NTT DATA i Palo Alto Networks rozszerzają partnerstwo w zakresie bezpieczeństwa wspieranego przez AI

NTT DATA i Palo Alto Networks ponownie pojawiły się w google news, mimo że ogłosiły rozszerzenie partnerstwa w zakresie bezpieczeństwa AI 28 października 2024 roku. Data ma znaczenie, ponieważ nagłówek może sprawiać wrażenie zapowiedzi nowego sojuszu. W rzeczywistości jest to kontynuacja działań mających na celu sprzedaż globalnym przedsiębiorstwom zunifikowanych operacji bezpieczeństwa wspieranych przez AI.

Centralnym produktem jest usługa Managed Extended Detection and Response firmy NTT DATA, czyli MXDR. Łączy ona personel i operacje bezpieczeństwa NTT DATA z platformą Cortex XSIAM firmy Palo Alto Networks. XSIAM centralizuje dane bezpieczeństwa, analitykę, automatyzację i reagowanie na incydenty w jednym systemie.

To połączenie przedstawia nabywcom korporacyjnym jasną propozycję. Mogą zachować zestawy wyspecjalizowanych narzędzi bezpieczeństwa albo skonsolidować więcej operacji wokół jednej platformy dostawcy i jednego partnera usług zarządzanych. Druga droga obiecuje szybsze dochodzenia i mniej problemów z integracją, ale tworzy też głębszą zależność od platformy.

Nie jest to wyłącznie ogłoszenie o dodaniu AI do istniejącej usługi. To zakład, że konsolidacja może rozwiązać operacyjne wąskie gardła w centrach operacji bezpieczeństwa. Trudność polega na udowodnieniu, że automatyzacja poprawia wyniki bez ukrywania błędów, ograniczania kontroli klienta ani tworzenia nowych koncentracji ryzyka.

Co faktycznie zmieniło partnerstwo NTT DATA i Palo Alto Networks

Partnerstwo połączyło zarządzane globalne operacje bezpieczeństwa z platformą skoncentrowaną na AI, zamiast wprowadzać kolejne odizolowane narzędzie do wykrywania zagrożeń.

NTT DATA opisało porozumienie jako rozszerzenie istniejącej relacji. W swoim ogłoszeniu o partnerstwie firma przedstawiła usługę MXDR opartą na Cortex XSIAM firmy Palo Alto Networks. Komunikat wskazywał systemy chmurowe, sieci korporacyjne i środowiska brzegowe jako obszary objęte usługą.

MXDR to model zarządzanego bezpieczeństwa, który zbiera i koreluje sygnały z punktów końcowych, sieci, usług chmurowych i innych systemów. Analitycy dostawcy następnie monitorują te sygnały oraz pomagają badać lub powstrzymywać podejrzaną aktywność. To podejście wykracza poza monitorowanie wyłącznie punktów końcowych, łącząc dowody z kilku warstw technicznych.

Cortex XSIAM zapewnia bazową platformę danych i automatyzacji. Pobiera telemetrię bezpieczeństwa, stosuje analitykę, priorytetyzuje alerty i obsługuje zautomatyzowane procesy reagowania. NTT DATA dodaje ciągłe monitorowanie, polowanie na zagrożenia, informatykę śledczą, reagowanie na incydenty i wiedzę operacyjną.

Usługa rozwiązuje zatem dwa powiązane problemy. Przedsiębiorstwa często mają zbyt wiele rozłącznych produktów bezpieczeństwa, a ich wewnętrznym zespołom brakuje czasu na zbadanie każdego alertu. Połączenie telemetrii na jednej platformie może ograniczyć ręczne przekazywanie danych między narzędziami, choć konsolidacja nie poprawia automatycznie jakości wykrywania.

NTT DATA podało, że usługa będzie działać nieprzerwanie dzięki globalnemu zespołowi. Wskazało firmy z branży produkcyjnej, chemicznej i farmaceutycznej jako grupy docelowych klientów. Sektory te często łączą usługi chmurowe z fabrykami, laboratoriami, wyspecjalizowanymi urządzeniami i technologiami operacyjnymi.

