El mercado de los agentes de IA para SOC, o agentes de IA para centros de operaciones de seguridad según la denominación de Gartner, avanza a gran velocidad. Decenas de startups han irrumpido en este espacio en los últimos 18 meses, cada una prometiendo transformar la forma en que los equipos de seguridad gestionan el triaje de alertas, la investigación y la respuesta. El argumento comercial suele ser similar: implemente un agente de IA, reduzca el backlog de alertas y libere a sus analistas para que se concentren en tareas de mayor valor. Parte de esa promesa es real, pero la investigación más reciente de Gartner sugiere que la mayoría de las organizaciones que evalúan estas herramientas están haciendo las preguntas equivocadas, o no hacen suficientes.
En un informe reciente titulado 'Validate the Promises of AI SOC Agents With These Key Questions', los analistas Craig Lawson y Andrew Davies presentan un marco de evaluación estructurado para líderes de ciberseguridad que consideran implementar agentes de IA en sus SOC. Su hallazgo central es aleccionador: aunque se espera que el 70% de los SOC grandes piloteen agentes de IA para operaciones de nivel 1 y 2 para 2028, solo el 15% logrará mejoras medibles sin una evaluación estructurada.
1. ¿Realmente reduce el trabajo que realiza tu equipo hoy?
Puede parecer obvio, pero Gartner lo plantea con cuidado: la primera pregunta no es '¿qué puede hacer esta herramienta?', sino '¿qué funciones del SOC maneja hoy tu organización que son pérdidas de tiempo repetitivas y de valor limitado para mejorar la detección, investigación y respuesta a amenazas?'. Una herramienta puede demostrar capacidades impresionantes en un entorno de demostración mientras aborda flujos de trabajo que tu equipo ya ha resuelto por otros medios. La evaluación debe comenzar con tus cuellos de botella operativos, no con la lista de funciones del proveedor.
2. ¿Cómo mides los resultados más allá de 'alertas procesadas'?
Las métricas de volumen pueden ser engañosas. Procesar 10.000 alertas al mes significa poco si la calidad de la investigación se degrada o si los verdaderos positivos se escapan. Gartner enfatiza que la evaluación debe centrarse en mejoras en métricas y resultados de TDIR: tiempo medio de detección, tiempo medio de respuesta y reducción de falsos positivos. Pero el informe va más allá, señalando que también importan los resultados cualitativos: ¿la herramienta mejora la satisfacción del analista? ¿Conduce a una mejor ejecución, no solo más rápida? El tiempo medio de contención (MTTC) debería ser el objetivo final, ya que la contención es donde realmente se reduce el riesgo.
3. ¿Seguirá el proveedor en el mercado dentro de dos años?
Esta categoría está en fase temprana. El informe de Gartner describe un mercado con muchas startups que usan enfoques y principios de diseño diferentes. Esa diversidad es saludable para la innovación, pero introduce un riesgo de proveedor que los líderes de seguridad deben evaluar honestamente. El informe recomienda preguntar cuándo estuvo disponible por primera vez la solución del proveedor, cómo es su base de clientes actual y cuál es su situación financiera y de financiación. Gartner también sugiere aceptar que las adquisiciones en este espacio son altamente probables y tratar esa realidad como un riesgo de gestión de proveedores externos, no como un factor descalificador.
4. ¿Hace mejores a tus analistas, o solo más ocupados de otra manera?
Una de las secciones más matizadas del marco de Gartner se centra en la aumentación y mejora de habilidades de los analistas. La pregunta no es solo si la IA maneja el triaje más rápido. La velocidad nunca ha estado en duda con la IA. Se trata de si la tecnología mejora la experiencia humana con el tiempo. Gartner recomienda preguntar qué recursos de capacitación y habilitación acompañan a la herramienta, si la IA puede crear oportunidades de aprendizaje para los analistas (como sugerir cacerías de amenazas o recomendar mejores prácticas) y si asiste en el trabajo de ingeniería de detección.
5. ¿Cuáles son los límites de la autonomía de la IA?
Gartner traza una distinción útil entre los modelos 'humano en el circuito' y 'humano sobre el circuito'. El primero requiere aprobación humana para cada acción; el segundo otorga a la IA mayor libertad para actuar, con supervisión humana a nivel estratégico en lugar de táctico. Ningún modelo es inherentemente correcto: la respuesta adecuada depende del apetito de riesgo de tu organización, los requisitos regulatorios y la madurez del sistema de IA. Pero Gartner insta a los compradores a preguntar: ¿qué acciones puede realizar el agente de forma autónoma y cuáles requieren aprobación humana? ¿Cómo se aplican barreras de seguridad para decisiones de alto impacto? ¿Se pueden personalizar los niveles de autonomía según el tipo de tarea o nivel de riesgo?
6. ¿Funcionará realmente con tu stack existente?
Las afirmaciones de integración son fáciles de hacer y difíciles de validar. El marco de Gartner pide a los compradores que evalúen la profundidad de la integración nativa con SIEM, EDR, SOAR y plataformas de identidad, en lugar de aceptar un logo de proveedor al pie de la letra. El informe plantea una pregunta que a menudo se pasa por alto: ¿la solución requiere centralización de datos, o puede operar en cualquier entorno como una solución plug-and-play? Para organizaciones con arquitecturas complejas o híbridas, la diferencia entre una herramienta que necesita todos tus datos en un solo lugar y una que puede consultar a través de múltiples fuentes de datos de seguridad es operativamente significativa.
7. ¿Puedes ver realmente lo que hace?
La transparencia podría ser el criterio de evaluación más importante de todo el marco. Gartner pregunta: ¿cómo proporciona la solución explicabilidad para las decisiones y acciones tomadas por el agente de IA? ¿Ofrecen pistas de auditoría legibles para humanos para cada acción automatizada? ¿Cómo manejan los datos sensibles y qué controles evitan el uso indebido del modelo o la fuga de datos? Para industrias reguladas, estos no son lujos, son requisitos. Pero incluso las organizaciones sin mandatos de cumplimiento estrictos deberían preocuparse por la explicabilidad porque afecta directamente si los analistas confían lo suficiente en la herramienta como para adoptarla.
Gartner también advierte que los compradores deben buscar una explicabilidad clara, un manejo seguro de datos sensibles y mecanismos para que la retroalimentación humana influya realmente en el comportamiento futuro del sistema.
El panorama general
El marco de Gartner es valioso precisamente porque resiste el impulso de declarar ganadores en una categoría que aún se está formando. La sección de advertencias del informe previene contra la dependencia excesiva de afirmaciones de marketing, señala que la autonomía total no es viable hoy y destaca costos ocultos relacionados con modelos de precios y complejidad de integración. Para los líderes de seguridad que evalúan agentes de IA para SOC, la conclusión es clara: la tecnología tiene un potencial genuino para reducir la carga de investigación, mejorar los tiempos de respuesta y ampliar la cobertura a volúmenes de alertas que los equipos humanos simplemente no pueden procesar manualmente. Pero hacer realidad ese potencial requiere el tipo de evaluación estructurada y orientada a resultados que la mayoría de los procesos de compra omiten.
Deja una respuesta