего с огромным количеством оповещений, и перейдут к роли «владельца случая» (Case Ownership). В этой новой модели агент ИИ проводит первоначальное расследование оповещения, в то время как человек-аналитик берет на себя ответственность за проверку результатов, выбор соответствующего реагирования и доведение доступных вариантов до лиц, принимающих решения.
Этот сдвиг требует новых навыков; аналитик не будет строить выводы с нуля, а будет тратить больше времени на оценку точности выводов, сделанных искусственным интеллектом, прежде чем их утвердить.
Появление инженерии процессов безопасности (SOC Engineering)
В отчете отмечается расширение концепции «инженерии обнаружения» (Detection Engineering), которая станет более широкой специализацией, известной как «инженерия процессов безопасности» (SOC Engineering). Задачи инженеров не будут ограничиваться только написанием программных правил, они будут включать такие продвинутые технические области, как:
- Проектирование промптов (Prompt Design): формулирование инструкций и контекста, которые использует агент ИИ для расследования в среде безопасности.
- Тестирование рабочих процессов (Workflow Testing): проверка путей работы агентов на основе прошлых инцидентов для обеспечения их эффективности перед фактическим запуском.
- Проверка результатов ИИ: периодический мониторинг соответствия решений агентов человеческой оценке.
- Управление версиями (Versioning): работа с изменениями в инструкциях и правилах как с отслеживаемым и восстанавливаемым программным кодом.
Изменение критериев оценки эффективности
Gartner рекомендует менеджерам SOC перестать полагаться на показатели объема оповещений (Alert Volume) или скорости закрытия заявок и перейти к метрикам, ориентированным на качество решений, таким как:
- Точность случая (Case Accuracy): степень соответствия экспертной проверки решениям, принятым агентами или аналитиками.
- Время цикла (Cycle Time): время, затрачиваемое от первого сигнала до принятия окончательного решения и реагирования.
- Уверенность в решении (Decision Confidence): измерение силы доказательств, поддерживающих каждое решение, и степени их стабильности.
Что меняется на практике для новых сотрудников?
Этот сдвиг создает серьезную проблему в обучении начинающих аналитиков (Tier 1); традиционное обучение основывалось на многократной обработке оповещений для накопления опыта, что в будущем возьмет на себя искусственный интеллект. Чтобы преодолеть этот разрыв, в отчете предлагаются такие стратегии, как изучение начинающими журналов работы агентов (Agent logs) для понимания того, как были получены результаты, или предоставление им владения случаями с низким уровнем риска на ранних этапах для развития навыков принятия решений.
Почему это важно?
Этот отчет является четким сигналом для специалистов по кибербезопасности о том, что традиционные технические навыки «сортировки и мониторинга» начинают терять свою рыночную стоимость в пользу навыков «инженерии и верификации». Изменение — это не просто автоматизация рабочих мест, а полное переопределение того, что означает работа в центре управления безопасностью; добавленная стоимость перейдет от «способности обнаружить оповещение» к «способности проектировать системы, которые точно обнаруживают и управляют оповещениями».