ИИ забрал у джунов рутину, а заодно и школу молодого бойца в SOC

Swimlane опросила 500 сотрудников центров мониторинга, и результат получился с подвохом. Почти 9 из 10 участников уже работают с ИИ и заявили, что работать стало приятнее, но примерно каждый четвёртый признал, что автоматизация тормозит рост его навыков. Рутину отдали машине, а вот на чём теперь будут учиться джуны, никто толком не придумал.

Новичок в SOC годами разбирал один и тот же фишинг, гонял через очередь расследований знакомые образцы малвари и под конец смены оформлял очередную карточку инцидента. Но к сотому кругу этой карусели в голове складывалось ощущение нормы, и любая странная активность начинала светиться как ёлка на Новый год.

Учёба новичка держалась на трёх занятиях, которые сейчас уходят к ИИ:

• разбор одного и того же фишингового приёма десятки раз подряд;
• прогон знакомых образцов вредоносного ПО через очередь расследований;
• оформление карточки инцидента в конце смены.

Самим аналитикам эта помощь нравится, ведь рутины в смене стало меньше. Но около четверти участников заявили, что автоматизация затормозила развитие их навыков, и радости в них не меньше, чем у коллег, которым ИИ помог учиться. Довольны работой 91% опрошенных из первой группы и 92% из второй. Выходит, вопрос про удовлетворённость не показывает, кто растёт в сильного специалиста по расследованиям, а кто просто радуется, что тикетов поубавилось.

Интересно, что лишь 1% опрошенных верит в неизменность карьерного пути аналитика. Остальные ждут перемен, и серьёзных.

Чаще всего респонденты ждут новых должностей, где людям придётся контролировать, проверять и координировать ИИ-системы, то есть работать диспетчером у собственных ботов. Участники опроса разошлись в прогнозах для профессии:

• появятся должности для тех, кто управляет ИИ-системами и проверяет их работу;
• почти половина опрошенных уверена, что первую должность получить станет сложнее из-за выросших требований или сокращения вакансий для новичков;
• лишь небольшая доля считает, что классические позиции аналитиков просто исчезнут.

Задачи, которые сейчас передают ИИ, раньше служили тренажёром для джунов. Новичок разбирал десятки похожих инцидентов, ошибался, сравнивал результаты и постепенно начинал видеть закономерности. Теперь значительную часть этой работы делает машина, а планка на входе растёт, поэтому нижние ступени карьерной лестницы могут просто исчезнуть.

Бизнесу нужен человек, который умеет ловить ИИ на ошибках, но навык поиска косяков растёт только на живых кейсах, а кейсы теперь разбирает та самая машина. Работодателю придётся создавать учебные задачи и тренировочные среды намеренно, как песочницу для первокурсников.

Российские SOC, которые подключают ИИ-ассистентов к мониторингу, упрутся в ту же стену. Если сегодня отдать машине весь первый уровень, через пару лет окажется, что смена состоит из сеньоров, а выращивать новых не на чем.

Более девяти из 10 участников уверены, что заметят кривую или неполную рекомендацию ИИ, а собственной оценке доверяют в трёх ситуациях:

• доказательства расходятся с выводом ИИ;
• предложенное действие способно нарушить работу бизнеса;
• под ударом оказывается критическая инфраструктура.

Чрезмерная зависимость аналитиков от подсказок системы возглавила список опасений при расширении применения ИИ, на втором месте риск раскрытия чувствительной информации. Кто редко проверяет ход рассуждений ИИ сам, тот реже тренируется искать в нём ошибки, и человек вроде бы отвечает за решение, а навык проверки машины тем временем ржавеет.

Три четверти руководителей заявили о широком применении ИИ сразу в нескольких направлениях, среди рядовых специалистов это положение дел описала примерно половина. Начальство чаще сообщало о перераспределении обязанностей, росте ресурсов у команд и повышении удовлетворённости сотрудников. Две группы работали в разных компаниях, поэтому доказательством того, что боссы не понимают свои команды, это не служит, но разрыв любопытный. В организациях от 10 000 сотрудников участники в два раза реже, чем коллеги из компаний среднего размера, рассказывали о заметном росте удовлетворённости.

Около четырёх из 10 участников рассказали, что их компании официально пересмотрели обязанности аналитиков и направили их в сторону более ценной работы. Примерно столько же столкнулись с обратным вариантом, где обязанности поменялись сами собой. Среди сотрудников с официально переработанными ролями 71% заявили, что ИИ заметно повысил их удовлетворённость, а там, где всё менялось по умолчанию, 29%.

Уточняется, что причину разницы исследование не доказывает, ведь компании, которые заранее оформляют перемены, могут отличаться от остальных и культурой, и управлением, и вложениями в развитие людей.

Бумажная фиксация новой роли позволяет руководителю закрыть четыре вопроса:

• что конкретно теперь делает аналитик;
• по каким критериям оценивают его работу;
• как ему перейти на следующий уровень;
• продолжает ли он осваивать новые навыки.

Российским командам разумно закрепить роли на бумаге до внедрения ИИ, а не после первых потерь в кадрах, иначе джуны будут учиться методом проб и ошибок на боевых инцидентах.

Эксперты CISOCLUB отметили, что опрос Swimlane фиксирует не болезнь ИИ, а дыру в системе обучения. Рутина в SOC всегда работала бесплатным тренажёром для джунов, и, убрав её, компании остались без тренажёра и без замены. Закрыть пробел можно учебными полигонами с симуляцией инцидентов, разбором архивных расследований без подсказок машины и дежурствами в паре с наставником. Рост навыков стоит мерить отдельными метриками, например по времени, за которое новичок самостоятельно доводит расследование до вывода. Навык проверять ИИ по природе сеньорский, поэтому сеньоров придётся выращивать внутри компании, а не ждать готовыми с рынка. Если этим не заняться сейчас, через пару лет в SOC будет много довольных людей и мало тех, кто способен заметить ошибку машины.

Ранее сообщалось, что исследование SkillBit выявило дефицит стартовых вакансий в сфере кибербезопасности: 70% компаний практически не нанимают специалистов с опытом менее двух лет. При этом 57% руководителей считают, что новичку требуется около шести месяцев, чтобы выйти на полную продуктивность. Одновременно 71% участников исследования готовы отказаться от многодневных обучающих курсов в пользу регулярных занятий продолжительностью 20 минут в неделю. В итоге начинающие специалисты оказываются востребованы рынком, но возможностей для входа в профессию остаётся немного.