گارتنر: تا سال ۲۰۲۸ تعداد مهندسان مراکز عملیات امنیت، ۵۰ درصد بیشتر از تحلیلگران خواهد شد

مرکز عملیات امنیت (Security Operations Center یا SOC) در آستانه یکی از مهم‌ترین تحولات ساختاری خود قرار دارد. با گسترش استفاده از هوش مصنوعی و ظهور عامل‌های هوشمند خودمختار (AI Agents)، وظایف سنتی تحلیلگران امنیتی، به‌ویژه بررسی و اولویت‌بندی هشدارها، به‌تدریج در حال تغییر است. در همین راستا، مؤسسه تحقیقاتی گارتنر (Gartner) پیش‌بینی کرده است که تا سال ۲۰۲۸ تعداد مهندسان فعال در تیم‌های عملیات امنیت، ۵۰ درصد بیشتر از تحلیلگران این حوزه خواهد بود.

این پیش‌بینی که در گزارش سال ۲۰۲۶ گارتنر با عنوان The Roles Required for the AI-Enabled Security Operations Center (SOC) مطرح شده، نشان‌دهنده تغییر جهت مراکز عملیات امنیت از پردازش دستی هشدارها به سمت مهندسی، خودکارسازی، شکار تهدید و مدیریت مستمر ریسک‌های امنیتی است.

بر اساس تحلیل گارتنر، هوش مصنوعی دیگر صرفاً ابزاری برای کمک به تحلیلگران نیست؛ بلکه به یکی از اجزای اصلی فرایندهای عملیاتی SOC تبدیل خواهد شد. در چنین شرایطی، سازمان‌ها به‌جای تمرکز صرف بر افزایش تعداد تحلیلگران برای رسیدگی به حجم بالای هشدارها، به متخصصانی نیاز خواهند داشت که بتوانند سامانه‌های امنیتی مبتنی بر هوش مصنوعی را طراحی، ارزیابی، بهینه‌سازی و مدیریت کنند.

این تحول به معنای حذف نیروی انسانی از مراکز عملیات امنیت نیست؛ بلکه نشان‌دهنده تغییر ماهیت نقش‌ها و مهارت‌های موردنیاز در این مراکز است.

هوش مصنوعی چگونه ساختار سنتی مراکز عملیات امنیت را تغییر می‌دهد؟

یکی از مهم‌ترین چالش‌های مراکز عملیات امنیت، حجم بالای هشدارهای تولیدشده توسط ابزارهای مختلف امنیتی است. سامانه‌های تشخیص و پاسخ به تهدیدات، از جمله SIEM، سازوکارهای EDR و XDR، به‌طور مداوم رویدادهای امنیتی متعددی تولید می‌کنند که بخش قابل‌توجهی از آن‌ها ممکن است به فعالیت‌های عادی، رفتارهای مجاز یا خطاهای تشخیص مربوط باشند.

تحلیلگران SOC در ساختار سنتی ناچارند زمان زیادی را صرف بررسی اولیه هشدارها، جمع‌آوری اطلاعات تکمیلی، همبستگی رویدادها و تشخیص موارد واقعی از هشدارهای کم‌اهمیت کنند. این مسئله علاوه بر افزایش فشار کاری، می‌تواند موجب خستگی ناشی از هشدارهای متعدد (Alert Fatigue) و کاهش تمرکز بر تهدیدات جدی شود.

گزارش گارتنر نشان می‌دهد که عامل‌های هوش مصنوعی SOC می‌توانند بخش قابل‌توجهی از فعالیت‌های تکراری مرتبط با بررسی هشدارها را در سناریوهای متداول تشخیص تهدید خودکار کنند.

این عامل‌ها قادرند با استفاده از داده‌های موجود در زیرساخت امنیتی سازمان، اطلاعات مرتبط با یک هشدار را جمع‌آوری کنند، رویدادهای مرتبط را به یکدیگر ارتباط دهند، شواهد فنی را بررسی کنند و نتیجه اولیه تحقیقات را در قالب یک پرونده امنیتی ارائه دهند.

در نتیجه، نقش SOC از یک مرکز متمرکز بر پردازش حجم بالای هشدارها، به ساختاری مبتنی بر بررسی پرونده‌های امنیتی، تصمیم‌گیری و مدیریت پاسخ به حوادث تغییر خواهد کرد.

