Últimos reportajes
Temas destacados
Trending
Las respuestas rápidas a los ataques han sido difíciles de conseguir para la mayoría de los equipos de seguridad debido a la propia naturaleza de un panorama de amenazas en constante evolución. Pero parece haber buenas noticias. El nuevo SOC agéntico de Zscaler promete precisamente eso: agentes de IA que investigan amenazas y automatizan su contención utilizando telemetría de Zero Trust, una red señuelo y controles de seguridad de terceros. Zscaler afirma que su plataforma procesa 750.000 millones de transacciones de Zero Trust al día.
Aunque esta escala ofrece nuevas oportunidades, también plantea una pregunta inevitable: ¿qué ocurre cuando una respuesta automatizada es incorrecta?
Una alerta errónea es simplemente un inconveniente cuando un analista puede descartarla. Una acción equivocada puede interrumpir el acceso de un usuario legítimo, bloquear el tráfico empresarial o interrumpir una aplicación antes de que nadie pueda revisar las pruebas.
La presión para automatizar es real.
En una encuesta realizada en 2025 a 739 profesionales de la ciberseguridad, el 72 % identificó una investigación y una respuesta más rápidas como uno de los objetivos de la IA en el SOC, mientras que el 65 % quería reducir el número de alertas y falsos positivos. Estas cifras reflejan prioridades, no demuestran que la contención automatizada sea segura.
| Qué esperan los equipos SOC de la IA | Encuestados |
| Investigación y respuesta más rápidas | 72% |
| Menos alertas y falsos positivos | 65% |
Zscaler afirma que sus agentes pueden utilizar la telemetría en línea y controles integrados para detener las amenazas a la velocidad de las máquinas. El valor de este enfoque depende de la calidad de las pruebas y de la autoridad que se conceda a cada agente. Una telemetría incorrecta, un falso positivo o una señal comprometida podrían convertir una contención rápida en una interrupción rápida.
No todas las respuestas requieren el mismo nivel de aprobación. Un agente podría enriquecer una alerta o recomendar un bloqueo sin interrumpir las operaciones. Aislar a un usuario o modificar el acceso a una aplicación crítica requiere un umbral de aprobación más alto.
Esto implica establecer niveles de autoridad, aplicar el principio de mínimo privilegio a los agentes, utilizar acciones reversibles y mantener registros que expliquen por qué se tomó una decisión. La aprobación humana debería seguir disponible cuando el impacto para el negocio pueda ser significativo.
En una de nuestras entrevistas (artículo en inglés pendiente de traducción), Marc Lueck, de Zscaler, defendió un enfoque de seguridad más sencillo. Del mismo modo, nuestra lista de comprobación de Zero Trust hace hincapié en comprender los activos y los accesos antes de aplicar controles. Un SOC autónomo necesita estas bases más que nunca.
El objetivo no es ralentizar todas las decisiones hasta alcanzar la velocidad humana. Es garantizar que la capacidad de actuación de un agente nunca vaya por delante de la capacidad de la organización para comprender y deshacer lo que ha hecho.
