Los centros de operaciones de seguridad podrían tener un 50 % más de ingenieros que de analistas para 2028, según un informe de Gartner de 2026 sobre los puestos necesarios para los SOC habilitados por IA. El pronóstico refleja un cambio a medida que los agentes de IA asumen una mayor parte de la gestión rutinaria de alertas y del trabajo de investigación, lo que modifica la forma en que los equipos emplean su tiempo y sus habilidades.

El informe, elaborado por el analista Pete Shoard, sostiene que es poco probable que el procesamiento de alertas siga siendo la función principal de los SOC. En lugar de concentrarse en clasificar las alertas, se espera que los analistas humanos se hagan cargo de los casos: validen los hallazgos de un agente, decidan una respuesta adecuada y comuniquen las opciones disponibles a quienes deben actuar.

Gartner también señala que los expedientes de casos generados por IA siguen necesitando una revisión humana sustancial. Los analistas dedicarán más tiempo a evaluar si las pruebas respaldan una conclusión, en vez de elaborar cada veredicto desde cero. El informe no pronostica que los equipos de SOC se reduzcan para 2030; en cambio, espera que el trabajo se desplace hacia la ingeniería de detección, la experiencia en amenazas, las pruebas ofensivas y la gestión de la exposición.

El cambio también plantea preguntas sobre cómo adquieren experiencia los empleados júnior. Tradicionalmente, la clasificación de nivel 1 ha expuesto repetidamente a los nuevos analistas a las alertas y les ha ayudado a aprender qué es normal en su organización. Si los agentes de IA se hacen cargo de ese trabajo, los equipos necesitarán otras formas de desarrollar esas habilidades. El informe de Gartner analiza los cambios en las funciones de L1 y L2, la formación y la dotación de personal.

El artículo de origen describe varios enfoques para sustituir esa experiencia: permitir que los analistas júnior estudien las consultas y las pruebas de un agente, asignarles casos de menor riesgo bajo la supervisión de personal sénior e involucrarlos en la retroalimentación que mejora las investigaciones de IA. También advierte que los analistas no deberían limitarse a aceptar la respuesta de un agente y sugiere que podrían evaluar de forma independiente una muestra de casos antes de comparar sus hallazgos con los de la IA.

Se espera que el trabajo de ingeniería se amplíe más allá de la redacción de reglas de detección. Gartner recomienda actualizar las descripciones de los puestos de ingeniería de detección para incluir el diseño de prompts, las pruebas de flujos de trabajo y la validación de resultados de IA, junto con prácticas de ingeniería de software como el control de versiones, las pruebas y la reversión de cambios. Estas responsabilidades contribuyen al funcionamiento y la supervisión de los agentes en producción.

El informe también señala que la búsqueda de amenazas podría beneficiarse del tiempo que libera la automatización. En la encuesta State of AI in Security Operations de 2026 de Prophet Security, realizada a más de 250 CISOs, responsables de SOC y profesionales, el 49 % de los equipos que buscaban amenazas semanalmente o con mayor frecuencia afirmó que una búsqueda había descubierto actividad maliciosa que sus sistemas de detección no habían detectado. Entre los equipos que informaron de la menor frecuencia de búsqueda, la cifra fue del 8 %.

Gartner recomienda cambiar la forma de medir el rendimiento de los SOC y dejar de centrarse en el volumen de alertas y las tasas de cierre para prestar más atención a la precisión de los casos, el tiempo de ciclo de los casos y la confianza en las decisiones. El número de alertas todavía puede ayudar a planificar la capacidad, pero el informe afirma que ofrece información limitada sobre si una determinación fue correcta.

La gestión de la exposición es otra función que Gartner espera que los SOC desarrollen. El informe recomienda convertir la gestión continua de la exposición a amenazas en una actividad permanente, en lugar de realizarla solo anual o trimestralmente. También pronostica que, para 2030, los SOC estarán impulsados en gran medida por un enfoque ofensivo y pondrán a prueba sus propias organizaciones de maneras que reflejen cómo operan los atacantes.

El artículo está patrocinado y escrito por Prophet Security, que ofrece el informe de Gartner para su descarga gratuita. Sus recomendaciones incluyen revisar las funciones actuales, actualizar los requisitos de ingeniería, planificar nuevas trayectorias profesionales para puestos de nivel inicial y establecer medidas de referencia antes de desplegar agentes de IA.

Fuentes: BleepingComputer.