Automazione e gestione del rischio nel SOC moderno

L’evoluzione tecnologica sta ridefinendo i confini operativi della sicurezza informatica aziendale, spostando il focus dalla semplice rilevazione delle minacce alla velocità decisionale.

Un confronto approfondito, svoltosi presso il NASDAQ di New York, ha messo in luce le reali implicazioni dell’automazione e dell’intelligenza artificiale all’interno del moderno SOC.

I leader della cyber security hanno analizzato come la gestione del volume degli avvisi, la ripartizione delle responsabilità aziendali e la trasformazione delle competenze stiano cambiando radicalmente la quotidianità delle strutture di difesa informatica.

La co-proprietà del rischio strategico tra CISO e Board

Il rapporto tra il responsabile della sicurezza e i vertici aziendali rappresenta uno dei nodi più complessi. Spesso i manager assumono che l’azienda sia l’unica entità a dover accettare il rischio finale.

La realtà operativa richiede invece un approccio più sfumato. Nick Vigier, CISO di Oscar Health, concorda sulla necessità di una rendicontazione chiara. Vigier sottolinea che il suo lavoro principale consiste nell’evitare sorprese per i vertici. Il CISO deve aiutare a informare il processo decisionale basato sul rischio. Secondo Vigier, i responsabili commettono un errore quando scaricano l’intera responsabilità sugli altri membri dell’organizzazione.

Alan Alford, esperto presso NTT Global Data Centers, esprime una posizione netta su questo tema. Alford definisce la gestione della responsabilità con parole precise: «La proprietà del rischio non è binaria. La risposta onesta è la co-proprietà. E la divisione dipende da come il rischio è entrato nella conversazione. Se il CISO ha fatto emergere chiaramente il rischio, lo ha quantificato onestamente e l’azienda ha scelto di accettarlo con piena informazione, l’azienda è responsabile di quel risultato. Ma se il rischio non è mai stato sollevato, è stato inquadrato male o è stato sepolto in una presentazione che nessuno avrebbe dovuto consultare, allora è colpa del CISO».

Questa prospettiva evidenzia il potere di selezione del CISO. Il responsabile sceglie ogni giorno quali elementi sottoporre al consiglio di amministrazione. La corretta selezione evita una paralisi causata da un eccesso di informazioni.

Quali dati escludere dalle presentazioni per il consiglio di amministrazione

La selezione delle informazioni per i massimi livelli aziendali richiede una forte capacità di sintesi.

Mitchum Boles, Field CTO di Intezer, evidenzia un errore comune. Spesso i tecnici presentano i rischi in modo troppo specialistico. Questo approccio priva il consiglio di amministrazione del contesto necessario per decidere.

Boles cita come esempio il numero complessivo delle vulnerabilità software. Anche gli script eseguiti dagli amministratori che l’azienda permette, ma che non dovrebbe consentire, rientrano in questa categoria. I tecnici raramente portano simili dati grezzi all’attenzione dei consiglieri.

Vigier aggiunge che il leader della sicurezza deve spiegare la causa radice tematica. Questa causa genera molteplici rischi sussidiari. Il chiarimento guida l’azienda a comprendere dove investire per ottenere il massimo impatto. In questo modo, il CISO evita di appesantire l’attività del SOC con elenchi di criticità privi di valore strategico.

L’impatto dell’intelligenza artificiale e l’effetto centrifuga nel SOC

L’introduzione dell’intelligenza artificiale nella produzione di software modifica rapidamente la superficie di attacco.

Phil Venables di Ballistic Ventures offre una chiara prospettiva temporale su questo fenomeno. Venables dichiara: «Sono pessimista a breve termine, ma selvaggiamente ottimista a lungo termine».

Gli specialisti temono che una maggiore quantità di codice generato in modo automatizzato aumenti le vulnerabilità. La comparsa futura di trilioni di agenti autonomi potrebbe generare comportamenti digitali inediti. Questa evoluzione metterà a dura prova le strutture tradizionali di un SOC.

Il ruolo dell’identità e della disciplina manutentiva

La protezione degli ambienti aziendali deve ripartire dalle fondamenta operative per contrastare le minacce automatizzate.

Boles osserva che i primi elementi a cedere saranno quelli privi di protezione. Il manager identifica la gestione dell’identità come l’unica costante presente ovunque. Una protezione solida dell’identità costituisce la base per la resilienza aziendale. Questo valore prescinde dal volume complessivo degli avvisi o dalla sofisticazione degli attacchi.

Vigier ricorre a una metafora efficace per descrivere l’attuale accelerazione della minaccia. Il CISO afferma: «Siamo passati da una giostra che girava piano a una centrifuga che rischia di farti a pezzi se i bulloni non sono serrati correttamente».

Le organizzazioni che non dimostrano una rigorosa disciplina nella manutenzione dei sistemi mostreranno le proprie debolezze. La velocità dei nuovi attacchi metterà a nudo la mancanza di architetture adeguate.

Attualmente, nessuna struttura tradizionale possiede un’architettura progettata per sostenere questo volume di dati.

Dal Mean Time to Detection al Mean Time to Decision

La gestione delle minacce richiede uno spostamento delle metriche di performance dal tempo di rilevamento al tempo di decisione.

