En promedio el 80% de las alertas pueden quedarse sin revisar cuando el volumen supera la capacidad de investigación del equipo.
Y el problema no es necesariamente que esas alertas sean irrelevantes.
Algunas serán falsos positivos. Otras, actividades legítimas. Pero entre ellas también pueden existir señales tempranas de comportamientos que, con el contexto adecuado, podrían revelar una amenaza.
Mientras tanto, la superficie digital continúa creciendo y con ella debería también hacerlo su nivel de detección. Sin embargo, detectar más no sirve de mucho si la capacidad para investigar y responder no escala al mismo ritmo.
Por eso, la discusión sobre un SOC autónomo no debería centrarse solo en que tenga la capacidad de detectar más o en reemplazar al personal que ya se tiene.
Debería centrarse en una pregunta mucho más estratégica:
¿Cuánto del ciclo de investigación y respuesta se puede resolver autónomamente sin comprometer el control sobre el negocio?