نکته مهم این است که خودکارسازی فرایند بررسی هشدارها لزوماً به معنای خودکارسازی کامل تصمیم‌گیری‌های امنیتی نیست. تشخیص نهایی در موارد حساس، ارزیابی پیامدهای عملیاتی و انتخاب اقدام مناسب همچنان به نظارت و قضاوت انسانی نیاز دارد.

تغییر نقش تحلیلگران SOC؛ از بررسی هشدارها تا مدیریت کامل پرونده‌های امنیتی

یکی از مهم‌ترین تغییراتی که گارتنر برای آینده مراکز عملیات امنیت پیش‌بینی می‌کند، تحول جایگاه تحلیلگران امنیتی است.

در ساختار سنتی SOC، تحلیلگران سطح یک (L1) عمدتاً مسئول بررسی اولیه هشدارها، شناسایی موارد مشکوک و ارجاع رویدادهای مهم‌تر به سطوح بالاتر هستند. تحلیلگران سطح دو (L2) نیز بررسی عمیق‌تر رخدادها و تحلیل شواهد فنی را بر عهده دارند.

اما با ورود عامل‌های هوش مصنوعی، بخش زیادی از فعالیت‌های اولیه بررسی و جمع‌آوری شواهد می‌تواند به‌صورت خودکار انجام شود.

در مدل جدید، تحلیلگر به‌جای آنکه صرفاً مسئول تعیین اعتبار یک هشدار باشد، مالکیت کامل پرونده امنیتی (End-to-End Case Ownership) را بر عهده خواهد گرفت.

این مسئولیت شامل موارد زیر است:

• اعتبارسنجی نتایج هوش مصنوعی: بررسی شواهد و اطمینان از صحت نتیجه‌گیری عامل هوشمند.

• تحلیل پیامدهای امنیتی: تعیین میزان اهمیت رخداد با توجه به دارایی‌های سازمان، سطح دسترسی کاربران و حساسیت سامانه‌های درگیر.

• انتخاب راهکار پاسخ: تصمیم‌گیری درباره اقدام مناسب، از جمله مسدودسازی، ایزوله‌سازی، محدودسازی دسترسی یا ارجاع حادثه.

• هماهنگی با واحدهای مرتبط: انتقال اطلاعات فنی و تشریح گزینه‌های پاسخ به تیم‌های فناوری اطلاعات، مدیران و سایر مسئولان سازمان.

• نظارت بر فرایند پاسخ: پیگیری اجرای اقدامات اصلاحی و اطمینان از کنترل کامل حادثه.

به این ترتیب، ارزش اصلی تحلیلگر دیگر صرفاً در سرعت بررسی هشدارها نخواهد بود. بلکه توانایی او در ارزیابی شواهد، تصمیم‌گیری صحیح و مدیریت پیامدهای یک رخداد امنیتی اهمیت بیشتری پیدا می‌کند.

چالش جدید: آینده تحلیلگران تازه‌کار چه خواهد شد؟

یکی از نکات مهم گزارش گارتنر، تأثیر خودکارسازی بر مسیر ورود نیروهای تازه‌کار به حوزه عملیات امنیت است.

در ساختار سنتی، بسیاری از تحلیلگران از موقعیت‌های سطح یک شروع می‌کنند. بررسی تعداد زیادی هشدار، آشنایی با رفتار عادی زیرساخت، شناخت الگوهای حمله و یادگیری نحوه استفاده از ابزارهای امنیتی، به‌تدریج تجربه لازم برای فعالیت در سطوح بالاتر را در اختیار آن‌ها قرار می‌دهد.

اما اگر عامل‌های هوش مصنوعی بخش عمده این وظایف را بر عهده بگیرند، فرصت کسب تجربه عملی برای تحلیلگران تازه‌کار کاهش پیدا می‌کند.

گارتنر برای مقابله با این چالش، بر بازطراحی فرایند آموزش و ورود نیروهای جدید تأکید می‌کند. برخی از راهکارهای پیشنهادی عبارت‌اند از:

۱- آموزش بر اساس فرایند تحقیقات هوش مصنوعی: تحلیلگران تازه‌کار باید بتوانند پرس‌وجوها، شواهد، مراحل تحقیق و منطق تصمیم‌گیری عامل‌های هوشمند را بررسی کنند و نتایج آن‌ها را با تحلیل مستقل خود مقایسه کنند.

