セキュリティアナリスト(監視運用)

一回の勤務で何百もの警報に目を通し、見る価値のある二件を決める。

宣言すること——人を叩き起こし、ある系を回線から外し、事業側に問題があると告げる。不完全な情報の上で、確信が持てるより前に。

一件の事案から学んだことを、待ち行列を溺れさせずに次を捕まえる規則へ変える。

警報ではなく仮説から始める——何かがすでに内側にいると仮定して、それを探しに行く。

較正された確率の語彙を使う情報機関ふうの評価であって、測定ではない——「ほぼ確実」「可能性が高い」は、この機関自身の尺度の上で定義された語であり、報告書は判断とともにその尺度も公表している。この職業との関わりは間接的だが具体的である——攻撃が増え、人を欺く手口がより効くようになることは、警報の待ち行列がより大きくより騒がしくなることを意味する。それはこのページで最も晒された業務であり、つまりこの予測と自動化は、反対の方向から同じ場所を指している。この評価はまた、当面の押し上げが新奇な手口ではなく既存の手口の進化から来ること、そして高度な使い方は、質のよい学習データと専門性と資源を持つ主体に限られ続けることも判断している——そのどちらも、この評価の最も劇的な読み方に逆らう。

立場のある名指しの人物が、ある日付に、帰属のつく言明として何かを公けに予測した。誰がいつ何を言ったのかが確かめられるまま残るように記録するのであり、そして業務の判断を決して動かさない。予測は観測ではないからである。その価値は後から来る——この記録は、その職業についての証拠と同じページの上に載るので、予測を読む人は、そのあと何が起きたかの記録を隣で読むことになる。それが決算である。この site は、ある予測が当たったかどうかについて何の判定も公表しない。

委託された分野の調査であり、起きたことの測定ではない。だからこれは、何も動かさない区分に置かれている。仕組みを丁寧に読むこと。それは大半の読者が思い込むものではないからである——名指しされている道具は SOAR、すなわちセキュリティの統制・自動化・対応であり、それは言語モデルではなく業務の流れの自動化である。報告書は2022年10月付で、もとになる分析は2020年12月付なので、生成AIが一般に届く前に書かれている。そこに出てくる「AIと分析」は、対話モデルではなく、警報の優先順位づけへの機械学習を覆う流行の見出しである。具体的に主張しているのは、SOAR が手作業でのサイバー監視と報告を引き取り、セキュリティの仕組みと運用の管理といった中心の業務を置き換えうること、それによってそれらの業務に必要な人員が減ること、一方で職に就いている人は記録データと報告の分析を保ち続けること、である。対象はシンガポールの情報通信の働き手のみであり、雇用を測るのではなく関係者への聞き取りを束ねたものであり、そして報告書自身が、その知見はある時点で取られたものであり、のちに読む者がそれぞれの文脈に置き直さなければならないと述べている。

立場のある名指しの人物が、ある日付に、帰属のつく言明として何かを公けに予測した。誰がいつ何を言ったのかが確かめられるまま残るように記録するのであり、そして業務の判断を決して動かさない。予測は観測ではないからである。その価値は後から来る——この記録は、その職業についての証拠と同じページの上に載るので、予測を読む人は、そのあと何が起きたかの記録を隣で読むことになる。それが決算である。この site は、ある予測が当たったかどうかについて何の判定も公表しない。

この分野の入口の段は警報の待ち行列であり、そしてそれは最もはっきりした自動化の仕組みが向けられている段である。それはあなただけでなく、この職業にとって本物の問題である——上級のアナリストが持っている判断は、その行列をすり潰すことで築かれたものであり、その代わりを誰も設計していない。事案の対応に早く近づくこと。そして、本物の事案に同席させてくれるチームは、昇給より値打ちがあると考えること。

あなたのチームの先行きを決める数字は二つあり、そのどちらも自分で出せる——自分の待ち行列の本物の割合と、前四半期に退役させた検知の数である。二つ目に答えられないチームは、すでに読みきれていないものをさらに生み出すことに、道具の予算を使われることになる。

留まって強くする

行列に沿ってではなく、行列の上流へ動く

仕分けの自動化を生き延びるのは、警報をより速く読む人ではなく、その警報を生んでいる設定を調整する人である。

職の形を組み替える

この環境を知っている人になる

どの道具も正常についての基準を必要としており、あなたの会社のためのそれを提供元は供給できない。その知識は何ものも買えない入力であり、そして探索が動いている燃料でもある。

仕分けは本当に動いている。そしてその理由は理解する価値がある——それは警備員がカメラの映像を見張るのと同じ業務であり、人は同じ形で失敗する。持続的な見張りはおよそ二十分で崩れ、ソフトは退屈しない。動いていないのは事案を宣言することである。その判断は確実さではなく権限によって下され、二種類の誤りの代償がどちらも重いからである。この職業にとっての本当の危険は置き換えではない。仕分けを自動化することが、アナリストの判断が築かれていた段を取り除くことである。

日付は出さない。信号は、自分の待ち行列の本物の割合と、一回の勤務のうちどれだけが、自分なしでも仕組みが相関づけられる警報に使われているかである。そのどちらも今週測れる。組織の側の信号は別で、しかもより予測力がある——自分の雇い主が運用受託のサービスの話をしているかどうかである。外部委託は、何も自動化しないままこの仕事を移すし、どの道具よりずっと速く届く。

規則を書くことは安い半分であり、モデルはそれをうまくやる。規則は、出力を試せるコードだからである。何を検知すべきかを決めることはもう半分であり、それは自分の環境で正常がどう見えるかを知っていることに依る——人が握っていて、ほとんどどこにも書かれていない知識である。注意すべきは、規則を書くのが安くなることが誤報の問題を悪くすることである。制約はもともと書くことではなかったからである——検知を十倍出すチームは、それを退役させることについて十倍規律正しくなければならず、そしてそのために人を置く者はほとんどいない。

自動化からは守られている——探索は引き金がないことによって定義される営みであり、それは、どの検知の道具も必要としている入力を取り除く。とはいえ、待ち行列が騒がしいとき真っ先に削られる活動でもある。対応票も指標も生まないからである。それが身につけておく価値のある型である——ある業務は、まるごと人のものでありながら、誰もそれを取り除くと決めないままチームの一週間から消えうる。そしてこの職業では、それが通例の消え方である。