L’AI sta assorbendo il lavoro di routine su cui si basa la tradizionale struttura dei livelli del Security Operations Center (SOC). I livelli e i ruoli non stanno scomparendo, ma le attività quotidiane di analisti junior e senior stanno cambiando. Il problema nasce da uno squilibrio evidente: i team SOC generano più alert di quanti ne riescano a investigare. Quasi la metà dei team non ha la capacità di analizzare oltre il 50% degli alert ricevuti ogni giorno, mentre il volume dei dati cresce molto più rapidamente della capacità degli analisti.
Secondo il SentinelOne Annual Threat Report, gli hacker operano ormai a velocità macchina: exploit automatizzati possono scalare privilegi in circa 30 millisecondi e alcune catene di attacco possono passare dall’accesso iniziale alla persistenza in meno di 50 secondi. Nessun workflow manuale può competere con questi tempi. Di conseguenza la struttura tradizionale del SOC si sta trasformando, l’AI sta assumendo sempre più attività di triage e correlazione, ma questo non significa eliminare i ruoli degli analisti. Junior e senior analyst restano centrali, con un percorso di carriera chiaro, a cambiare è il tipo di lavoro che svolgono ogni giorno.
Indice degli argomenti
AI nel SOC: competenze al posto dei volumi di alert
Storicamente, la distinzione tra analisti di Livello 1, 2 e 3 serviva soprattutto a gestire grandi volumi di lavoro. Gli alert venivano indirizzati al livello di competenza corretto, gli analisti junior gestivano i casi più complessi e il tempo dei senior veniva riservato alle attività realmente critiche. Ora che l’AI è in grado di gestire gran parte del triage e della correlazione, il volume non è più la variabile che definisce il ruolo. I livelli degli analisti vengono così ridefiniti in base alle competenze, non alla capacità di gestire volumi di alert.
Questo cambiamento riguarda tutto il SOC: gli analisti di threat intelligence passano dalla correlazione manuale dei feed alla guida dell’intelligence correlata dall’AI; i security engineer dalla scrittura manuale delle regole alla supervisione della detection logic generata dall’AI; i SOC manager dalla gestione tattica alla leadership strategica e alla governance dell’AI. A fare la differenza diventa la competenza specialistica: architetture cloud, identità, tecniche degli attaccanti e conoscenza specifica dell’ambiente. È quel tipo di giudizio che nasce dall’esperienza e dalla capacità di capire cosa sia normale in un determinato contesto, qualcosa che l’AI non può replicare pienamente.
La giornata nel SOC prima e dopo l’AI
Nel modello tradizionale, la giornata di un analista inizia spesso con centinaia di alert non verificati accumulati durante la notte. Diverse ore vengono assorbite dal triage manuale e dal passaggio tra strumenti diversi per ricostruire l’accaduto, mentre la maggior parte degli alert si rivela un falso positivo. Se esiste una minaccia reale, questa emerge solo più tardi, dopo essere stata ricostruita attraverso più console scollegate. Anche la parte amministrativa rallenta il lavoro. Nel modello legacy, la redazione dei report può richiedere molto tempo senza aggiungere valore all’indagine tecnica.
Dal triage manuale ai workflow pre-approvati
Nel modello moderno, invece, l’analista può rivedere e approvare un riepilogo generato dall’AI, aggiungere il contesto specifico dell’ambiente e chiudere il caso in pochi minuti. La giornata parte quindi da una coda già prioritizzata, con verdetti supportati da evidenze e pronti per la revisione. L’analista può concentrarsi sui casi più critici, attivare workflow di risposta pre-approvati e dedicare al threat hunting proattivo il tempo prima consumato dal triage.
I risultati delle indagini basate sull’AI
Secondo due studi IDC commissionati da SentinelOne, i team che utilizzano indagini basate sull’AI registrano tempi di identificazione delle minacce più rapidi del 63% e un’efficienza delle indagini maggiore del 41% (IDC Business Value of Purple AI®, luglio 2025). I clienti di AI SIEM sulla piattaforma Singularity segnalano inoltre operation di sicurezza più efficienti del 55%, una capacità di gestione delle minacce quattro volte superiore e costi delle soluzioni inferiori del 55% (IDC Business Value of Singularity AI SIEM, maggio 2026). In questo modo, il tempo viene spostato verso le attività in cui il giudizio umano è davvero decisivo.
Governance dell’AI e giudizio umano nel SOC
Il tempo recuperato grazie all’AI genera valore solo se viene reinvestito nel giudizio umano. La competenza più importante diventa quindi quella di sapere quando non fidarsi dell’AI e riconoscerne i limiti caso per caso. Il ruolo dell’analista si sta muovendo in questa direzione.
Non si tratta più di accettare automaticamente l’output dell’AI, ma di validarlo, progettare workflow di automazione capaci di operare a velocità macchina, formulare ipotesi utili per il threat hunting e tradurre ciò che l’AI ha rilevato in implicazioni concrete per il business. Gli stessi processi di escalation devono riflettere questo approccio.
I team che stanno acquisendo fiducia in un nuovo workflow tenderanno a inviare più casi alla revisione umana, mentre quelli più maturi potranno restringere progressivamente il percorso di escalation per specifiche tipologie di alert. In ogni caso, è l’analista a definire il confine, non l’AI.
Policy preventive per la risposta automatizzata
La governance della risposta deve inoltre avvenire prima che gli eventi si verifichino. Ogni azione automatizzata deve essere collegata a policy definite in anticipo dagli analisti, così da garantire controllo e tracciabilità. La qualità dell’automazione dipende quindi direttamente dalla qualità del workflow progettato.
Come cambia la carriera degli analisti con l’AI nel SOC
L’evoluzione della SecOps supportata dall’AI aiuta ad affrontare problemi strutturali come burnout e turnover, due rischi importanti per la retention dei talenti nella cybersecurity. In un modello aumentato dall’AI, ogni livello del percorso di carriera nel SOC diventa più strategico: gli analisti junior passano dal triage manuale alla revisione dei verdetti, i senior dalla risposta reattiva al threat hunting strategico, mentre i manager si spostano dalla gestione quotidiana delle emergenze alla progettazione del sistema in cui opera l’intero team.
Le fasi della trasformazione dei workflow
Questa trasformazione non avviene in un unico passaggio, ma per fasi e workflow progressivi. Si parte con il triage assistito dall’AI, validato alert per alert dal giudizio umano; si passa poi all’automazione delle risposte per casi noti e a basso rischio, mantenendo l’approvazione umana per le situazioni nuove; infine, i workflow relativi a pattern di minaccia consolidati possono essere affidati all’AI, mentre gli analisti si concentrano su revisione dei verdetti e hunting. Diverse aree del SOC possono trovarsi contemporaneamente a livelli di maturità differenti.
Partecipa alla community