۲- واگذاری پرونده‌های کم‌ریسک به نیروهای تازه‌کار: به‌جای محدود کردن فعالیت نیروهای سطح پایین به بررسی هشدارها، می‌توان مدیریت پرونده‌های ساده‌تر را با نظارت تحلیلگران ارشد به آن‌ها سپرد.

۳- مشارکت در بهبود عملکرد عامل‌های هوشمند: تحلیلگران باید بتوانند خطاهای تشخیص، نتایج نامعتبر و ضعف‌های فرایند تحقیقات هوش مصنوعی را شناسایی و برای اصلاح آن‌ها بازخورد ارائه کنند.

این رویکرد می‌تواند مسیر پیشرفت شغلی تحلیلگران را از یک ساختار صرفاً مبتنی بر سطح‌بندی L1 و L2 و در نهایت L3 به مدلی مبتنی بر مهارت، تجربه و مسئولیت‌پذیری تغییر دهد.

گسترش مهندسی تشخیص تهدید؛ ظهور مفهوم SOC Engineering

یکی دیگر از مهم‌ترین پیش‌بینی‌های گارتنر، گسترش نقش مهندسی تشخیص تهدید (Detection Engineering) و تبدیل آن به یک حوزه مهندسی گسترده‌تر در مراکز عملیات امنیت است.

در گذشته، مهندسی تشخیص عمدتاً بر توسعه و بهینه‌سازی قوانین تشخیص تهدید، نوشتن کوئری‌های امنیتی و شناسایی الگوهای مخرب متمرکز بود.

اما در SOC مبتنی بر هوش مصنوعی، مهندسان باید علاوه بر دانش تخصصی امنیت سایبری، توانایی طراحی و مدیریت گردش‌کارهای هوشمند را نیز داشته باشند.

گارتنر توصیه می‌کند شرح وظایف و الزامات استخدام مهندسان تشخیص تهدید بازنگری شود و مهارت‌های جدیدی به آن افزوده شود.

مهم‌ترین این مهارت‌ها

مهم‌ترین این مهارت‌ها عبارت‌اند از:

۱- طراحی دستورالعمل و زمینه عملیاتی (Prompt Design and Guidance)

مهندسان باید بتوانند دستورالعمل‌هایی طراحی کنند که عامل‌های هوش مصنوعی بر اساس آن‌ها تحقیقات امنیتی را انجام دهند. این دستورالعمل‌ها باید اطلاعات اختصاصی محیط سازمان، اهمیت دارایی‌ها، کاربران حساس، فعالیت‌های مدیریتی مجاز و الگوهای رفتاری شناخته‌شده را در اختیار عامل هوشمند قرار دهند.

برای مثال، یک فعالیت PowerShell ممکن است در یک سازمان نشانه رفتار مخرب باشد، اما در سازمانی دیگر بخشی از فرایندهای مدیریتی مجاز محسوب شود. عامل هوش مصنوعی باید با توجه به زمینه عملیاتی، چنین تفاوت‌هایی را در تحلیل خود لحاظ کند.

۲- آزمایش گردش‌کارهای هوشمند (Workflow Testing)

پیش از استقرار یک گردش‌کار مبتنی بر هوش مصنوعی در محیط عملیاتی، باید عملکرد آن با استفاده از سناریوهای واقعی و سوابق حوادث امنیتی آزمایش شود.

هدف این است که مشخص شود عامل هوشمند در شرایط مختلف چگونه رفتار می‌کند، چه شواهدی جمع‌آوری می‌کند و آیا می‌تواند تهدیدات موردنظر را به‌درستی شناسایی کند یا خیر.

۳- اعتبارسنجی خروجی هوش مصنوعی (AI Output Validation)

نتایج تولیدشده توسط عامل‌های هوشمند باید به‌صورت مستمر ارزیابی شوند. برای مثال، می‌توان نمونه‌ای از پرونده‌های بررسی‌شده را به‌صورت دوره‌ای انتخاب کرد و نتیجه تحقیقات هوش مصنوعی را با ارزیابی مستقل کارشناسان مقایسه کرد.