Taka kombinacja sprawia, że perspektywa wyłącznie chmurowa jest niewystarczająca. Przejęcie konta może rozpocząć się w aplikacji hostowanej, a następnie wpłynąć na sieć zakładu lub podłączone urządzenie. Z kolei wystawiony na zagrożenia system brzegowy może zapewnić drogę do centralnie przechowywanych danych.

Firmy współpracowały już przed ogłoszeniem z 2024 roku. W 2020 roku NTT Ltd. i Palo Alto Networks rozszerzyły współpracę obejmującą Prisma Access i Cortex XSOAR. Z wcześniejszym planem usług zarządzanych było związanych ponad 2 000 specjalistów NTT ds. bezpieczeństwa, zgodnie z komunikatem o partnerstwie z 2020 roku.

Późniejsze uruchomienie MXDR przesunęło relację dalej w kierunku zintegrowanych operacji bezpieczeństwa. Umieściło XSIAM w centrum i rozszerzyło nacisk z orkiestracji przepływów pracy na wspólną telemetrię, analitykę, wykrywanie i reagowanie.

NTT DATA podało, że w chwili ogłaszania usługi prowadziło działalność w 50 krajach i zatrudniało ponad 7 500 specjalistów ds. cyberbezpieczeństwa. Firma stwierdziła również, że obsługiwała ponad 15 000 zleceń bezpieczeństwa i corocznie neutralizowała dwa miliardy zagrożeń. Są to dane przekazane przez firmę, a nie niezależny pomiar dokładności wykrywania.

To rozróżnienie jest istotne. Duża liczba przetworzonych zagrożeń może wskazywać na skalę operacyjną, ale nie ujawnia, jak klasyfikowano zdarzenia. Nie pokazuje też wskaźników fałszywie negatywnych wyników, czasów reakcji specyficznych dla klientów ani skali incydentów, którym zapobiegnięto.

Najważniejsza zmiana miała więc charakter architektoniczny i komercyjny. NTT DATA zarządzałoby operacjami bezpieczeństwa na strategicznej platformie Palo Alto Networks. Klienci kupowaliby technologię, integrację i bieżące wsparcie operacyjne jako połączoną usługę.

Model ten nakłada większą odpowiedzialność na dostawcę. Klient nie tylko licencjonuje oprogramowanie i decyduje, jak je obsługiwać. Dostawca angażuje się w monitorowanie, eskalację, polowanie na zagrożenia i reagowanie w całym środowisku klienta.

Nakłada też większą odpowiedzialność na platformę Palo Alto Networks. Logika wykrywania, normalizacja danych, automatyzacja i zarządzanie sprawami muszą działać w różnych systemach klientów. Słabość tych współdzielonych funkcji może wpłynąć na kilka warstw usługi.

Dlaczego ten nagłówek w google news ma znaczenie dla nabywców rozwiązań bezpieczeństwa

Odnowiona widoczność w google news uwypukla aktualne pytanie zakupowe, choć leżące u jego podstaw ogłoszenie nie jest nowe.

Według prognozy Gartnera przytoczonej w komunikacie NTT DATA wydatki na bezpieczeństwo informacji miały osiągnąć 212 mld USD w 2025 roku. Oznaczałoby to oczekiwany wzrost o 15,1 procent w stosunku do 2024 roku. Prognoza pomaga wyjaśnić, dlaczego dostawcy rywalizują o status centralnej platformy bezpieczeństwa przedsiębiorstwa.

Większe wydatki nie muszą automatycznie dawać zespołom bezpieczeństwa większych możliwości operacyjnych. Nowe produkty mogą dodawać pulpity, alerty, formaty danych i wymagania konserwacyjne. Każdy dodatkowy system może też wymagać prac integracyjnych, zanim jego informacje pomogą w dochodzeniu.

Centra operacji bezpieczeństwa, powszechnie nazywane SOC-ami, znajdują się w samym środku tego problemu. SOC monitoruje zdarzenia bezpieczeństwa, bada podejrzaną aktywność i koordynuje reakcje. Analitycy mogą tracić czas, gdy dowody są podzielone między konsole punktów końcowych, tożsamości, sieci i chmury.