Zoran Savic di Anomali evidenzia che il vero collo di bottiglia operativo non dipende dalla mancanza di intelligenza dei sistemi. Il problema risiede nella titolarità delle decisioni.

Vigier spiega che la sua organizzazione misura specificamente il Mean Time to Decision. Questa metrica indica il tempo medio necessario per giungere a una scelta esecutiva. L’azione diventa immediata solo quando il team stabilisce il percorso da seguire. Per velocizzare questo passaggio, i sistemi devono fornire agli analisti il contesto corretto.

L’azienda può implementare l’automazione dei processi decisionali solo con una forte fiducia negli strumenti. Questa fiducia si consolida quando l’accuratezza storica dei sistemi emette verdetti affidabili.

Boles raccomanda di definire questi alberi decisionali in anticipo. I responsabili devono distinguere chiaramente tra scenari standard e sistemi critici.

Se un ransomware colpisce un singolo endpoint, l’azione di blocco autonoma appare ovvia. Se la minaccia interessa un sistema di produzione critico, le ripercussioni cambiano. Un blocco automatizzato errato potrebbe danneggiare l’operatività aziendale.

Per questa ragione, i team devono stabilire i diritti decisionali durante le simulazioni guidate. Gli esperti rifiutano di prendere queste decisioni nel mezzo di un incendio.

Automatizzare i compiti ripetitivi per ridurre il lavoro faticoso

La paura di bloccare le attività aziendali a causa di falsi positivi ostacola l’adozione dell’automazione completa. Tuttavia, l’eliminazione dei compiti ripetitivi ottimizza le risorse umane disponibili all’interno del SOC.

Presso Oscar Health, i responsabili hanno automatizzato gli avvisi relativi ai viaggi internazionali dei dipendenti. In passato, questo processo costringeva gli analisti a perdere tempo prezioso. L’inefficienza derivava dalle comunicazioni con le risorse umane. Il team ha ripulito i dati e ha definito i requisiti con l’ufficio legale. Ora il sistema esegue il triage in modo autonomo prima che l’avviso raggiunga un operatore umano.

Boles suggerisce di puntare sulla dimostrazione del valore pratico degli strumenti per superare la diffidenza interna.

Questo approccio si basa sul concetto di proof of value. Quando un software blocca una fattura falsa o un avviso critico inedito, il vantaggio diventa evidente. L’azienda comprende l’utilità della tecnologia senza dover attendere una violazione informatica.

Questo scenario giustifica l’evoluzione della spesa informatica.

Vigier stima che circa il 30% del budget per gli strumenti di sicurezza si focalizzi sull’integrazione dell’intelligenza artificiale. Boles prevede che l’intera dotazione tecnologica futura incorporerà queste capacità. L’obiettivo finale rimane l’aumento dell’efficienza del personale umano.

L’evoluzione delle competenze e il futuro dei ruoli d’ingresso nel SOC

L’automazione diffusa solleva legittimi interrogativi sul futuro delle posizioni lavorative di livello iniziale.

Storicamente, le aziende associano questi ruoli alle attività di monitoraggio e al primo livello di intervento.

Richard Stiennon di IT Harvest prevede uno scenario evolutivo radicale. Secondo Stiennon, i sistemi automatizzati potrebbero sostituire interi team dedicati al triage e alla ricerca.

Gli ingegneri umani manterranno il compito esclusivo di autorizzare le risposte. Questa transizione richiede di preservare la conoscenza specifica dell’organizzazione.

Una validazione costante dell’accuratezza dei sistemi impedisce la perdita delle competenze interne.

Dall’ago nel pagliaio alla ingegneria del contesto

La trasformazione del lavoro quotidiano modificherà l’esperienza formativa dei giovani analisti che operano nel SOC. Boles offre una prospettiva chiara sui cambiamenti strutturali del settore: «Il ruolo del SOC cambierà. Non dovranno più cercare aghi nel pagliaio per anni. Daremo loro direttamente gli aghi».

I professionisti d’ingresso smetteranno di eseguire compiti ripetitivi. I lavoratori si evolveranno verso l’ingegneria del contesto e la gestione avanzata dell’automazione.

I team usano l’intelligenza artificiale come uno strumento di formazione accelerata. I sistemi forniscono il contesto necessario a chi non possiede decenni di esperienza professionale. Vigier sottolinea come la tecnologia consenta ai profili junior di interpretare i log in totale autosufficienza. Questo supporto colma la mancanza del tessuto cicatriziale tipico dei veterani.

Vigier ricorre a una similitudine con il settore automobilistico per analizzare questa transizione. Il CISO afferma: «È come i meccanici quando le auto sono diventate computerizzate. Elimineremo i compiti ripetitivi e questo farà emergere chi ha vera curiosità. Non dovranno più faticare per quattro anni in un SOC per capire quale sia il passo successivo».

L’operatore del futuro agirà come un professionista potenziato dalla tecnologia. Questo lavoratore si concentrerà su attività ad alto valore aggiunto. La valutazione umana rimarrà insostituibile laddove serve la comprensione del contesto aziendale.