۴- مدیریت نسخه و امکان بازگشت به نسخه قبلی (Versioning and Rollback)

دستورالعمل‌ها، قوانین تشخیص و گردش‌کارهای هوشمند باید مانند اجزای نرم‌افزاری تحت مدیریت نسخه قرار بگیرند. در صورت بروز خطا پس از اعمال تغییرات، امکان شناسایی تغییر مشکل‌ساز و بازگشت به نسخه پایدار باید وجود داشته باشد.

در مجموع، مهندسی SOC از یک فعالیت محدود به توسعه قوانین تشخیص، به مجموعه‌ای از وظایف مهندسی نرم‌افزار، مدیریت داده، طراحی هوش مصنوعی و کنترل کیفیت فرایندهای امنیتی تبدیل خواهد شد.

شکار تهدید (Threat Hunting)؛ حرکت از واکنش به سمت شناسایی پیش‌دستانه

یکی از فرصت‌هایی که خودکارسازی بررسی هشدارها ایجاد می‌کند، اختصاص زمان و منابع بیشتر به شکار تهدید است.

در مدل سنتی، تحلیلگران بخش زیادی از زمان خود را صرف رسیدگی به هشدارهای تولیدشده توسط ابزارهای امنیتی می‌کنند. در نتیجه، فرصت محدودی برای جست‌وجوی فعالانه تهدیداتی دارند که هنوز توسط سامانه‌های تشخیص شناسایی نشده‌اند.

شکار تهدید فرایندی مبتنی بر جست‌وجوی فعالانه در زیرساخت سازمان برای یافتن نشانه‌های فعالیت مخرب، رفتارهای غیرعادی و شواهدی است که ممکن است از دید ابزارهای امنیتی پنهان مانده باشند.

عامل‌های هوش مصنوعی می‌توانند در این حوزه نیز نقش مؤثری ایفا کنند؛ از جمله:

• بررسی مستمر داده‌های امنیتی برای شناسایی الگوهای مشکوک.

• اجرای سناریوهای شکار تهدید بر اساس تکنیک‌های شناخته‌شده مهاجمان.

• شناسایی شکاف‌های موجود در پوشش تشخیص تهدید.

• ارتباط دادن یافته‌های جدید با رویدادها و تحقیقات قبلی.

• پیشنهاد قوانین تشخیص جدید بر اساس تهدیدات کشف‌شده.

بر اساس نظرسنجی سال ۲۰۲۶ شرکت پرافت سکیوریتی (Prophet Security) با عنوان State of AI in Security Operations 2026، از میان تیم‌هایی که به‌صورت هفتگی یا بیشتر فعالیت شکار تهدید انجام می‌دهند، ۴۹ درصد اعلام کرده‌اند که در جریان این فعالیت‌ها با شواهدی از فعالیت مخرب مواجه شده‌اند که توسط قوانین تشخیص موجود شناسایی نشده بود.

این رقم در میان تیم‌هایی که کمترین میزان فعالیت شکار تهدید را گزارش کرده‌اند، ۸ درصد بوده است.

این آمار نشان می‌دهد که شکار تهدید می‌تواند مکمل مهمی برای سیستم‌های تشخیص خودکار باشد. البته باید توجه داشت که این نتایج حاصل نظرسنجی شرکت پرافت سکیوریتی است و نباید آن را به‌عنوان آمار مستقل منتشرشده از سوی گارتنر در نظر گرفت.

تغییر شاخص‌های ارزیابی عملکرد SOC؛ از تعداد هشدارها تا دقت تصمیم‌گیری

یکی از موضوعات مهم در گزارش گارتنر، ضرورت بازنگری در شاخص‌های کلیدی عملکرد (KPI) مراکز عملیات امنیت است.

در بسیاری از مراکز SOC، شاخص‌هایی مانند تعداد هشدارهای بررسی‌شده، تعداد هشدارهای بسته‌شده و میانگین زمان شناسایی تهدید (MTTD) برای ارزیابی عملکرد تیم‌ها استفاده می‌شوند.

اما با ورود عامل‌های هوش مصنوعی، این شاخص‌ها به‌تنهایی نمی‌توانند معیار مناسبی برای سنجش کیفیت عملیات امنیت باشند.

