Gartner prognostiziert bis 2028 50 % mehr SOC-Ingenieure als Analysten

Security Operations Center könnten bis 2028 50 % mehr Ingenieure als Analysten beschäftigen, so ein Gartner-Bericht aus dem Jahr 2026 über die für KI-gestützte SOCs benötigten Rollen. Die Prognose spiegelt einen Wandel wider: KI-Agenten übernehmen mehr routinemäßige Alarmbearbeitung und Untersuchungsarbeit, wodurch sich verändert, wie Teams ihre Zeit und Kompetenzen einsetzen.

Der von Analyst Pete Shoard verfasste Bericht argumentiert, dass die Alarmverarbeitung wahrscheinlich nicht länger die Hauptfunktion eines SOC bleiben wird. Statt sich auf die Triage von Alarmen zu konzentrieren, sollen menschliche Analysten künftig Verantwortung für Fälle übernehmen: die Ergebnisse eines Agenten überprüfen, eine angemessene Reaktion festlegen und den für das Handeln Verantwortlichen die verfügbaren Optionen erläutern.

Gartner erklärt außerdem, dass von KI erstellte Fallakten weiterhin eine gründliche menschliche Prüfung erfordern. Analysten werden mehr Zeit darauf verwenden, zu beurteilen, ob die Belege eine Schlussfolgerung stützen, statt jedes Urteil von Grund auf selbst zu erarbeiten. Der Bericht prognostiziert nicht, dass SOC-Teams bis 2030 schrumpfen werden; vielmehr erwartet er eine Verlagerung der Arbeit hin zu Detection Engineering, Threat-Expertise, offensiven Tests und Exposure Management.

Der Wandel wirft auch Fragen dazu auf, wie Nachwuchskräfte Erfahrung sammeln. Die Tier-1-Triage hat neuen Analysten traditionell wiederholten Kontakt mit Alarmen ermöglicht und ihnen geholfen, zu lernen, was in ihrer Organisation normal ist. Wenn KI-Agenten diese Arbeit übernehmen, brauchen Teams andere Wege, diese Kompetenzen zu entwickeln. Gartners Bericht erörtert Änderungen bei den Rollen der Stufen L1 und L2, bei Schulungen und bei der Personalbesetzung.

Der Ausgangsartikel beschreibt mehrere Ansätze, um diese Erfahrung zu ersetzen: Nachwuchsanalysten die Abfragen und Belege eines Agenten untersuchen zu lassen, ihnen weniger risikoreiche Fälle mit Prüfung durch erfahrene Kollegen zu übertragen und sie in Feedback einzubeziehen, das KI-Untersuchungen verbessert. Zudem warnt er davor, dass Analysten die Antwort eines Agenten einfach übernehmen. Stattdessen könnten sie eine Stichprobe von Fällen unabhängig bewerten, bevor sie ihre Ergebnisse mit denen der KI vergleichen.

Die Engineering-Arbeit dürfte sich über das Schreiben von Detection-Regeln hinaus ausweiten. Gartner empfiehlt, Stellenbeschreibungen für Detection Engineering um Prompt-Design, Workflow-Tests und die Validierung von KI-Ergebnissen zu ergänzen, neben Software-Engineering-Praktiken wie Versionsverwaltung, Tests und Rollbacks. Diese Aufgaben unterstützen den Betrieb und die Überwachung von Agenten in der Produktionsumgebung.

Der Bericht nennt auch Threat Hunting als einen Bereich, der von der durch Automatisierung frei werdenden Zeit profitieren könnte. In Prophet Securitys Umfrage „2026 State of AI in Security Operations“ unter mehr als 250 CISOs, SOC-Führungskräften und Praktikern gaben 49 % der Teams, die wöchentlich oder häufiger Threat Hunting betrieben, an, dass eine Suche bösartige Aktivitäten aufgedeckt hatte, die von ihren Erkennungsmechanismen übersehen worden waren. Bei den Teams, die am seltensten suchten, lag dieser Anteil bei 8 %.

Gartner empfiehlt, die Messung der SOC-Leistung zu ändern und nicht länger vor allem Alarmvolumen und Abschlussquoten in den Blick zu nehmen, sondern die Fallgenauigkeit, die Bearbeitungsdauer von Fällen und das Vertrauen in Entscheidungen. Alarmzahlen können weiterhin bei der Kapazitätsplanung helfen, doch laut Bericht geben sie nur begrenzt Aufschluss darüber, ob eine Beurteilung richtig war.

Exposure Management ist eine weitere Funktion, die SOCs laut Gartner ausbauen sollten. Der Bericht empfiehlt, kontinuierliches Threat Exposure Management als feste Aufgabe zu etablieren, statt es nur jährlich oder vierteljährlich durchzuführen. Außerdem prognostiziert er, dass SOCs bis 2030 weitgehend offensiv ausgerichtet sein werden und ihre eigenen Organisationen auf eine Weise testen, die das Vorgehen von Angreifern widerspiegelt.

Der Artikel ist gesponsert und wurde von Prophet Security verfasst. Das Unternehmen bietet Gartners Bericht als kostenlosen Download an. Zu den Empfehlungen gehören, bestehende Rollen zu überprüfen, Anforderungen an Engineering-Funktionen zu aktualisieren, neue Karrierewege für Berufseinsteiger zu planen und vor dem Einsatz von KI-Agenten Ausgangswerte festzulegen.

Quellen: BleepingComputer.