Entre tanta IA, no se nos puede olvidar el analista.

Después de bucear entre artículos, post de Linkedin y blogs que hablan del SOC AI-native, da la sensación de que todo pasa por reestructurar la arquitectura, analizar datos cada vez más rápido o de tener agentes colaborando entre sí… pero se habla muy poco de lo que pasa en la silla del analista.

Si lo miramos desde el enfoque de experiencia de usuario, la frontera entre “nuestro producto tiene IA” y “tenemos un producto AI-native” es mucho más nítida.

Cuando hablamos únicamente de aplicar IA, vemos como, por regla general, se pega un modelo encima del SIEM y confiamos ciegamente en que ese nuevo scoring, ese “copiloto” o ese chat de lenguaje natural reduzca la carga de trabajo del analista. Es una capa adicional: más sugerencias flotando por la pantalla, más resúmenes generados y más paneles con métricas. Pero el flujo de trabajo del analista no ha cambiado, sigue teniendo que hacer aquellas tareas repetitivas, sólo le hemos añadido aún más cosas que mirar.

Sin embargo, si hablamos realmente de un flujo en un SOC AI-native, el punto de partida es otro: empezamos rediseñando todo el flujo de trabajo del analista, las vistas, los timelines y todas aquellas acciones que realiza repetidamente, para que la IA quede integrada en cada paso crítico del proceso.

En Lobera, esta diferencia la hemos vivido en todo nuestro proceso de investigación y conceptualización de la experiencia de usuario de XGuardian. Un SOC no se convierte en AI-native sólo porque puedas preguntarle cosas en lenguaje natural, ni porque tenga un widget muy mono flotando en la esquina inferior derecha de la pantalla. Empieza a ser AI-native cuando el analista deja de saltar entre 10 pestañas abiertas de su navegador para reconstruir lo que ha pasado, y recibe la información necesaria en el momento adecuado, en lugar de enfrentarse a 20 dashboards más que revisar.

Desde la visión UX, nos alejamos de la pregunta de  “¿Qué modelo usamos?”, para centrarnos en qué queremos cambiar exactamente en el día a día del analista. Si después de integrar IA, el analista sigue haciendo los mismos clics, abriendo las mil pestañas y tomando las decisiones con el mismo nivel de incertidumbre, no hemos construido nada AI-native, sólo hemos puesto un decorado más moderno a la interfaz.

A veces, para llegar al objetivo de construir algo AI-native que de verdad merezca la pena, hay que tomar decisiones incómodas de diseño: ¿En qué momentos del flujo tiene sentido que la IA intervenga proactivamente, y en cuáles es mejor que solo responda cuando el analista se lo pida? ¿Qué feedback necesita el analista? ¿Que acciones podemos automatizar?

Ahí es donde, a nuestro juicio, se pierden muchos de los discursos actuales sobre Inteligencia Artificial: se habla mucho de modelos y datos, pero sin la experiencia del analista no cambia de forma tangible, lo que hemos construido no es un SOC AI-native, es le mismo SOC de siempre con más colores y degradados. 

Referencias: 1. https://www.cio.com/article/4067879/the-ai-native-soc-how-generative-and-agentic-ai-are-reshaping-cybersecurity-operations.html?utm_source=chatgpt.com