NTT DATA i Palo Alto Networks twierdzą, że zunifikowana warstwa danych może skrócić ten proces. Ich opis usługi SOC przedstawia ciągłe monitorowanie i wykrywanie wspierane przez AI w sieciach, systemach brzegowych i środowiskach chmurowych.

Moment ogłoszenia odzwierciedla także zmieniające się zachowanie atakujących. Zautomatyzowane skanowanie, ataki na poświadczenia, socjotechnika i operacje z użyciem złośliwego oprogramowania mogą generować aktywność szybciej, niż analitycy są w stanie ręcznie ją przeanalizować. Obrońcy odpowiadają automatyzacją, choć atakujący mogą używać pokrewnych technologii, aby zwiększać skalę.

Wywiera to presję na kilka grup. Dyrektorzy ds. bezpieczeństwa informacji muszą uzasadniać zwiększanie budżetów bezpieczeństwa przy jednoczesnym ograniczaniu ekspozycji. Liderzy SOC muszą poprawiać czasy reakcji bez przeciążania analityków. Zespoły zakupowe muszą zdecydować, czy konsolidacja przynosi oszczędności operacyjne, czy głównie przesuwa wydatki w stronę jednego dostawcy.

Presję odczuwają również mniejsi dostawcy bezpieczeństwa. Skonsolidowana platforma może przejąć funkcje wcześniej kupowane jako oddzielne produkty. Nabywcy nadal mogą wybierać narzędzia specjalistyczne, ale muszą one łatwo się integrować albo wykazywać wyraźną przewagę, której nie ma centralna platforma.

Tradycyjni dostawcy systemów zarządzania informacjami i zdarzeniami bezpieczeństwa stoją przed kolejnym wyzwaniem. Systemy SIEM zbierają i analizują dzienniki bezpieczeństwa, lecz wiele wdrożeń wymaga rozbudowanej konfiguracji i ręcznego utrzymania. XSIAM jest pozycjonowany jako bardziej zautomatyzowana ewolucja, łącząca funkcje SIEM z szerszym wykrywaniem i reagowaniem.

Komponent usług zarządzanych ponownie zmienia tę decyzję. Firma z ograniczonym personelem ds. bezpieczeństwa może preferować zlecenie ciągłego monitorowania na zewnątrz. Duże przedsiębiorstwo może korzystać z dostawcy w wybranych regionach, jednostkach biznesowych lub godzinach, zachowując wewnętrzne uprawnienia w przypadku poważnych incydentów.

Oba rozwiązania wymagają jasnych granic operacyjnych. Klienci muszą wiedzieć, kto analizuje alert, kto może odizolować system i kto zatwierdza zakłócające działania powstrzymujące. Automatyzacja może skrócić czas reakcji, ale nieprawidłowe działanie może przerwać legalną działalność operacyjną.

Obawa ta staje się szczególnie istotna w środowiskach produkcyjnych i farmaceutycznych. Zatrzymanie zainfekowanego laptopa to coś innego niż zakłócenie pracy kontrolera produkcyjnego lub systemu laboratoryjnego. Sygnał techniczny może wyglądać podobnie, podczas gdy konsekwencje biznesowe znacząco się różnią.

Podejście partnerstwa obejmujące obszar od chmury po brzeg odpowiada na tę różnorodność, przynajmniej na poziomie założeń. Usługa ma korelować zdarzenia między lokalizacjami, zamiast traktować każde środowisko osobno. Skuteczność tego celu zależy od widoczności zasobów, integracji, jakości danych i specyficznych dla klienta reguł reagowania.

Słowo kluczowe google news tworzy odrębne zagrożenie redakcyjne. Google News jest tutaj kanałem odkrywania treści, a nie uczestnikiem partnerstwa NTT DATA i Palo Alto Networks. Czytelnicy nie powinni wnioskować, że Google dostarczyło bazową AI, platformę bezpieczeństwa ani usługę zarządzaną.

