La próxima generación de SOCs cómo construirlo: AAFO (Agencias de Seguridad Genética)
El término SOC (Centro de Operaciones de Seguridad) es un término que nadie conoce como persona segura. Pero es un poco incómodo en los dos años: SIEM recoge troncos, terminales de captura EDR, AI SOC le ayuda con las alertas - cada anillo se está volviendo más inteligente, y cuanto más la línea de policía está clara, más gente trabaja.
Así surgió un nuevo concepto en la industria:ASOP (Plataforma de Operaciones de Seguridad Genética, Smart Body Secure Operating Platform)No lo sé. No es otro producto SOC, sino un ángulo diferente. Este artículo lo deja claro: qué es, y dónde está, cómo aterrizó, qué debe preguntar antes de comprarlo.
I. CONTEXTO PREPARADO: ASO es un modelo operacional
ASO (Agencias de Seguridad Genética, Operadores Inteligentes)Modelo empresarial: Dejemos que el cuerpo inteligente y el flujo de trabajo definitivo de AI trabajen juntos para trabajar con seguridad de la señal a la resolución.
Atención, no sólo alarma SOC. Solicitud de identidad, detección de incumplimiento, cumplimiento forense, error de configuración de la nube -Cualquier trabajo que caiga en la cola manual de hoy.. La persona es responsable de establecer el nivel de autonomía y mantener siempre el control.
La plataforma para ejecutar este patrón es ASOP. Es seguro.Plano de controlCuenta con un mecanismo integrado, de flujo de trabajo, inteligencia, caso y gobernanza en su entorno.
II. "Intellectual" y "stream" son diferentes, pero ambos
Es una distinción crucial. Hay mucha confusión:
- AI Smart Body: Mira la situación actual, avanza hacia el razonamiento objetivo, y actúa a través de las herramientas que aprobó. Está basado en lo que acaba de encontrar.
- Workstream: Siempre dando los mismos pasos, exactamente lo que le dijiste.
Ambos, y uno de ellos, necesitan ser disciplinados “donde se permita cada vínculo”. Eso es lo que significa controlar el avión.
III. Un gráfico que entiende el límite ASO
Imagina una operación segura como un espectro de izquierda a derecha:
- Izquierdaconducto de datos, ingestión de registros, descomposición, almacenamiento - territorio SIEM
- Centre• Pruebas, remisión, investigación
- Bien.Recuperación, contención, recuperación y retroalimentación que fluyen de nuevo a pruebas
AI SOC sólo cubre el medio.Lee datos de alarma, razonamiento y le da una conclusión. No necesita permiso para escribir — es por eso que es fácil de construir, todo el mundo lo está haciendo, y se detiene allí. El resultado de un sistema que sólo concluyó los motores y reparó a la gente, fue que las alarmas se cerraron más rápido, pero el atraso permaneció tan alto.
ASO Overwrite mid-to-rightEs decir, desde el momento en que la alarma se activa hasta el momento en que el problema es realmente fijo. También se extiende a la izquierda para la prueba - no para la realización de pruebas (que es también el trabajo de las herramientas de seguridad SIEM/EDR/Log), sino para operar los perímetros para detectar: reportar erróneamente reglas, buscar áreas ciegas, verificar si la prueba sigue siendo eficaz después de cambios ambientales y re-rutar hallazgos en las reglas.
Hay una buena:Una regla fue activada 847 veces el mes pasado, 812 veces automáticamente.- Habla en sí mismo. Son los sistemas que contienen estos datos de resultados que pueden actuar sobre esta información.
Una frase resume la diferencia entre tres herramientas:Las herramientas que sólo se pueden ver no pueden actuar, los instrumentos que sólo pueden actuar no pueden ser razonados, y los instrumentos que sólo pueden ser razonados son insensatos.
IV. Por qué “plano de control”
En los últimos 10 años,Gravidad de datos: telemetría de concentración, visibilidad, visión. Esta lógica funcionó hasta que la cantidad de datos superó la capacidad analítica.
Los próximos 10 años seguiránGravidad de corriente de trabajo: Quien tenga el flujo de reparación, tiene el resultado. La falta de visibilidad de la operación es un costo costoso de vigilancia.
Esto explica un fenómeno contraintuitivo:AI, la asignación no redujo la carga de trabajo. Sólo movió el trabajo.No lo sé.
Antes de AI, la cola estaba limitada a la capacidad humana, por lo que se suprimieron las alertas de bajo riesgo y se cerró toda la gama de pruebas. AI tomó el techo, y simplemente subió - diez veces, incluso una pequeña tasa de promoción, significa muchas veces más toma de decisiones manuales que en el pasado. La máquina absorbe la cantidad de proceso, no el juicio. La nueva limitación se llama MTTD (Mean Time to Decision, average decision time)No lo sé.
