Historia de Victrix con Swimlane sobre el reemplazo de SOAR por un mes

Reemplazamos nuestro SOAR en un mes. Aquí les contamos la historia real de por qué lo hicimos y qué sucedió después.

Quiero ser sincero con ustedes: lo que estoy a punto de describir no comenzó como una historia de éxito.

Comenzó con una victoria. Victrix'sSEvOC, el SOC gestionado Me presenté a las elecciones en Quebec y gané una importante licitación. Cuarenta y cinco nuevos clientes del sector parapúblico, todos a la vez. Cientos de miles de nuevos dispositivos que proteger. Era exactamente el tipo de crecimiento que buscábamos.

Luego surgió la pregunta que nadie había respondido completamente: ¿cómo podemos atenderlos a todos?

No podíamos contratar a veinte analistas nuevos. Ese nunca fue el plan. El plan era automatizar nuestro crecimiento con una arquitectura SOAR. Así que eso fue lo que hicimos. Opciones limitadas: necesitábamos residencia de datos canadiense. Invertimos en una. La pusimos en funcionamiento. Nos fijamos el objetivo de automatizar al menos 20% de nuestros tickets entrantes durante el primer año.

A finales de ese año, tuve que comunicar algo incómodo a mis superiores: no habíamos alcanzado el objetivo. No porque el equipo no se esforzara, sino porque la plataforma no funcionaba para nosotros.

No digo esto para avergonzar a nadie. Todos los proveedores tienen dificultades iniciales. Pero cuando tus analistas evitan activamente tu SOAR porque tiene demasiados errores como para confiar en él, no se trata de un problema del producto que puedas esperar a que se solucione solo. Es una señal de alerta.

Así que volvimos a buscar.

Los 3 requisitos en los que no podíamos transigir

Para cuando decidimos cambiar, sabíamos exactamente lo que necesitábamos. 

#1: IA lista para producción  

Integrado en la plataforma. No prometido en la hoja de ruta. No es una herramienta añadida junto a SOAR. La IA está integrada en los manuales de procedimientos, realizando la investigación y correlación que estaba agotando a nuestros analistas. Nuestro proveedor anterior lo había prometido. Nunca lo vimos en producción.

#2: Residencia de datos canadiense

Esto no es opcional para nosotros. Los datos de nuestros clientes permanecen en Canadá. Ese requisito eliminó muchas opciones y, sinceramente, fue la razón por la que no elegimos Swimlane la primera vez. De hecho, Swimlane fue nuestra primera opción un año antes. Pero entonces no tenían un inquilino en Canadá, así que buscamos otra alternativa.

#3: Un socio que comprende y apoya a los MSSP.

Un proveedor de seguridad gestionada no es lo mismo que una empresa que opera un único SOC interno. Tenemos docenas de entornos de clientes, docenas de conjuntos de herramientas diferentes y necesitamos una plataforma diseñada para esa complejidad. El equipo de soporte anterior nunca lo entendió del todo.

La llamada que lo cambió todo

Aproximadamente seis meses después de que comenzáramos a buscar, Swimlane se puso en contacto con nosotros. Habían conseguido un inquilino canadiense. ¿Seguíamos interesados?

No lo dudé. Sabía lo que tenía que hacer. Tenía que convencer a mis superiores de que debíamos desmantelar el sistema SOAR en el que habíamos invertido un año, migrarlo todo y hacerlo rápido. No fue una conversación fácil. Pero creía en ello y defendí mi postura.

Luego llegó la parte para la que realmente no estaba preparado.

Por qué esta vez fue diferente 

El equipo de Swimlane trabajó en paralelo con nosotros durante todo el proceso. Mientras ellos reconstruían nuestras integraciones y flujos de trabajo, mi equipo recibía capacitación. Creamos algunos manuales de procedimientos juntos. Swimlane los revisaba y nos decía: "Lo lograron, sigan adelante". Fue una forma de trabajar completamente diferente. No se trataba de un proveedor que simplemente nos entregaba documentación y nos deseaba suerte, sino de una verdadera colaboración.

