Gartner prevede il 50% in più di ingegneri SOC rispetto agli analisti entro il 2028

Secondo un rapporto Gartner del 2026 sui ruoli necessari per i SOC abilitati dall’IA, entro il 2028 i centri operativi di sicurezza potrebbero avere il 50% in più di ingegneri rispetto agli analisti. La previsione riflette un cambiamento in atto, con gli agenti di IA che si occupano di un numero crescente di attività ordinarie di gestione degli avvisi e di indagine, modificando il modo in cui i team impiegano il proprio tempo e le proprie competenze.

Il rapporto, scritto dall’analista Pete Shoard, sostiene che l’elaborazione degli avvisi probabilmente non resterà la funzione principale dei SOC. Anziché concentrarsi sul triage degli avvisi, ci si aspetta che gli analisti umani si assumano la responsabilità dei casi: convalidare i risultati di un agente, decidere la risposta adeguata e comunicare le opzioni disponibili a chi è responsabile di intervenire.

Gartner afferma inoltre che i fascicoli dei casi generati dall’IA richiedono ancora un’importante revisione umana. Gli analisti dedicheranno più tempo a valutare se le prove supportano una conclusione, invece di elaborare ogni verdetto da zero. Il rapporto non prevede che entro il 2030 i team SOC si riducano; si aspetta invece che il lavoro si sposti verso l’ingegneria del rilevamento, le competenze sulle minacce, i test offensivi e la gestione dell’esposizione.

Il cambiamento solleva anche interrogativi su come il personale junior acquisisca esperienza. Il triage di livello 1 ha tradizionalmente offerto ai nuovi analisti un’esposizione ripetuta agli avvisi e li ha aiutati a capire cosa sia normale nella propria organizzazione. Se gli agenti di IA si occuperanno di questo lavoro, i team dovranno trovare altri modi per sviluppare tali competenze. Il rapporto di Gartner esamina i cambiamenti nei ruoli L1 e L2, nella formazione e nel personale.

L’articolo fonte descrive diversi approcci per compensare la perdita di questa esperienza: consentire agli analisti junior di studiare le query e le prove di un agente, affidare loro casi a rischio inferiore con la revisione di un senior e coinvolgerli nei riscontri che migliorano le indagini dell’IA. Avverte inoltre che gli analisti non dovrebbero limitarsi ad accettare la risposta di un agente e suggerisce che potrebbero valutare autonomamente un campione di casi prima di confrontare i propri risultati con quelli dell’IA.

Si prevede che il lavoro di ingegneria si estenderà oltre la scrittura di regole di rilevamento. Gartner raccomanda di aggiornare le descrizioni delle mansioni nell’ingegneria del rilevamento, includendo la progettazione di prompt, il collaudo dei flussi di lavoro e la convalida dei risultati dell’IA, insieme a pratiche di ingegneria del software come il controllo delle versioni, i test e il ripristino. Queste responsabilità supportano il funzionamento e la supervisione degli agenti in produzione.

Il rapporto indica inoltre la ricerca proattiva delle minacce come un’area che potrebbe trarre vantaggio dal tempo liberato dall’automazione. Nel sondaggio State of AI in Security Operations 2026 di Prophet Security, condotto su oltre 250 CISO, responsabili SOC e professionisti, il 49% dei team che svolgevano attività di ricerca proattiva ogni settimana o più spesso ha dichiarato che una di queste attività aveva portato alla luce attività dannose sfuggite ai sistemi di rilevamento. Tra i team che hanno segnalato la frequenza più bassa di queste attività, la percentuale era dell’8%.

Gartner raccomanda di modificare il modo in cui si misura il rendimento dei SOC, abbandonando l’attenzione ai volumi di avvisi e ai tassi di chiusura per concentrarsi sull’accuratezza dei casi, sulla loro durata e sul livello di fiducia nelle decisioni. Il numero di avvisi può ancora essere utile per pianificare la capacità, ma secondo il rapporto offre indicazioni limitate sulla correttezza di una valutazione.

La gestione dell’esposizione è un’altra funzione che Gartner si aspetta venga sviluppata dai SOC. Il rapporto raccomanda di rendere la gestione continua dell’esposizione alle minacce un’attività permanente, anziché svolgerla solo ogni anno o ogni trimestre. Prevede inoltre che entro il 2030 i SOC saranno guidati in larga misura da un approccio offensivo, mettendo alla prova le proprie organizzazioni in modi che riflettono il comportamento degli aggressori.

L’articolo è sponsorizzato e scritto da Prophet Security, che offre il rapporto Gartner come download gratuito. Tra le raccomandazioni figurano la revisione dei ruoli attuali, l’aggiornamento dei requisiti per le posizioni di ingegneria, la pianificazione di nuovi percorsi professionali per il personale alle prime armi e la definizione di misure di riferimento prima di introdurre gli agenti di IA.

Fonti: BleepingComputer.