Las colas de toma de decisiones están vacías sólo cuando hay algo que realmente actuar. Esa cosa es el avión de control.
V. POR QUÉ NO SOC
Esto hace de ASO una plataforma, no una herramienta SOC de plástico.
Vea lo que necesita cada programa inteligente de seguridad corporal:Integración, organización, seguimiento de casos, colaboración manual de aprobación, gobernanza y auditoría con autoridad escritaNo lo sé. IAM inteligente, seguridad en la nube, GRC, AppSec, búsqueda de amenazas, trabajo de detección - todos necesitan la misma base.
Las compras separadas ascienden a cinco reconstrucciones de la misma infraestructura: cinco cadenas de auditoría, cinco secuencias de aprobación y cinco cosas que dan al equipo de cumplimiento un dolor de cabeza. Corre en un ASOP, y el contexto es reciprocado - activos, exposición, identidad, historia de casos están todos en un solo lugar, alimentando cada inteligencia.
Este es el verdadero significado de "hacer el trabajo de seguridad inteligente":No todas las tareas tienen un cuerpo inteligente encima, sino un plano de control, que necesita un cuerpo inteligente cuando se deduce, y un flujo de trabajo definitivo.
VI. Cómo funciona ASOP: bucle SUDA
En el caso de Blink, funciona el ciclo de SUDA...Véase (véase), Underwood (entender), Decide (decision-making), Act (action)Cada paso de la manera en que hay gobernanza y control humano.
- See: Ingestión de una señal de cualquier herramienta en un almacén de tecnología
- Underwood: entidad de retiro, eutrofización, des ponderación, asociación
- Decidir: Conclusiones, evaluaciones de la gravedad y los riesgos, recomendaciones para la acción
- Leyes: contención, erradicación, recuperación, impuesta por el marco de aplicación
Los principios básicos del diseño son:Cada etapa se ejecuta en la planta ejecutiva más barata que puede resolverlo.La lista de verificación es definitiva y debe ser juzgada antes de ser modelada. Cada alarma ejecuta un modelo grande de primera línea que no puede permitirse -- es equivalente a convertir su factura de ficha en una nueva cuota de autorización SIEM.
Una frase:Razonamiento de inteligencia, ejecución de flujos de trabajo, ejecución del marco de ejecución.
VII. ASOP contra SOAR vs AI SOC
- SOARTodo depende de ti. Es exactamente lo que le dijiste. No es un juicio.
- AI SOCEs una buena idea ir a la clínica, dejar de sacar conclusiones, sólo SOC, o la forma en que lo obtiene del fabricante.
- ASOP: Un programa de cuerpo inteligente predefinido de dominio cruzado está disponible el primer día y se puede personalizar - porque no dos ambientes parecen el mismo
VIII. ¿Cómo se puede garantizar el control? La diferencia entre la guardia y el arnés
Es toda la idea del diseño industrial que creo que vale la pena copiar.
La mayoría de las prácticas en la industria son que un modelo de línea delantera se utiliza para gestionar el diagnóstico, las conclusiones y las respuestas, y los límites se escriben rápidamente.Pero la valla de nivel rápido es esencialmente una petición para que un modelo funcione correctamente.- Puede ser mal leído, ignorado o dicho alrededor.
Y... Harness es una limitación a nivel de plataforma donde la inteligencia no puede ver, hablar o razonar.: herramienta para la territorialización de roles, ejecución cuarentena, tapa de recursos, interruptor. Corre bajo el modelo, el impulso no se puede inyectar lo suficiente.
La diferencia es:Guardrail sólo está pidiendo buen comportamiento, Harness es vinculante.
Blink lo coloca sobre el terreno en cuatro mecanismos fiduciarios verificables:
- Agente Harness.Herramientas de campo, segregación, tapas de recursos, interruptores, todos obligatorios bajo modelos
- Challenger Patterson: Un retador independiente atacó cada conclusión antes de que el adjudicador lo dejara ir
- Exposición Cero Credencial: movilidad corporal inteligente, llave sujeta por bóveda y flujo de trabajo controlado
- Autoridad no Autoridad: Los cuerpos inteligentes sólo pueden estar sujetos a la acción de habilidades auditables pre-escribidas y no se basan en la autoridad permanente
La vigilancia también se mantiene. The AI Guide issued by the CISA Joint Ally Group recommends a safe design approach.Piensa en la inteligencia como una identidad irrefutable, dando privilegios mínimos.No lo sé. La versión práctica es planificar la identidad corporal inteligente y completar la cadena de auditoría antes de ampliar la autonomía, más que después. La realidad es que la mayoría de las organizaciones aún no han alcanzado este punto - una encuesta de identificación de la Alianza de Seguridad de la Nube en 2026 encontró que el gobierno de Estados Unidos no está en condiciones de hacerlo.Sólo el 18 por ciento de las empresas tienen un alto nivel de confianza en su propio IAM para gestionar su identidad de inteligencia.No lo sé.