“Si tenemos que trabajar día y noche, incluso los fines de semana, para lograr este cambio”, me dijo mi equipo, “lo haremos”. Y lo decían en serio. Había una energía en torno a esta migración que nunca había visto con la plataforma anterior. La gente quería migrar.

Lo que notamos de inmediato

Lo primero que noté fue la adopción. Todos los analistas que habían estado ignorando nuestro SOAR y trabajando manualmente ahora usaban Turbine. Todos ellos. Desde el primer día. Eso por sí solo me indicó algo importante: cuando una herramienta es realmente buena, no hace falta obligar a la gente a usarla.

El segundo aspecto fueron las integraciones. Con nuestra anterior solución SOAR, cada herramienta en cada entorno de cliente requería su propia integración independiente. Con Turbine, creamos un único playbook y un único conector para una categoría EDR. Ese playbook se ejecuta con Microsoft Defender, CrowdStrike o SentinelOne. La lógica es la misma, pero el conector es diferente. También desarrollamos una aplicación empresarial de Azure que centraliza la gestión de permisos para todos nuestros clientes. La combinación es tan sencilla que no la había visto antes.

El tercer aspecto fue la IA. Y en esto quiero detenerme un momento, porque es importante.

La IA que realmente cumple lo que promete

Comenzamos a integrar la IA de Swimlane en nuestros manuales de procedimientos. La IA se encarga de la investigación: correlaciona las señales, analiza la alerta y explica su conclusión al analista en un lenguaje sencillo. El analista la lee, toma la decisión y cierra el caso. Lo que antes requería una hora de trabajo manual minucioso, ahora se completa en minutos.

Hago un seguimiento de cada caso en el que la IA emite una recomendación. Quiero saber con qué frecuencia el analista está de acuerdo con ella.

Hasta ahora: el cien por cien de las veces.

Cada una de las recomendaciones que Turbine ha hecho en producción, el analista ha llegado a la misma conclusión de forma independiente. 

No estoy listo para afirmar que la IA tomará el control por completo. Todavía estamos en la fase en la que los humanos confirman cada decisión. Por ahora, es lo correcto. Pero una vez que un tipo de caso tenga un historial suficientemente extenso, dejaremos que la IA lo resuelva sin la aprobación de un analista. Esa transición es inminente. Los datos lo respaldan.

Adónde vamos

En un plazo de seis meses, planeo reubicar a 50% de nuestros analistas fuera del trabajo de Nivel 1 por completo. No los despediré, sino que los ascenderé a tareas más estratégicas e interesantes. Les asignaré responsabilidades de Nivel 2 y Nivel 3. Proyectos de seguridad. Búsqueda de amenazas. Trabajo que realmente requiera un cerebro humano, no solo un par de ojos humanos para confirmar lo que el software ya ha determinado.

También planeamos ampliar el uso de Turbine. La gestión de vulnerabilidades está en nuestra hoja de ruta. El sistema de informes está cambiando. Es posible que el sistema de gestión de incidencias se integre completamente en Swimlane. En Victrix estamos desarrollando una plataforma de ciberseguridad más amplia, y Turbine ocupa un lugar central en ella. 

Un consejo si estás donde estábamos nosotros

Si eres un proveedor de servicios de seguridad gestionados (MSSP) que utiliza una plataforma SOAR y tus analistas la están eludiendo en lugar de usarla, tómalo en serio. No se trata de un problema de capacitación, sino de un problema de la plataforma.

Y si estás evaluando alternativas, esto es lo que te aconsejaría: elige un caso de uso concreto. Algo que les cueste a tus analistas tiempo real todos los días. Análisis de phishing por correo electrónico. Enriquecimiento de alertas. Algo tangible. Solicita una prueba de concepto solo para eso. Observa qué hace Turbine con ello en un par de semanas.

Las matemáticas tomarán la decisión por ti.