برای مثال، افزایش تعداد هشدارهای بسته‌شده لزوماً به معنای بهبود امنیت سازمان نیست. ممکن است یک عامل هوشمند در مدت کوتاهی تعداد زیادی هشدار را بررسی و بسته کند، اما در میان آن‌ها یک تهدید واقعی را نیز به‌اشتباه کم‌اهمیت تشخیص داده باشد.

گارتنر پیشنهاد می‌کند تمرکز از شاخص‌های مبتنی بر حجم هشدار به سمت شاخص‌های مبتنی بر پرونده‌های امنیتی و کیفیت تصمیم‌گیری تغییر کند.

سه شاخص مهم در این مدل عبارت‌اند از:

۱- دقت پرونده‌های امنیتی (Case Accuracy)

این شاخص میزان صحت نتیجه‌گیری‌های انجام‌شده در پرونده‌های امنیتی را اندازه‌گیری می‌کند. برای محاسبه آن می‌توان نمونه‌ای از پرونده‌های بسته‌شده توسط تحلیلگران و عامل‌های هوش مصنوعی را به‌صورت دوره‌ای بررسی و نتایج را با ارزیابی کارشناسان مستقل مقایسه کرد.

۲- زمان تکمیل پرونده (Case Cycle Time)

این شاخص مدت‌زمان موردنیاز از مشاهده نخستین نشانه تهدید تا اتخاذ تصمیم نهایی و تعیین اقدام پاسخ را اندازه‌گیری می‌کند.

۳- میزان اطمینان به تصمیم (Decision Confidence)

این معیار میزان پشتیبانی شواهد از نتیجه‌گیری نهایی را بررسی می‌کند. همچنین می‌توان میزان تغییر یا رد تصمیم‌های قبلی در بررسی‌های بعدی را به‌عنوان یکی از معیارهای تکمیلی در نظر گرفت.

البته شاخص‌هایی مانند MTTD و MTTR همچنان اهمیت دارند و حذف کامل آن‌ها منطقی نیست؛ بلکه باید در کنار معیارهای جدید و متناسب با مدل عملیاتی مبتنی بر هوش مصنوعی استفاده شوند.

مدیریت مستمر مواجهه با تهدیدات (CTEM)؛ یکی از اولویت‌های آینده SOC

گارتنر مدیریت مستمر مواجهه با تهدیدات (Continuous Threat Exposure Management یا CTEM) را یکی از قابلیت‌های مهمی می‌داند که مراکز عملیات امنیت باید برای توسعه آن سرمایه‌گذاری کنند.

در رویکردهای سنتی، ارزیابی آسیب‌پذیری‌ها و بررسی وضعیت امنیتی زیرساخت معمولاً در بازه‌های زمانی مشخص، مانند ماهانه، فصلی یا سالانه انجام می‌شود.

اما این رویکرد با سرعت تغییر تهدیدات سایبری و توسعه زیرساخت‌های فناوری اطلاعات همخوانی کامل ندارد.

CTEM رویکردی مستمر برای شناسایی، اولویت‌بندی، اعتبارسنجی و کاهش مواجهه سازمان با تهدیدات و نقاط ضعف امنیتی است.

این رویکرد صرفاً به شناسایی آسیب‌پذیری‌ها محدود نمی‌شود؛ بلکه تلاش می‌کند مشخص کند کدام نقاط ضعف با توجه به قابلیت بهره‌برداری، اهمیت دارایی و تأثیر احتمالی بر کسب‌وکار، بیشترین ریسک را ایجاد می‌کنند.

با استفاده از هوش مصنوعی، SOC می‌تواند بخشی از فعالیت‌های مرتبط با مدیریت مواجهه را به‌صورت مستمر انجام دهد؛ از جمله:

• شناسایی دارایی‌های آسیب‌پذیر و نقاط ضعف امنیتی.

• اولویت‌بندی ریسک‌ها بر اساس اهمیت دارایی و احتمال بهره‌برداری.

• بررسی مسیرهای احتمالی نفوذ به زیرساخت.

• اعتبارسنجی اثربخشی کنترل‌های امنیتی.

• ارتباط دادن یافته‌های ارزیابی امنیتی با قوانین تشخیص و سناریوهای شکار تهدید.

