Blog B-SECURE

Revisa tu último reporte mensual. Probablemente muestre más activos escaneados, más hallazgos detectados y más cobertura que el trimestre pasado. Y abajo, casi siempre, el mismo backlog de críticas que tenías hace seis meses.

Esa foto convive con una pregunta que rara vez tiene respuesta corta: ¿tu organización está más expuesta o menos expuesta que hace medio año?

Si la respuesta tarda en llegar, no es un problema de datos. Tampoco es que tu equipo esté haciendo mal el trabajo. Es un problema de modelo. Y le pasa incluso a equipos maduros con buenas herramientas.

En promedio el 80% de las alertas pueden quedarse sin revisar cuando el volumen supera la capacidad de investigación del equipo.

Y el problema no es necesariamente que esas alertas sean irrelevantes.

Algunas serán falsos positivos. Otras, actividades legítimas. Pero entre ellas también pueden existir señales tempranas de comportamientos que, con el contexto adecuado, podrían revelar una amenaza. 

Mientras tanto, la superficie digital continúa creciendo y con ella debería también hacerlo su nivel de detección. Sin embargo, detectar más no sirve de mucho si la capacidad para investigar y responder no escala al mismo ritmo. 

Por eso, la discusión sobre un SOC autónomo no debería centrarse solo en que tenga la capacidad de detectar más o en reemplazar al personal que ya se tiene.

 Debería centrarse en una pregunta mucho más estratégica: 

¿Cuánto del ciclo de investigación y respuesta se puede resolver autónomamente sin comprometer el control sobre el negocio?