در مدیریت عملیات امنیت (Security Operations)، مفهومی به نام «مثلث SOC» وجود دارد که بیانگر توازن دشوار میان کیفیت، ثبات و بهینگی هزینه است. اما ظهور هوش مصنوعی (AI) در حال تغییر این محدودیت‌هاست و امکان اجرای وظایف امنیتی با عمق و ثبات بیشتر را، بدون نیاز به افزایش خطی نیروی انسانی، فراهم می‌کند.
شروع با نتایج مورد نیاز کسب‌وکار
برای تیم‌های امنیتی با منابع محدود، کلید موفقیت در پیاده‌سازی AI، شروع از «نتایج» (Outcomes) است، نه ابزارها. پیش از انتخاب ابزار AI، باید مجموعه‌ای از حیاتی‌ترین سیستم‌ها، هویت‌ها، داده‌ها و فرآیندهای تجاری که سازمان برای بقا به آن‌ها وابسته است، شناسایی شوند. این رویکرد یک مرز مشخص برای اولویت‌بندی ایجاد می‌کند و سوالات امنیتی را ملموس‌تر می‌سازد:
- کدام هویت‌ها به این سیستم‌های حیاتی دسترسی دارند؟
- کدام شناسایی‌ها (Detections) وقوع حمله را خبر می‌دهند؟
- برای بررسی یک حادثه به چه شواهدی نیاز است و سرعت واکنش باید چقدر باشد؟
شناسایی محدودیت‌های عملیاتی
پس از تعیین نتایج حیاتی، باید بررسی کرد که چه موانعی مانع از دستیابی مستمر به این نتایج می‌شود. این محدودیت‌ها معمولاً در چهار دسته قرار می‌گیرند:
- محدودیت نیروی انسانی: زمانی که حجم هشدارها سریع‌تر از توان بررسی تیم افزایش می‌یابد.
- محدودیت مهارت: زمانی که داده‌های هوش تهدید (Threat Intelligence) موجود است، اما تخصص لازم برای عملیاتی کردن آن‌ها وجود ندارد.
- محدودیت بودجه: افزایش هزینه‌های ذخیره‌سازی داده‌های امنیتی بدون بهبود واقعی در دید (Visibility).
- محدودیت زمان: قدیمی شدن قوانین شناسایی (Detection Rules) به دلیل تغییر تکنیک‌های مهاجمان.
تبدیل فعالیت‌های دوره‌ای به فرآیندهای مستمر
بهترین نقاط برای شروع استفاده از AI، فعالیت‌هایی هستند که در صورت اجرای مستمر ارزش بالایی دارند اما در حال حاضر به صورت دوره‌ای یا تنها پس از وقوع حادثه انجام می‌شوند:
1. مدیریت وضعیت امنیتی (Posture Management)
تغییر در پیکربندی‌های ابری یا هویت‌ها باعث تغییر سطح مواجهه (Exposure) می‌شود. AI می‌تواند به طور مستمر تحلیل کند که کدام نقاط ضعف در بافت سیستم‌های حیاتی کسب‌وکار، بیشترین اهمیت را دارند.
2. مهندسی شناسایی (Detection Engineering)
قوانینی که ۱۸ ماه پیش مفید بودند، امروز ممکن است باعث تولید هشدارهای کاذب (False Positives) شوند. AI می‌تواند دقت و پوشش قوانین شناسایی را به طور مداوم ارزیابی کند.
3. هوش تهدید (Threat Intelligence)
AI می‌تواند گزارش‌های جدید تهدیدات را تفسیر کرده، تکنیک‌های مرتبط با محیط خاص سازمان را شناسایی و عملیات شکار تهدید (Threat Hunting) را سریع‌تر اجرا کند.
4. بررسی هشدارها (Alert Investigation)
جمع‌آوری شواهد از Endpoint، شبکه و Cloud و همبست‌سازی (Correlation) آن‌ها برای یک تحلیلگر انسانی زمان‌بر است. AI می‌تواند بخش بزرگی از این فرآیند را انجام داده و نتیجه را برای تایید نهایی به تحلیلگر ارائه دهد.
اندازه‌گیری موفقیت بر اساس نتایج
بسیاری از برنامه‌های AI به اشتباه بر اساس «میزان فعالیت» (مانند تعداد هشدارهای پردازش شده) اندازه‌گیری می‌شوند، در حالی که CISO باید بر اساس «بهبود برنامه امنیتی» قضاوت کند. معیارهای درست عبارتند از:
- در بررسی هشدارها: کیفیت بررسی، زمان تکمیل و میزان تلاش تحلیلگر.
- در مهندسی شناسایی: کاهش نرخ False-Positive و افزایش پوشش شناسایی در طول زمان.
- در هوش تهدید: سرعت تبدیل یک گزارش جدید به یک یافته عملیاتی در محیط سازمان.
یک برنامه امنیتی AI-native با نقشه راه تکنولوژیک شروع نمی‌شود، بلکه با شناسایی یک بخش از کار امنیتی شروع می‌شود که باید بهتر، سریع‌تر یا مستمرتر از امروز انجام شود.
