Analista de seguridad (SOC)

Pasar por cientos de avisos en un turno y decidir cuáles dos merecen que se les mire.

Dar el paso: despertar a gente, sacar un sistema de la red, decirle al negocio que tiene un problema, con información incompleta y antes de poder estar seguro.

Convertir lo que aprendiste de un incidente en una regla que cace el siguiente sin ahogar la cola.

Partir de una hipótesis en vez de un aviso: dar por supuesto que algo ya está dentro e ir a buscarlo.

Una evaluación de estilo de inteligencia con lenguaje de probabilidad calibrada, no una medición: «casi con certeza» y «muy probablemente» son términos definidos en la propia escala del NCSC, que el informe publica junto a los juicios. Su relevancia para esta ocupación es indirecta pero concreta: más ataques y una ingeniería social más eficaz significan una cola de avisos más grande y más ruidosa, que es la tarea más expuesta de esta página, así que la previsión y la automatización apuntan al mismo sitio desde direcciones opuestas. La evaluación juzga además que el incremento a corto plazo viene de la evolución de técnicas existentes y no de técnicas nuevas, y que los usos sofisticados siguen restringidos a actores con datos de entrenamiento de calidad, pericia y recursos; las dos cosas van en contra de las lecturas más dramáticas de este documento.

Una persona con nombre y con posición reconocida predijo algo públicamente, en una fecha, en una declaración atribuible. Se registra para que quede comprobable quién dijo qué y cuándo, y nunca mueve la evaluación de una tarea, porque una predicción no es una observación. Su valor llega después: el registro queda en la misma página que la evidencia sobre esa ocupación, así que quien lee el pronóstico lee al lado el registro de lo que pasó luego. Esa es la rendición de cuentas; este sitio no publica ningún veredicto sobre si un pronóstico se cumplió.

Un estudio sectorial encargado, no una medición de algo que haya ocurrido, razón por la cual está en una etapa que no cambia nada. Lee el mecanismo con cuidado, porque no es el que la mayoría supondrá: la herramienta que nombra es SOAR (orquestación, automatización y respuesta de seguridad), que es automatización de flujos de trabajo, no un modelo de lenguaje. El informe está fechado en octubre de 2022 y el análisis que lo sustenta en diciembre de 2020, así que se escribió antes de que la IA generativa llegara al público; «IA y analítica» aparece en él como un encabezado de tendencia que cubre el aprendizaje automático para priorizar avisos, no modelos de conversación. Lo que afirma en concreto es que SOAR se hará cargo de la monitorización y los informes manuales de ciberseguridad y potencialmente sustituirá tareas centrales como gestionar los sistemas y las operaciones de ciberseguridad, reduciendo con ello la mano de obra necesaria para esas tareas, mientras que quienes ocupan el puesto conservan el análisis de los registros y de los informes. Cubre solo la fuerza laboral de infocomunicaciones de Singapur, agrega entrevistas a partes interesadas en vez de medir el empleo, y el propio informe dice que sus conclusiones se tomaron en un momento dado y que quien las lea después tiene que volver a contextualizarlas.

Una persona con nombre y con posición reconocida predijo algo públicamente, en una fecha, en una declaración atribuible. Se registra para que quede comprobable quién dijo qué y cuándo, y nunca mueve la evaluación de una tarea, porque una predicción no es una observación. Su valor llega después: el registro queda en la misma página que la evidencia sobre esa ocupación, así que quien lee el pronóstico lee al lado el registro de lo que pasó luego. Esa es la rendición de cuentas; este sitio no publica ningún veredicto sobre si un pronóstico se cumplió.

El escalón de entrada en este campo es la cola de avisos, y es el escalón que tiene apuntado el mecanismo de automatización más claro. Eso es un problema de verdad para la profesión y no solo para ti: el criterio que tienen los analistas veteranos se construyó moliendo esa cola, y nadie ha diseñado un sustituto. Llega pronto al trabajo de incidentes, y considera que un equipo que te deje estar dentro de un incidente real vale más que una subida de sueldo.

Dos cifras deciden el futuro de tu equipo y las dos las produces tú: la tasa de verdaderos positivos de tu cola, y cuántas detecciones retirasteis el trimestre pasado. Un equipo que no pueda responder a la segunda verá su presupuesto de herramientas gastado en generar más de lo que ya no puede leer.

Quedarte y reforzarte

Sube por la cola, no avances a lo largo de ella

Quienes sobreviven a la automatización del triaje son los que ajustan lo que genera los avisos, no los que los leen más rápido.

Rehacer el puesto

Sé quien conoce este parque

Toda herramienta necesita una línea base de lo normal y ningún proveedor puede suministrar la de tu empresa. Ese conocimiento es la entrada que no se puede comprar y es de lo que vive la caza de amenazas.

El triaje sí se está moviendo, y por una razón que merece entenderse: es la misma tarea que la de un vigilante mirando señales de cámara, y los humanos fallan en ella del mismo modo, la vigilancia sostenida se desploma en unos veinte minutos mientras que al software no se le hace aburrido. Lo que no se mueve es declarar un incidente, porque esa decisión se toma con autoridad y no con certeza y el coste de ambos errores es grave. El riesgo real para la profesión no es la sustitución: es que automatizar el triaje quita el escalón donde se construía el criterio de los analistas.

Ninguna fecha. La señal es la tasa de verdaderos positivos de tu propia cola y qué parte de tu turno se va en avisos que un sistema podría correlacionar sin ti. Las dos se pueden medir esta semana. La señal organizativa que hay que vigilar es otra y es más predictiva: si tu empleador está hablando de un servicio gestionado, porque la externalización traslada este trabajo sin automatizar nada de él y llega mucho antes que cualquier herramienta.

Escribir la regla es la mitad barata y los modelos lo hacen bien, porque una regla es código con una salida comprobable. Decidir qué detectar es la otra mitad y depende de saber qué aspecto tiene lo normal en tu parque concreto, un conocimiento que tienen personas y que casi nunca está escrito. La cautela es que escribir reglas barato empeora el problema de los falsos positivos, porque la restricción nunca fue escribirlas: un equipo que produce diez veces más detecciones tiene que ser diez veces más disciplinado retirándolas, y casi nadie dota personal para eso.

Protegida frente a la automatización, sí: la caza se define por la ausencia de disparador, lo que quita la entrada que necesita toda herramienta de detección. Pero es la primera actividad que se recorta cuando la cola está ruidosa, porque no produce ni ticket ni métrica. Ese es el patrón que merece interiorizarse: una tarea puede ser enteramente humana y aun así desvanecerse de la semana de un equipo sin que nadie decida quitarla, y en esta ocupación es así como suele ocurrir.