گارتنر همچنین پیش‌بینی می‌کند که تا سال ۲۰۳۰ مراکز عملیات امنیت به‌طور گسترده‌تری رویکردی تهاجمی و پیش‌دستانه اتخاذ کنند. به این معنا که سازمان‌ها به‌جای انتظار برای شناسایی حملات، به‌طور مستمر زیرساخت خود را از منظر روش‌ها و تکنیک‌های مورد استفاده مهاجمان آزمایش خواهند کرد.

در این مدل، نتایج فعالیت‌های ارزیابی و آزمایش امنیتی می‌تواند مستقیماً برای بهبود قوانین تشخیص، توسعه سناریوهای شکار تهدید و کاهش سطح مواجهه سازمان با ریسک‌های سایبری استفاده شود.

آیا هوش مصنوعی باعث کاهش تعداد کارکنان SOC خواهد شد؟

یکی از برداشت‌های احتمالی از خودکارسازی فعالیت‌های امنیتی این است که با جایگزینی تحلیلگران توسط عامل‌های هوش مصنوعی، تعداد کارکنان مراکز SOC کاهش پیدا می‌کند.

اما پیش‌بینی گارتنر تصویر متفاوتی ارائه می‌دهد.

در گزارش مورد اشاره، گارتنر تصریح می‌کند که انتظار نمی‌رود اندازه کلی تیم‌های SOC تا سال ۲۰۳۰ کاهش پیدا کند؛ بلکه ترکیب تخصصی این تیم‌ها تغییر خواهد کرد.

همچنین نتایج نظرسنجی سال ۲۰۲۶ شرکت پرافت سکیوریتی از بیش از ۲۵۰ مدیر ارشد امنیت اطلاعات (CISO)، مدیر SOC و متخصص امنیت سایبری نشان می‌دهد:

• ۵۷ درصد از پاسخ‌دهندگان انتظار دارند تعداد کارکنان تیم امنیتی آن‌ها ثابت بماند.

• ۹ درصد انتظار دارند اندازه تیم آن‌ها افزایش پیدا کند.

این نتایج نشان می‌دهد که بسیاری از سازمان‌ها هوش مصنوعی را بیشتر به‌عنوان ابزاری برای افزایش ظرفیت عملیاتی و تغییر توزیع وظایف در نظر می‌گیرند تا جایگزینی کامل نیروی انسانی.

بااین‌حال، این داده‌ها بیانگر انتظارات پاسخ‌دهندگان یک نظرسنجی هستند و نمی‌توان آن‌ها را پیش‌بینی قطعی درباره وضعیت اشتغال در تمام سازمان‌ها تلقی کرد.

در واقع، کاهش نیاز به نیروی انسانی برای انجام فعالیت‌های تکراری می‌تواند با افزایش نیاز به متخصصان مهندسی امنیت، تحلیل تهدید، مدیریت عامل‌های هوشمند و ارزیابی مستمر ریسک همراه شود.

چالش‌های امنیتی استفاده از عامل‌های هوش مصنوعی در SOC

با وجود مزایای قابل‌توجه هوش مصنوعی عامل‌محور در مراکز SOC، واگذاری بخشی از وظایف امنیتی به عامل‌های خودمختار بدون در نظر گرفتن مخاطرات آن‌ها می‌تواند ریسک‌های جدیدی برای سازمان ایجاد کند.

عامل‌های هوش مصنوعی ممکن است به اطلاعات حساس، ابزارهای امنیتی، سامانه‌های مدیریتی و قابلیت اجرای اقدامات عملیاتی دسترسی داشته باشند. بنابراین، هرگونه خطا در تحلیل یا اجرای دستورالعمل می‌تواند پیامدهایی فراتر از یک نتیجه‌گیری اشتباه داشته باشد.

مهم‌ترین چالش‌ها

برخی از مهم‌ترین چالش‌ها عبارت‌اند از:

۱- تصمیم‌گیری اشتباه و مثبت یا منفی کاذب

عامل هوشمند ممکن است یک فعالیت مخرب را عادی تشخیص دهد یا برعکس، فعالیت مجاز را به‌عنوان تهدید شناسایی کند. بنابراین، ارزیابی مستمر دقت خروجی‌ها ضروری است.