To wyjaśnienie jest ważne, ponieważ agregacja wiadomości może odrywać nagłówek od jego pierwotnej daty i kontekstu. Ponownie wyświetlony artykuł może wyglądać jak świeże ogłoszenie, szczególnie gdy w nagłówku nie ma widocznej daty. Nabywcy powinni prześledzić materiał do jego pierwotnego komunikatu, zanim potraktują go jako nową zmianę produktu.

Trwałe znaczenie wynika ze strategii, a nie z nowo ogłoszonej transakcji. Przedsiębiorstwa wciąż decydują, jak daleko powinny posunąć konsolidację operacji bezpieczeństwa. Zastanawiają się również, które zadania AI powinno wykonywać bez bezpośredniej kontroli człowieka.

Konsolidacja platform jest prawdziwym przeciwnikiem

Główna rywalizacja nie toczy się między NTT DATA a inną firmą konsultingową; chodzi o skonsolidowane operacje bezpieczeństwa kontra rozproszony zestaw narzędzi specjalistycznych.

Rozproszony zestaw narzędzi może powstawać stopniowo. Jeden zespół kupuje ochronę punktów końcowych, drugi wdraża zarządzanie stanem bezpieczeństwa chmury, a trzeci wybiera monitorowanie tożsamości. Przejęcia i wymagania regionalne dodają kolejne produkty, tworząc nakładające się zabezpieczenia i niespójne dane.

Narzędzia specjalistyczne mogą oferować cenną głębię. Produkt zaprojektowany dla jednego środowiska może ujawniać szczegóły, które pomija szeroka platforma. Zespoły mogą też wymieniać jeden komponent bez przebudowy całej architektury bezpieczeństwa.

Specjalizacja wiąże się jednak z kosztami integracji. Podczas incydentu analitycy mogą potrzebować przełączać się między konsolami. Alerty mogą używać różnych identyfikatorów, poziomów istotności i znaczników czasu, a zduplikowane wykrycia utrudniają ustalanie priorytetów.

Model NTT DATA i Palo Alto Networks próbuje ograniczyć te koszty dzięki współdzielonej platformie. XSIAM zbiera telemetrię we wspólnym środowisku, podczas gdy NTT DATA zapewnia analityków i procesy usługowe. Klient otrzymuje jeden model operacyjny, zamiast samodzielnie zestawiać każdy element.

To mechanizm stojący za deklaracją dotyczącą AI. Uczenie maszynowe może analizować zdarzenia z wielu źródeł, porównywać zachowania i nadawać priorytet aktywności wymagającej zbadania. Automatyzacja może następnie wzbogacić alert, otworzyć sprawę lub wykonać zatwierdzoną reakcję.

Funkcje te zależą od zasięgu danych. Algorytm nie może skorelować dowodów, które nigdy nie trafiają na platformę. Nieobsługiwane aplikacje, brakujący kontekst tożsamości, niespójne logi i niezarządzane urządzenia mogą tworzyć martwe pola.

Zależą również od dokładnych informacji o zasobach. To samo zachowanie może oznaczać rutynową administrację na jednym serwerze, a na innym — poważną anomalię. Kontekst dotyczący właściciela, celu biznesowego, lokalizacji i wrażliwości pomaga ustalić właściwą interpretację.

Konsolidacja może uprościć ten kontekst, jeśli integracje działają zgodnie z obietnicami. Może też zwiększyć znaczenie modelu danych danej platformy. Klienci muszą dostosować swoje systemy i procesy do założeń platformy, zwłaszcza gdy automatyzują działania ograniczające zagrożenia.

Palo Alto Networks nazywa swoją szerszą strategię platformizacją. Koncepcja zakłada, że klienci konsolidują funkcje bezpieczeństwa wokół połączonych platform, zamiast utrzymywać wiele niezależnych produktów. NTT DATA zapewnia tej strategii drogę w postaci usług zarządzanych do złożonych organizacji globalnych.

