SOC assisté par IA : rendre la décision humaine réellement possible
Organisez une validation humaine utile des recommandations IA : preuves visibles, périmètre précis, temps de décision et responsabilité définie.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Ajouter un bouton « Approuver » à une recommandation IA ne garantit pas une supervision efficace. Pour décider, l’analyste doit comprendre la proposition, disposer des preuves pertinentes et pouvoir la refuser sans bloquer inutilement tout son travail.
Ces conditions se conçoivent dès le départ.
Le NIST AI RMF demande de définir et différencier les rôles et responsabilités dans les configurations associant humains et IA.
Dans un SOC, cela invite à préciser qui analyse, qui recommande, qui autorise et qui reste responsable de l’action exécutée. Source : NIST, AI Risk Management Framework 1.0.
Prenons une recommandation d’isolement d’un poste. La demande de validation devrait identifier l’équipement exact, les observations motivant la mesure, les données manquantes et les conséquences opérationnelles connues.
L’analyste doit pouvoir ouvrir les événements sources sans reconstituer toute l’enquête à partir d’une phrase persuasive.
La validation doit également porter sur une action précise. Une approbation d’enrichissement ne devrait pas devenir une permission générale de remédiation.
Si la cible, le périmètre ou les conséquences changent, le processus doit ramener la nouvelle proposition à la personne habilitée.
Nous recommandons de définir trois issues explicites : accepter, refuser et demander davantage d’éléments. La troisième est importante : elle permet de traiter l’incertitude sans pousser artificiellement vers un choix binaire.
Une demande en attente doit rester visible et ne pas être interprétée comme une autorisation après un délai.
Le dispositif doit tenir compte de la charge réelle. Si chaque action mineure exige une validation, les demandes importantes risquent de se perdre dans le volume.
Classez les décisions selon leurs conséquences et réservez une attention renforcée aux opérations susceptibles d’interrompre une activité ou d’étendre l’accès aux données.
Exercez ensuite ce circuit avec les personnes d’astreinte. Peuvent-elles identifier la bonne cible ? Trouver les preuves ? Comprendre un refus technique ? Joindre le responsable approprié ?
Une procédure théorique devient exploitable lorsqu’elle résiste aux contraintes d’une relève ou d’un incident nocturne.
Enfin, distinguez l’approbation de son résultat. Une action autorisée peut échouer ou ne produire qu’un effet partiel. Le compte rendu doit permettre à l’analyste de vérifier ce qui s’est réellement passé.
Pour discuter d’un SOC assisté par IA avec Seculogik, apportez un exemple de décision sensible et son circuit actuel.
Il constitue un point de départ concret pour déterminer où l’IA peut préparer le travail et où une autorité humaine clairement identifiée doit intervenir.