Ormai ogni responsabile della sicurezza ha sentito questa promessa: l'intelligenza artificiale trasformerà le operazioni di sicurezza.
Ridurrà l'affaticamento da allarmi. Accelererà le indagini. Renderà gli analisti più produttivi. Aiuterà i team a fare di più con meno.
La promessa è reale, ma c'è un problema. L'intelligenza artificiale non migliora i risultati in termini di sicurezza semplicemente perché è disponibile un modello. L'IA migliora i risultati quando opera nel contesto giusto, all'interno del flusso di lavoro appropriato, rispetta i controlli corretti e si guadagna la fiducia delle persone che devono agire in base ai suoi risultati.
È lì che molti Sicurezza AI Le conversazioni sono insufficienti. La maggior parte dei team SecOps non è a corto di strumenti. Mancano di tempo, contesto, coerenza e fiducia. Gli avvisi arrivano da decine di fonti. Gli analisti passano da una console all'altra. I casi vengono creati manualmente. Le azioni di risposta spesso avvengono in sistemi separati. MSSP Devo gestire tutto questo per numerosi clienti, ognuno con strumenti, formati di dati, percorsi di escalation e modelli operativi diversi.
In tale contesto, l'aggiunta di un assistente IA generico non risolve il problema di fondo. Può riassumere un avviso o rispondere a una domanda, ma se si colloca al di fuori del flusso di lavoro effettivo di rilevamento, valutazione, indagine e risposta, diventa un ulteriore strumento da gestire.
La prossima fase dell'IA nelle operazioni di sicurezza non consiste nell'aggiungere più IA, bensì nel rendere i flussi di lavoro di sicurezza predisposti all'IA.
L'IA ha bisogno di più di un semplice suggerimento
Affinché l'IA sia utile nelle operazioni di sicurezza, ha bisogno di un contesto operativo. Deve comprendere il caso. Deve avere accesso ai dettagli degli avvisi, agli utenti interessati, alle risorse, ai tenant, alle cronologie, alla telemetria, ai punteggi di rischio, all'attività storica e alle opzioni di risposta disponibili. Deve inoltre operare entro limiti e autorizzazioni ben definiti.
Questo è particolarmente importante per MSSP and MDR fornitori. In un ambiente multi-tenant, l'IA non può confondere i confini tra i clienti. Non può agire senza essere a conoscenza dei tenant. Non può trattare tutti i dati come ugualmente accessibili. Deve rispettare il controllo degli accessi, la separazione dei dati, le politiche specifiche del cliente e i vincoli operativi.
Per questo motivo Stellar Cyber 6.5 introduce il supporto in accesso anticipato per il server Stellar Cyber MCP, consentendo ai client AI approvati di connettersi alla piattaforma Stellar Cyber tramite il Model Context Protocol.
Il significato non risiede semplicemente nell'esistenza di un'ulteriore integrazione con l'IA. Il punto fondamentale è che MCP crea un percorso controllato che consente all'IA di interagire con un contesto SecOps strutturato. Invece di trattare l'IA come un assistente isolato, Stellar Cyber sta creando un modo per i client IA approvati di lavorare con dati pertinenti relativi a casi e avvisi, accesso controllato e contesto specifico per il tenant.
Questo è il tipo di base di cui l'IA ha bisogno se vuole diventare parte integrante di vere operazioni di sicurezza.
È in questi casi che l'intelligenza artificiale diventa utile.
Le operazioni di sicurezza non dovrebbero basarsi su avvisi isolati, bensì su casi concreti. Un avviso ti informa che qualcosa è successo, mentre un caso ti aiuta a capire se è rilevante.
I casi riuniscono prove correlate: avvisi, osservabili, utenti, host, attività di rete, eventi cloud, segnali di identità, cronologie, MITRE ATT & CK Contesto, punteggi di rischio e raccomandazioni di intervento. Questa è l'unità di lavoro ideale per l'IA perché fornisce il contesto necessario a supportare il triage e l'indagine.
Stellar Cyber 6.5 migliora l'esperienza degli analisti all'interno dei casi con aggiornamenti in tempo reale sullo stato di triage. Gli analisti possono vedere quando l'analisi è in corso, quando il riepilogo generato dall'IA è pronto e quando il caso è pronto per la revisione.