Modele konkurencyjne pozostają dostępne. Microsoft łączy funkcje tożsamości, endpointów, chmury i SIEM w swoim portfolio bezpieczeństwa. CrowdStrike rozszerzył działalność poza ochronę endpointów na funkcje tożsamości, chmury i SIEM nowej generacji. Cisco również powiązało sieci, obserwowalność i bezpieczeństwo w ramach szerokiej strategii platformowej.

Konkurenci różnią się bazą zainstalowaną, architekturą oraz relacjami z partnerami usługowymi. Microsoft może opierać się na swojej obecności w oprogramowaniu dla przedsiębiorstw i rozwiązaniach tożsamościowych. CrowdStrike wychodzi od telemetrii endpointów, podczas gdy Cisco ma szeroki wpływ na infrastrukturę sieciową.

NTT DATA i Palo Alto Networks tworzą odrębne połączenie. Palo Alto Networks dostarcza produkty bezpieczeństwa dla sieci, chmury i operacji SOC. NTT DATA oferuje doradztwo, wdrożenia, zarządzane sieci oraz operacje bezpieczeństwa w wielu branżach i regionach.

To połączenie może pomóc klientom, którzy chcą mieć jednego partnera odpowiedzialnego za realizację. Może też ograniczyć wysiłek potrzebny do rekrutacji i utrzymania specjalistów do ciągłych operacji. Kompromisem jest bardziej skoncentrowana relacja obejmująca oprogramowanie, dane, wdrożenie i procesy reakcji.

Kolejną przeszkodą jest migracja. Historyczne reguły detekcji, procedury reakcji, źródła logów i dokumentacja regulacyjna nie mogą po prostu zniknąć. Projekt konsolidacyjny musi zachować niezbędne kontrole, jednocześnie w przemyślanej kolejności wycofując nadmiarowe systemy.

Zespoły potrzebują też planu dotyczącego dowodów. Powinny zdefiniować bazowe wskaźniki przed przeniesieniem obciążeń lub automatyzacji. Przydatne miary obejmują liczbę alertów, czas dochodzenia, jakość eskalacji, wskaźniki fałszywych alarmów, czas ograniczania zagrożenia i obciążenie analityków.

Studia przypadków dostawców mogą wskazywać, co jest możliwe, ale nie przewidują każdego wdrożenia. NTT DATA reklamuje znaczące usprawnienia związane z konkretnymi przypadkami klientów XSIAM. Liczb tych nie należy traktować jako uniwersalnych wyników bez porównywalnych wartości bazowych.

Nabywca powinien zatem przetestować usługę we własnym środowisku. Ograniczone wdrożenie może ujawnić luki integracyjne, koszty pozyskiwania danych i konflikty w przepływach pracy. Może również pokazać, czy analitycy ufają priorytetyzacji platformy.

Zaufanie ma znaczenie, ponieważ niewykorzystywana automatyzacja daje niewielką wartość. Analitycy mogą omijać rekomendacje, jeśli wyjaśnienia są słabe lub wcześniejsze działania przyniosły złe rezultaty. Z kolei nadmierne zaufanie może pozwolić, by błędna decyzja modelu została zaakceptowana bez odpowiedniego przeglądu.

Silniejszy argument za konsolidacją ma charakter operacyjny, a nie retoryczny. Platforma zasługuje na centralną pozycję, gdy zespoły szybciej zamykają poważne incydenty, ograniczają powtarzalną pracę i zachowują rzeczywisty nadzór. Sama liczba zintegrowanych funkcji nie potwierdza takiego rezultatu.

Przedsiębiorstwa oceniające to podejście potrzebują również trwałej dokumentacji wewnętrznej. Decyzje dotyczące incydentów, wyjątki i własność systemów mogą zostać rozproszone po zgłoszeniach i spotkaniach. Przeszukiwalna techniczna baza wiedzy może zachować kontekst poza konsolą pojedynczego dostawcy.

Taki zapis staje się szczególnie przydatny podczas zmiany dostawcy lub poważnych incydentów. Zespoły bezpieczeństwa muszą rozumieć, dlaczego reguła reakcji istnieje, a nie tylko widzieć, że została skonfigurowana. Wiedza instytucjonalna pozostaje odpowiedzialnością klienta, nawet gdy operacje są zarządzane zewnętrznie.

