La implementación de IA en las operaciones de un SOC (Centros de Operaciones de Seguridad) está representando un cambio radical, ya que se está pasando de un modelo de gestión reactivo basado en reglas y workflows a un modelo más proactivo y, llegado el caso, incluso autónomo. Esto es posible gracias a la incorporación de modelos de lenguaje (LLM), instrucciones, herramientas y objetivos claramente definidos para los agentes de IA.
Con la introducción de esta IA agéntica, siempre que esté bien diseñada y debidamente securizada, es previsible una reducción significativa de los costes de operación y de la fatiga derivada de la gestión de alertas que tienen que gestionar los operadores de SOC. Todo ello gracias a la capacidad de automatizar un elevado porcentaje de casos de uso, permitiendo una respuesta a incidentes más eficiente y en los tiempos adecuados.
Estos agentes de IA son capaces de automatizar procesos que hasta ahora requerían equipos de trabajo, es decir, pasan a ser “trabajadores digitales que solo “comen tokens y no tienen derechos, solo obligaciones”. Más allá de la broma, esto es posible gracias a tres módulos principales: capacidad de percepción de los datos, el razonamiento y la ejecución. Sin embargo, también surgen desafíos relacionados con la transparencia en la toma de decisiones, las responsabilidades legales, el acceso a información confidencial y la necesidad de actuar dentro de marcos éticos establecidos.
Del SOC aumentado al SOC autónomo
Esta evolución supone un paso más allá de los tradicionales sistemas SOAR. No obstante, sigue siendo necesario establecer una capa de control y gobierno sobre estos agentes, lo que obliga a redefinir el papel de los operadores de SOC. Porque no pensemos que serán personas que dejarán de trabajar, pasarán a ser supervisores de agentes.
Cuando se usa IA dentro de una SOC se mejoran los flujos de trabajo, se optimiza los casos de uso y se acelera la respuesta y mitigación de amenazas. Si hace unos años la IA se utilizaba principalmente para generar consultas en lenguaje natural que simplificaban el trabajo de los analistas, hoy el escenario es diferente. Los agentes inteligentes son capaces de automatizar el triaje y la investigación de amenazas, categorizar alertas, priorizarlas según el nivel de riesgo y enriquecer los datos con conocimiento previamente adquirido.
¿Estamos preparados para un SOC completamente autónomo?
La autonomía y confianza que otorgamos dentro del mundo SOC dependerá de la complejidad de nuestros agentes IA, donde indudablemente los técnicos dedicados a la operación deberán evolucionar para cambiar su rol, pues se deben adaptar de ser meros “operadores” a ser “gestores o supervisores de agentes de IA”.
Por el momento, resulta difícil pensar en un SOC completamente autónomo. Los agentes de IA siguen siendo susceptibles de cometer errores o generar alucinaciones, por lo que continuará siendo necesaria la intervención humana y esto introduce un riesgo adicional que es la pérdida de habilidad y conocimiento dentro de la propia ciberseguridad.
Además, la experiencia humana seguirá siendo fundamental para la toma de decisiones estratégicas y la gestión de escenarios complejos. El objetivo no debe ser sustituir personas, sino potenciar su trabajo mediante una mayor capacidad de investigación proactiva y el desarrollo de nuevos agentes preparados para responder a amenazas emergentes y cada vez más sofisticadas.
El papel del factor humano en los SOC impulsados por IA
La supervisión humana es el elemento que aporta contexto y criterio en la operación de los agentes de IA. Una analogía habitual es la del piloto de avión: gran parte de la operativa está automatizada, pero el piloto supervisa constantemente el entorno y puede intervenir cuando la situación lo requiere.
Pero ¿qué grado de intervención humana es necesaria? (Human in the Loop (HITL))
La IA destaca por su capacidad para procesar grandes volúmenes de datos y acelerar la detección de patrones y amenazas. Sin embargo, todavía presenta limitaciones a la hora de interpretar contextos complejos, comprender las intenciones detrás de determinados ataques o aplicar creatividad en la resolución de problemas.
Por ello, el enfoque Human in the Loop (HITL) sigue siendo imprescindible. Los agentes pueden proponer acciones y planes de respuesta, pero son los analistas quienes deben supervisar, validar o corregir esas decisiones antes de su ejecución, especialmente cuando se trata de actuaciones de alto impacto.
¿Cómo cambiarán los perfiles profesionales en los SOC?
La llegada de la IA también supondrá una transformación de los perfiles profesionales dentro de los SOC.
Los analistas de nivel 1 evolucionarán desde tareas centradas en la gestión de alertas hacia la supervisión de agentes de IA. Mientras tanto, los perfiles de nivel 2 y 3 asumirán cada vez más responsabilidades relacionadas con el desarrollo y mejora de estos agentes inteligentes.
Estamos asistiendo a un cambio de paradigma que impulsa procesos más automatizados y eficientes, aunque todavía lejos de una autonomía total. La velocidad de esta evolución dependerá, entre otros factores, del desarrollo tecnológico de los fabricantes y de las inversiones realizadas por las organizaciones.
¿Qué papel juegan los datos en el seguimiento y las decisiones?
Los datos son la gasolina de los agentes de IA. Para operar correctamente necesitan recibir información procedente de múltiples fuentes, como soluciones EDR, redes, entornos cloud, comportamiento de usuarios o datos de negocio. La calidad y diversidad de estos datos resulta fundamental para mejorar la precisión de las decisiones y reducir los falsos positivos.
Además, los agentes deben trabajar tanto con información estructurada como no estructurada, incluyendo correos electrónicos, documentos PDF o inteligencia de amenazas. Toda esta información que maneja el agente debe ser protegida adecuadamente para evitar manipulaciones que puedan comprometer su funcionamiento.
La importancia de integrar múltiples fuentes de información
La coexistencia de múltiples tecnologías puede incrementar la complejidad operativa, pero también enriquece la capacidad de los agentes. Cuantas más fuentes de datos sean capaces de analizar, mejores resultados podrán obtenerse. Esto exige procesos de normalización, triaje de información y coordinación entre múltiples agentes especializados que interactúan entre sí.
Está claro que en todo proceso existe un aprendizaje continuo donde los agentes reciben inputs de los operadores que ayudan a mejorar los modelos y minimizar errores futuros.
Desde el punto de vista económico, las organizaciones deben valorar tanto los costes asociados al licenciamiento, el almacenamiento de datos o el consumo de recursos como la evolución de los equipos humanos hacia nuevos perfiles especializados.
Tradicionalmente, los SOC se han considerado un centro de coste. Sin embargo, la capacidad de la IA para procesar grandes volúmenes de información permite relacionar de forma más directa la ciberseguridad con el impacto en el negocio. Comprender cuánto puede costar una indisponibilidad de servicios o una exposición de datos facilita que la alta dirección valore estas inversiones como una herramienta para reducir riesgos y aumentar la resiliencia de la organización.
En este contexto, la combinación de inteligencia artificial, automatización y supervisión humana se perfila como uno de los pilares de la evolución de los SOC y de la capacidad de las organizaciones para responder a amenazas cada vez más complejas.