Può sembrare un piccolo miglioramento del flusso di lavoro, ma riflette un principio più ampio: i team hanno bisogno di visibilità su ciò che sta facendo l'IA.
L'IA non può essere percepita come una scatola nera. Gli analisti devono sapere quando l'analisi è ancora in corso, quando l'output è pronto e quando è necessaria una revisione umana. I manager devono avere visibilità sui progressi. I fornitori di servizi di sicurezza gestiti (MSSP) necessitano di flussi di lavoro ripetibili e scalabili per più utenti e analisti.
La valutazione dello stato di triage in tempo reale fa sì che le indagini assistite dall'IA vengano percepite meno come uno strumento esterno e più come parte integrante del flusso operativo.
L'autonomia potenziata dall'uomo richiede passaggi di consegne chiari
Il futuro delle operazioni di sicurezza non sarà completamente manuale. Né dovrebbe essere completamente autonomo e privo di supervisione.
Il modello pratico è quello dell'autonomia potenziata dall'uomo: l'IA gestisce il lavoro ripetitivo, accelera le indagini, riassume le prove, raccomanda i passi successivi e supporta la risposta, mentre le persone rimangono responsabili delle decisioni di grande impatto.
Questo modello funziona solo quando il passaggio di consegne tra intelligenza artificiale ed esseri umani è visibile e comprensibile.
Gli analisti devono poter visualizzare cosa ha esaminato l'IA, a quali conclusioni è giunta, quanto è affidabile, quali prove supportano le conclusioni e quali azioni raccomanda. Devono inoltre avere la possibilità di annullare, inoltrare, riaprire o modificare il processo.
I flussi di lavoro predisposti per l'IA richiedono un contesto strutturato dei casi, un accesso controllato ai dati di sicurezza, una governance consapevole degli utenti, riepiloghi supportati da prove, tracciabilità e percorsi di escalation chiari. Senza questi elementi, l'IA può creare più confusione che chiarezza.
Un punto di partenza migliore per gli analisti
Per i fornitori di servizi di sicurezza gestiti (MSSP), si tratta di una questione di scalabilità. Ogni minuto speso a raccogliere manualmente il contesto è un minuto che non è scalabile. Ogni decisione di triage incoerente crea un rischio operativo. Ogni passaggio di consegne manuale rallenta la risposta. Quando l'intelligenza artificiale opera all'interno di un flusso di lavoro di gestione dei casi, gli MSSP possono standardizzare il triage, migliorare la coerenza degli analisti, ridurre il lavoro ripetitivo e supportare più clienti senza richiedere una crescita proporzionale dell'organico.
Per i team di sicurezza snelli, la stessa sfida si manifesta sotto forma di pressione sulle capacità. Un piccolo team può essere responsabile del monitoraggio, dell'indagine, della risposta, della segnalazione e dell'amministrazione degli strumenti. Potrebbe non disporre di team separati per il supporto di primo e secondo livello, la ricerca delle minacce, l'ingegneria del rilevamento e la risposta agli incidenti.
Per questi team, il valore dell'IA non sta nel sostituire le persone, bensì nell'aiutarle a partire da una posizione migliore.
Invece di chiedere "Di cosa si tratta?", il team può iniziare con "Ecco il caso, ecco le prove, ecco la probabile ricostruzione dei fatti e ecco i passi successivi consigliati".
Si tratta di un modello operativo diverso.
Conclusione
I team di sicurezza non hanno bisogno di un altro veicolo ausiliario basato sull'IA. Hanno bisogno che l'IA sia integrata nel modo in cui le operazioni di sicurezza (SecOps) funzionano effettivamente.
Stellar Cyber 6.5 si muove in questa direzione introducendo la connettività AI governata tramite MCP Server e migliorando i flussi di lavoro dei casi con lo stato di triage in tempo reale. Questi miglioramenti contribuiscono a integrare l'IA più a fondo nelle fasi di rilevamento, triage, indagine e risposta, preservando al contempo la visibilità e il controllo necessari ai team.
L'intelligenza artificiale non trasformerà le operazioni di sicurezza a meno che il flusso di lavoro non sia predisposto per l'IA.
Stellar Cyber 6.5 contribuisce a rendere reale questo flusso di lavoro.