Automatyzacja AI tworzy nową koncentrację ryzyka

Ta sama konsolidacja, która może przyspieszać wykrywanie, może również wzmacniać błędy, zależności i porażki w obszarze zarządzania.

Bezpieczeństwo wspierane przez AI nie jest autonomiczną gwarancją. Modele mogą nadawać priorytet podejrzanej aktywności, lecz atakujący celowo tworzą niejednoznaczność. Uprawnieni administratorzy, zautomatyzowane oprogramowanie i przejęte konta mogą wykonywać podobne działania.

Fałszywe alarmy nadal są kosztowne, ponieważ pochłaniają uwagę i mogą uruchamiać niepotrzebne działania ograniczające zagrożenie. Fałszywe negatywy są bardziej niebezpieczne, ponieważ złośliwa aktywność przechodzi bez wystarczającej kontroli. Publiczne materiały partnerskie nie zapewniają wystarczających niezależnych dowodów, aby obliczyć którykolwiek z tych wskaźników dla wszystkich klientów.

Wydajność usługi będzie również różnić się w zależności od środowiska. Ustandaryzowane obciążenie chmurowe może dostarczać spójną telemetrię. Fabryka ze starszymi systemami, własnościowymi protokołami i ograniczonymi oknami serwisowymi stanowi trudniejszy problem integracyjny.

Automatyzacja podnosi stawkę, gdy zmienia systemy. Wyłączenie konta lub odizolowanie urządzenia może powstrzymać atakującego. To samo działanie może przerwać produkcję, opóźnić pracę związaną z pacjentami albo zablokować kluczowego administratora podczas awarii.

Z tego powodu klienci potrzebują stopniowanych uprawnień. Niskoryzykowne wzbogacanie danych może działać automatycznie, podczas gdy zakłócające działania mogą wymagać zatwierdzenia przez człowieka. Procedury awaryjne powinny również określać, kiedy dostawca może działać przed skontaktowaniem się z klientem.

Zarządzanie danymi rodzi kolejne pytanie. Scentralizowane wykrywanie wymaga gromadzenia obszernej telemetrii o użytkownikach, urządzeniach, aplikacjach i aktywności sieciowej. Przedsiębiorstwa międzynarodowe muszą ustalić, gdzie dane są przetwarzane, jak długo pozostają dostępne i kto może uzyskać do nich dostęp.

Organizacje regulowane potrzebują również możliwości audytu. Zespoły powinny móc odtworzyć, co system zaobserwował, jaką rekomendację wydał i jakie działanie nastąpiło później. Niewyjaśniony wynik ryzyka nie wystarczy dla każdego procesu zgodności lub przeglądu incydentu.

Model zero trust rządu Stanów Zjednoczonych podkreśla ciągłą weryfikację i lepszą widoczność. Skonsolidowana platforma może wspierać te cele, ale zero trust nie jest produktem. Kontrole tożsamości, segmentacja, zarządzanie zasobami, polityki i dyscyplina operacyjna nadal mają znaczenie.

Koncentracja na jednym dostawcy zwiększa ryzyko handlowe i techniczne. Szeroka platforma może upraszczać wsparcie, jednak awaria lub błąd integracji może jednocześnie wpłynąć na kilka funkcji bezpieczeństwa. Klienci potrzebują procedur awaryjnych działających wtedy, gdy podstawowa konsola lub połączenie z dostawcą są niedostępne.

Kolejnym praktycznym problemem jest uzależnienie od dostawcy. Reguły detekcji, historyczna telemetria, przepływy pracy analityków i skrypty automatyzacji z czasem nabierają wartości. Przeniesienie ich do innego systemu może być kosztowne, zwłaszcza gdy formaty lub możliwości nie odwzorowują się czysto.

Umowy powinny uwzględniać eksport danych, wsparcie przejścia, retencję i zakończenie usługi. Zespoły techniczne powinny testować eksporty przed sytuacją awaryjną. Teoretyczne prawo do odzyskania danych daje niewielką ochronę, jeśli wyeksportowanego materiału nie można efektywnie wykorzystać.

