¿Cómo medir tu SOC (Agéntico)?

Llevo más de mes y medio sin escribir en el blog, y ya no se si es por pereza, no tener tiempo o cuál es el motivo real, pero no quería dejar pasar más tiempo sin realizar una entrada en este blog porque esta pequeña ventana, mi blog, nació en el 2013, hace ya 13 años, donde he escrito en español, inglés, francés, y ahora vuelvo al español, y además sin utilizar IA, que ya parece raro, y como quiero seguir esforzándome en leer, escribir y aprender, pues aquí estoy.

Justo antes del verano escuché un podcast de Google que quería comentar en el blog, porque trataba una conversación que hablaba de vez en cuando con los compañeros. He pensado en varias ocasiones sobre las métricas y KPIs de los SOC. Siempre viene a la mente las métricas MTTD y MTTR, pero cuando te pones a medir y a pensar sobre ellas ves que esas métricas no tienen mucho sentido porque los casos de usos definidos en los SOC nos permiten detectar rápidamente y responder igualmente rápido gracias a la automatización. Entonces, ¿qué sentido tienen estas métricas? ¿Hacia dónde deberíamos ir con las métricas y la medición del SOC?

En lugar de utilizar métricas como MTTD y MTTR deberíamos de pensar en métricas que midan cuánto tiempo tardamos en tener el contexto para entender correctamente qué ocurre. Deberíamos de buscar y favorecer un triángulo de madurez para equilibrar las personas, ingeniería/tecnología y medición. Con la IA, debemos de pasar de un SOC dependiente de analistas humanos a uno más liderado por ingenieros donde los humanos diseñen, supervisen y mejoren sistemas que automaticen la mayoría del trabajo operativo.

Por otro lado, se escucha mucho decir que la IA nos va a quitar el trabajo, y que vamos a tener un SOC autónomo, pero existe un concepto que me gusta mucho que es el “toil reduction”, que no viene a ser otra cosa que con el tiempo “ahorrado” gracias a la IA podremos dedicar más tiempo a investigar amenazas más sofisticadas, a realizar threat hunting o a mejorar detecciones. Por tanto, el beneficio real de introducir IA en el SOC será aumentar la capacidad defensiva de la organización que estamos protegiendo.

Si estás pensando en introducir métricas en tu SOC para reportarlas al consejo de administración, creo que deberías de olvidarte de métricas desfasadas como MTTD y MTTR porque a ellos les va a dar igual que detectes y respondas a una amenaza en 25 segundos o en 14 segundos, lo que les va a interesar es que el riesgo se reduzca, tengas mejor cobertura y mayor capacidad para enfrentarte a amenazas sofisticadas.

¿Cómo podemos mejorar las métricas obteniendo métricas de mayor calidad como la medición del tiempo que tardamos en tener el contexto de la amenaza? La IA nos puede ayudar, pasando de utilizar asistentes de IA como copiloto a utilizar agentes capaces de realizar partes del proceso de seguridad de forma autónoma. ¿Cuándo lo tendremos? Tiempo al tiempo!

Muchas gracias , un saludo, y un abrazo!