IX. Cambio de métricas.
Y si su SOC sigue informando, "Cuántas alarmas cada analista cierra en su clase", mide un proceso que ya no existe.
El objetivo es Alertas Triaged Date la vuelta Resoluciones autónomas y humanas sobre la cargaNo lo sé. La pregunta va de “cuántas veces apagamos la alarma” a “cuántas veces lo arreglamos”.
Este indicador es incómodo porque expone la brecha. Pero también es el único indicador que puede vincular los insumos operacionales seguros y los resultados de seguridad.
Cómo aterrizar: un camino a la madurez
Use no un interruptor, es un camino:
Automatización artesanal AI Liderazgo inteligente auxiliar y Marco de Aprobación para la Auto-Operación
La confianza se gana, no se otorga. Partiendo de donde la carga de los dispensarios es más pesada, ya que la confianza se construye gradualmente, entonces la misma plataforma se utiliza en la siguiente área: integración, gestión de casos, flujo de aprobación, cadena de auditoría, es lo que significa “hacer en la plataforma”.
Recuerda:Este es un cambio humano, de proceso y de tecnología, no un ejercicio de adquisición.
XI. CÓMO DETERMINAR
No mires la lista funcional, en control y cobertura. Nueve puntos de inspección:
- Ciclo cerrado completo: consulta, investigación, respuesta, no una conclusión y transmisión
- Permano cruzadoSoc, IAM, VM, GRC, cloud security, not just SOC
- neutralidad e integración de los proveedores: Ser capaz de combinar las herramientas que ya tiene, no bloquear la bóveda de tecnología
- Preset y personalizable: Hay un plan el primer día y puede cambiar, no una caja negra
- Control de propiedad: Los niveles de autonomía se fijan rutinariamente, ajustados para el crecimiento de la confianza
- Persona predeterminada en el anillo: Operaciones de alto riesgo abiertas con aprobación
- Auditorías, pruebas disponibles: Toda decisión y acción puede ser revisada y exportada para auditoría
- Las pruebas están en rango.: Áreas cerradas modificadas, validadas y devueltas de resultados - pero la plataforma no pretende que sea un motor de prueba
- Velocidad de despliegue: Unos días de resultados reales, no un proyecto a largo plazo
¿Cuál es el efecto real?
Blink dio dos casos públicos (datos de fabricación, consulte):
- Seguridad humana: 123 amenazados cuerpos de inteligencia de caza, 11 de los cuales requerían revisión manual, 2 de los cuales eran descubrimientos reales que requerían parches, y cuerpos inteligentes salvaron equipos más de 100 horas de trabajo manual
- Una compañía de seguros global.: flujo de trabajo de cuerpos inteligentes expandido de 5 a 30 + y tiempo de resolución de alarmas 15 minutos a 1 minuto. Toma. Internos
Blink afirma tener 30,000+integrador, 500+preset plantillas de cuerpo inteligente que financian más de $100 millones. Estas cifras llevan la posición del fabricante, pero la dirección es clara:El resultado nunca fue “cuántas alarmas se han apagado” sino “cuántas problemas se han solucionado”.
Al final: una migración paradigmática
Mirando hacia atrás, la era SIEM resuelve "ver", la era SOAR resuelve "aplicable" y la era AI SOC resuelve "juicio". Y ASOP está tratando de resolver el último enlace:Convirtiendo el juicio en un círculo cerrado, permitiendo que la acción aterrice realmente.
Vale más que unos pocos cuerpos inteligentes.Moving the focus of safe operation from "data" to "workstream"No lo sé. Quien tenga el flujo de reparación, tiene los resultados: la frase en los próximos cinco años puede ser más importante que cualquier detalle técnico.
Por supuesto, no te pierdas en el concepto. ASOP es propuesto actualmente por el fabricante y definido por el fabricante (BlinkOps, Elastic, Optiv, SEC1, todos en esta dirección), y las normas y los límites todavía están en forma. La verdadera base del juicio es simple:¿Podría sacar a tu equipo de la "Llama de Policía" y arreglar el verdadero problema?
AI SOC le da una conclusión, ASOP le ayuda a convertirlo en una solución.
Referencia: BrinkOps, ¿Qué es un programa de operaciones de seguridad de la agencia, definición de operación inteligente elástica, programa ASOP de Optiv / SEC1, guía de inteligencia del cuerpo inteligente de CISA, 2026 Encuesta de identidad de la Unión de Seguridad en la nube