Umiejętności również mogą ulec koncentracji. Analitycy pracujący głównie za pośrednictwem jednej zarządzanej platformy mogą utracić znajomość systemów bazowych. Wewnętrzne zespoły nadal potrzebują wystarczającej wiedzy, aby kwestionować ustalenia, nadzorować istotne działania i zarządzać awarią dostawcy.

Skala partnerstwa nie eliminuje tych ryzyk. Globalna kadra NTT DATA może zapewniać pokrycie regionalne, lecz klienci muszą zweryfikować ustalenia dotyczące obsady i eskalacji dla własnej umowy. Certyfikaty i łączna liczba realizacji nie opisują doświadczenia przypisanego do konkretnego konta.

Język i jurysdykcja również mogą wpływać na obsługę incydentów. Globalny dostawca może koordynować działania między strefami czasowymi, jednak wymogi zgłaszania regulacyjnego często zależą od lokalizacji i branży. Przepływy eskalacji muszą łączyć ustalenia techniczne z lokalnymi decyzjami prawnymi i zarządczymi.

Kolejna niepewność dotyczy znaczenia wykrywania wspieranego przez AI. Etykieta ta może obejmować modele statystyczne, analitykę behawioralną, interfejsy generatywne lub zautomatyzowane przepływy pracy. Nabywcy powinni pytać, które funkcje korzystają z modeli, które modele wpływają na decyzje i jak oceniane są zmiany.

Powinni również pytać, czy dane klientów trenują współdzielone systemy. Polityki powinny odróżniać przetwarzanie operacyjne od trenowania modeli i ulepszania produktu. Wrażliwa telemetria bezpieczeństwa zasługuje na jasne uregulowanie umowne, a nie szerokie założenia.

Atakujący mogą atakować samą automatyzację. Mogą generować mylące sygnały, wykorzystywać zaufane integracje lub manipulować systemami dostarczającymi kontekst. Obrońcy potrzebują kontroli walidacyjnych wokół zautomatyzowanych decyzji, szczególnie gdy przepływ pracy może zmienić dostęp lub łączność.

Nadzór człowieka nie jest pełną odpowiedzią, jeśli analitycy otrzymują zbyt wiele zautomatyzowanych decyzji, by móc je uważnie przejrzeć. Usługa musi zmniejszać obciążenie poznawcze, zamiast je przenosić. Jasne wyjaśnienia i priorytetyzowane dowody są niezbędne dla tego celu.

Niezależna walidacja pozostaje największą luką w publicznej narracji. Firmy opisują szybsze wykrywanie, prostsze operacje i niższe całkowite koszty posiadania. Nabywcy potrzebują wyników specyficznych dla klientów, mierzonych przez okres wystarczająco długi, by obejmował trudne incydenty.

Wiarygodna ocena powinna obejmować przypadki niepowodzeń. Zespoły powinny dokumentować pominięte wykrycia, nieprawidłowe priorytety, opóźnione eskalacje i zakłócające działania. Usprawnienie zależy od analizowania tych zdarzeń, zamiast raportowania wyłącznie udanych automatyzacji.

Partnerstwo należy zatem oceniać jako model operacyjny. Jego elementy muszą współdziałać pod rzeczywistą presją — w obszarze technologii, personelu, zarządzania i decyzji zarządczych. Integracja produktów jest konieczna, lecz niewystarczająca.

Trzy sygnały pokażą, czy strategia działa

Jakość wdrożenia, niezależnie mierzone wyniki i kontrolowana automatyzacja zdecydują, czy ten sojusz zapewni coś więcej niż konsolidację platform.

Pierwszym sygnałem są dowody pochodzące z trwałych wdrożeń w przedsiębiorstwach. Nabywcy powinni szukać wyników definiujących środowisko początkowe, zakres migracji i okres pomiaru. Poprawa czasu reakcji niewiele znaczy bez informacji, które incydenty, zespoły i systemy uwzględniono.