۲- دسترسی بیش از حد به منابع سازمان

اعطای دسترسی گسترده به عامل‌های هوشمند می‌تواند در صورت سوءاستفاده، خطای عملیاتی یا نفوذ مهاجم، به گسترش دامنه آسیب منجر شود. دسترسی‌ها باید بر اساس اصل حداقل دسترسی (Least Privilege) تعریف شوند.

۳- حملات تزریق دستورالعمل (Prompt Injection)

مهاجم ممکن است تلاش کند از طریق داده‌های مخرب، محتوای ایمیل، فایل‌ها یا اطلاعاتی که عامل هوشمند بررسی می‌کند، دستورالعمل‌های آن را تحت تأثیر قرار دهد و باعث اجرای اقدامات ناخواسته شود.

۴- اقدامات خودکار و مخرب

اگر عامل هوشمند بدون محدودیت و تأیید انسانی قادر به ایزوله‌سازی سیستم‌ها، مسدودسازی حساب‌ها یا تغییر تنظیمات امنیتی باشد، یک تصمیم اشتباه می‌تواند اختلال عملیاتی ایجاد کند.

۵- دشواری حسابرسی و ردیابی تصمیم‌ها

سازمان باید بتواند مشخص کند عامل هوشمند بر اساس چه داده‌هایی تصمیم گرفته، چه ابزارهایی را فراخوانی کرده و چه اقداماتی انجام داده است. ثبت کامل فعالیت‌ها و حفظ قابلیت حسابرسی برای مدیریت ریسک ضروری است.

راهنمای منتشرشده توسط مرکز ملی امنیت سایبری بریتانیا (NCSC) درباره مدیریت ریسک هوش مصنوعی عامل‌محور نیز بر محدودسازی سطح خودمختاری، تعیین مرزهای عملیاتی، نظارت انسانی و امکان توقف فوری عامل‌های هوشمند تأکید می‌کند.

بنابراین، استقرار AI SOC نباید صرفاً بر اساس میزان خودکارسازی یا سرعت پردازش هشدارها ارزیابی شود. بلکه امنیت، قابلیت کنترل و پاسخ‌گویی عامل‌های هوشمند نیز باید بخشی از الزامات اصلی پیاده‌سازی باشد.

سازمان‌ها چگونه برای آینده مبتنی بر AI SOC آماده شوند؟

تحول ساختار مراکز SOC در نتیجه گسترش هوش مصنوعی، نیازمند برنامه‌ریزی تدریجی است. سازمان‌ها نباید صرفاً با خرید یک پلتفرم هوش مصنوعی انتظار داشته باشند که ساختار SOC آن‌ها به‌صورت خودکار متحول شود.

بر اساس جهت‌گیری‌های مطرح‌شده در گزارش گارتنر، می‌توان اقدامات زیر را برای آماده‌سازی سازمان‌ها پیشنهاد کرد:

۱- بازنگری در ساختار منابع انسانی: وظایف فعلی تحلیلگران و مهندسان SOC باید بررسی شود تا مشخص شود کدام فعالیت‌ها قابلیت خودکارسازی دارند و کدام وظایف به قضاوت و تخصص انسانی نیازمند هستند.

۲- توسعه مهارت‌های مهندسی SOC: آموزش مهندسان در زمینه طراحی گردش‌کارهای هوشمند، مهندسی تشخیص، اعتبارسنجی خروجی هوش مصنوعی و مدیریت نسخه باید در اولویت قرار گیرد.

۳- بازطراحی مسیر آموزش نیروهای تازه‌کار: سازمان‌ها باید پیش از کاهش وابستگی به بررسی دستی هشدارها، روش‌های جدیدی برای انتقال تجربه عملی به تحلیلگران تازه‌کار ایجاد کنند.

۴- استقرار تدریجی عامل‌های هوشمند: بهتر است ابتدا وظایف کم‌ریسک مانند غنی‌سازی اطلاعات هشدارها، همبستگی رویدادها و تهیه گزارش‌های اولیه خودکار شوند و سپس با ارزیابی نتایج، دامنه فعالیت عامل‌ها توسعه پیدا کند.