Szczegółowe studia przypadków powinny ujawniać więcej niż nagłówkowe wartości procentowe. Przydatne dowody obejmują zmiany w liczbie fałszywych alarmów, obciążeniu analityków, czasie ograniczania zagrożeń i ponownie otwartych incydentach. Powinny również wyjaśniać, które wyniki wynikały z technologii, a które z przeprojektowania procesów.

Jeśli wiarygodne wdrożenia pokażą szybszą obsługę bez większej liczby pominiętych incydentów, centralne twierdzenie partnerstwa stanie się silniejsze. Jeśli wyniki pojawiają się wyłącznie w ściśle kontrolowanych środowiskach, szersza wartość modelu pozostaje niepewna.

Drugim sygnałem jest sposób działania usługi w środowiskach brzegowych i operacyjnych. Klienci z branży produkcyjnej, chemicznej i farmaceutycznej nie mogą traktować każdego podejrzanego systemu jak biurowego laptopa. Integracje muszą zachowywać bezpieczeństwo, dostępność i wyspecjalizowane ograniczenia operacyjne.

Udane wdrożenia powinny pokazać, że platforma potrafi korelować dane z chmury i zakładów produkcyjnych, nie uruchamiając przy tym nieadekwatnych działań reakcyjnych. Powinny również wyraźnie wyznaczać granice między zautomatyzowanym dochodzeniem a kontrolą operacyjną.

Postęp w tym obszarze wspierałby koncepcję połączenia chmury z edge computingiem. Utrzymujące się luki w pokryciu osłabiłyby przekonanie, że jedna platforma może zapewnić ujednolicony widok w bardzo zróżnicowanych systemach.

Trzecim sygnałem jest nadzór nad reakcją wspomaganą przez AI. Klienci potrzebują widocznych mechanizmów kontroli zmian modeli, zatwierdzania działań, obsługi danych i przeglądów po incydentach. Mechanizmy te powinny pozostać zrozumiałe dla wewnętrznych zespołów bezpieczeństwa i audytu.

Solidna usługa pozwoli klientom zdecydować, które działania są wykonywane automatycznie, a które wymagają zatwierdzenia. Zapewni uzasadnienie kluczowych rekomendacji i zachowa ścieżkę audytu. Powinna także umożliwiać cofnięcie działania, gdy automatyczna akcja okaże się błędna.

Słaby nadzór przekształciłby efektywność operacyjną w skoncentrowane ryzyko. Przedsiębiorstwa nie powinny akceptować ograniczonej widoczności jako ceny za outsourcing złożoności. Zarządzane bezpieczeństwo nadal wymaga świadomego właścicielstwa po stronie klienta.

Najnowsze pojawienie się w Google News należy więc traktować jako przypomnienie, a nie nową premierę. NTT DATA i Palo Alto Networks publicznie ogłosiły rozszerzenie działań MXDR w 2024 roku. Nierozstrzygnięte pozostaje pytanie, czy klienci mogą zweryfikować jego korzyści w złożonych środowiskach produkcyjnych.

Liderzy ds. bezpieczeństwa oceniający tę usługę powinni zacząć od jednego konkretnego przepływu pracy. Należy zmierzyć obecną liczbę alertów, czas dochodzenia, ścieżkę eskalacji i wpływ na działalność. Następnie warto sprawdzić, czy połączona usługa poprawia te wskaźniki bez osłabiania nadzoru.

Poproś o dowody wdrożeniowe odpowiadające Twoim systemom, regionom i obowiązkom regulacyjnym. Określ wymagania dotyczące eksportu danych i wyjścia z usługi, zanim scentralizujesz więcej danych. Co najważniejsze, zdecyduj, które działania reakcyjne muszą zawsze pozostawać pod ludzką kontrolą.

Obietnica partnerstwa jest prosta: jedna zintegrowana platforma i jeden zarządzany model operacyjny mogą zastąpić rozproszoną pracę związaną z bezpieczeństwem. O jego sukcesie zdecydują mierzalne rezultaty, a nie ponowna widoczność w nagłówkach.