۵- تعریف شاخص‌های عملکرد جدید: علاوه بر شاخص‌های سنتی، معیارهایی مانند دقت پرونده‌های امنیتی، زمان تکمیل تحقیقات و میزان صحت تصمیم‌های عامل‌های هوشمند باید اندازه‌گیری شوند.

۶- توسعه شکار تهدید و CTEM: منابع آزادشده از فعالیت‌های تکراری باید برای شناسایی پیش‌دستانه تهدیدات و کاهش مستمر سطح مواجهه سازمان با ریسک‌های امنیتی به کار گرفته شوند.

۷- ایجاد چارچوب حاکمیت و کنترل هوش مصنوعی: سطح دسترسی، محدوده اختیارات، الزامات تأیید انسانی، ثبت فعالیت‌ها و سازوکار توقف عامل‌های هوشمند باید به‌صورت شفاف تعریف شوند.

جمع‌بندی؛ آینده SOC در اختیار تیم‌هایی با مهارت‌های مهندسی و تحلیل پیشرفته خواهد بود

پیش‌بینی گارتنر درباره افزایش ۵۰ درصدی تعداد مهندسان نسبت به تحلیلگران در مراکز SOC تا سال ۲۰۲۸، نشان‌دهنده تغییر عمیق در نحوه طراحی و مدیریت تیم‌های امنیت سایبری است.

در این ساختار، عامل‌های هوش مصنوعی بخش مهمی از فعالیت‌های تکراری مانند بررسی اولیه هشدارها، جمع‌آوری شواهد و همبستگی رویدادها را بر عهده می‌گیرند. در مقابل، نیروی انسانی بیشتر بر مدیریت پرونده‌های امنیتی، تصمیم‌گیری، مهندسی تشخیص، شکار تهدید و مدیریت مواجهه با ریسک‌های امنیتی متمرکز خواهد شد.

این تحول به معنای کم‌رنگ شدن اهمیت تخصص انسانی نیست. بلکه ارزش مهارت‌هایی مانند تحلیل عمیق تهدیدات، مهندسی امنیت، طراحی فرایندهای هوشمند و اعتبارسنجی تصمیم‌های خودکار را افزایش می‌دهد.

برای سازمان‌ها نیز پیام روشن است: آینده مراکز عملیات امنیت صرفاً به استفاده از ابزارهای مجهز به هوش مصنوعی وابسته نیست. بلکه به توانایی ترکیب هوشمندانه تخصص انسانی، عامل‌های خودمختار، داده‌های امنیتی و فرایندهای مهندسی‌شده بستگی دارد.

در نهایت، SOC موفق در سال‌های آینده مرکزی نخواهد بود که صرفاً بیشترین تعداد هشدار را در کوتاه‌ترین زمان بررسی می‌کند. در عوض، مرکزی است که می‌تواند تهدیدات را دقیق‌تر شناسایی کند، تصمیم‌های قابل‌اعتماد بگیرد و پیش از تبدیل شدن آسیب‌پذیری‌ها به حوادث امنیتی، آن‌ها را شناسایی و برطرف کند.

منابع و مراجع تکمیلی

۱- BleepingComputer: گزارش اصلی درباره پیش‌بینی گارتنر و تغییر ساختار نیروی انسانی SOC در سال ۲۰۲۸. مشاهده گزارش اصلی.

۲- Gartner: گزارش تخصصی AI SOC Agents: Harnessing Innovation, Managing Expectations درباره قابلیت‌ها و محدودیت‌های عامل‌های هوش مصنوعی در مراکز عملیات امنیت. مشاهده گزارش گارتنر.

۳- Gartner: راهنمای پیاده‌سازی هوش مصنوعی عامل‌محور در گردش‌کارهای SOC مبتنی بر مدیریت مواجهه با تهدیدات. مشاهده گزارش CTEM.

۴- UK National Cyber Security Centre (NCSC): راهنمای مدیریت ریسک‌های امنیتی هوش مصنوعی عامل‌محور. مشاهده راهنمای NCSC.

۵- CISA: راهنمای پذیرش ایمن سرویس‌های هوش مصنوعی عامل‌محور. مشاهده راهنمای مشترک.

۶- Rapid7: تحلیل تغییر نقش‌های موردنیاز در مراکز عملیات امنیت مبتنی بر هوش مصنوعی. مطالعه تحلیل تکمیلی.