SOC vardiyasını AI ajanlarına devretmeden önce sorulması gereken 12 soru

Bir SOC vardiyasının bir kısmını AI ajanlarına devretmek, çoğu kurumda önce bir araç seçimi olarak konuşulur. Oysa asıl değişen şey operasyon modelidir: kim neyi görür, kim neye karar verir, hata olduğunda kim fark eder. Aşağıdaki 12 soru, bu modeli devirden önce yazılı hale getirmeniz için bir çerçeve sunar. Hepsine net bir yanıtınız yoksa bu bir engel değil, yapılacaklar listesidir.

Kapsam ve hedef

1. Ajan hangi görevleri üstlenecek, hangilerini kesinlikle üstlenmeyecek?

"Alarm triage" gibi geniş bir ifade yerine görevleri fiil düzeyinde yazın: alarmı zenginleştirmek, benzer alarmları gruplamak, öncelik önermek, vaka notu taslağı yazmak. Aynı listede yasak işleri de belirtin: örneğin kullanıcı hesabı kilitlemek, uç noktayı ağdan izole etmek veya firewall kuralı değiştirmek ilk aşamada kapsam dışı olabilir. Bu negatif liste, ileride yetki tasarımının da temelidir.

2. Başarıyı neyle ölçeceğiz?

Hedefi önceden tanımlamazsanız pilot sonunda herkes farklı bir şeye bakar. Ölçütler sizin ortamınıza göre belirlenmeli: analistin bir alarma harcadığı süre, ajan önerisinin analist kararıyla örtüşme oranı, yanlış kapatılan alarm sayısı, vaka notlarının denetimde yeterli bulunması gibi. Mevcut durumu (başlangıç çizgisi) ölçmeden iyileşme iddia etmeyin.

Veri ve görünürlük

3. Ajan hangi veri kaynaklarını görecek?

SIEM, EDR konsolu, e-posta güvenlik ağ geçidi, kimlik sağlayıcı ve CMDB gibi kaynakları tek tek listeleyin. Her biri için erişim yöntemini (API, salt okunur hesap, log aktarımı) ve veri saklama yerini not edin. Ajanın görmediği kaynak, ajanın kararında da yoktur; bu nedenle eksik kaynakları gizlemek yerine kayıt altına alın.

4. Log kapsamı ve kalitesi yeterli mi?

Zaman damgaları senkron mu, kritik sistemlerden log geliyor mu, alan adları (normalizasyon) tutarlı mı? Kötü veriyle çalışan bir ajan, hızlı ama yanlış kararlar üretir. Pratik bir test: son ay içinde kapanan beş gerçek vakayı alın ve ajanın göreceği verilerle bu vakaların yeniden kurgulanıp kurgulanamayacağına bakın.

5. Hassas veriler nasıl ele alınacak?

Alarm içeriğinde kişisel veri, parola parçaları veya ticari sır bulunabilir. Bu verinin hangi modele, hangi bölgede işlendiğini ve kayıtların ne kadar süre saklandığını netleştirin. Gerekirse maskeleme veya alan bazlı filtreleme uygulayın ve bu kararı hukuk ile veri koruma sorumlunuzla birlikte verin.

Yetki ve onay

6. Ajan hangi kimlikle çalışacak?

Ajan için insan kullanıcılardan ayrı, adı açıkça ajan olduğunu belli eden servis hesapları açın. Paylaşılan admin hesabı kullanmak, denetim izini anlamsız hale getirir. Her ürün için ayrı hesap ve ayrı rol tercih edin.

7. Hangi işlem insan onayı gerektirir?

Okuma ile yazmayı ayırın. Okuma ve öneri üretme genellikle onaysız yapılabilir; konfigürasyon değişikliği, izolasyon, hesap kilitleme ve istisna ekleme gibi işlemler onay gerektirir. Her işlem tipi için onaylayan rolü, onay kanalını (ITSM kaydı, sohbet onayı vb.) ve onay gelmezse ne olacağını yazın.

8. Acil durumda kim karar verir?

Gece yarısı gelen kritik bir alarmda ajan bir izolasyon önerdiğinde nöbetçi kim, ulaşılamazsa yedek kim? Onay akışı mesai saatleri için tasarlanıp gece boş kalırsa, ajan ya bekler ya da birileri kuralı esnetir. İkisi de istenmeyen sonuçtur.

Süreç ve geri dönüş

9. Runbook'lar ajanın okuyabileceği netlikte mi?

"Gerekirse ilgili ekiple görüşülür" gibi ifadeler bir insan için yeterli olabilir ama ajan için belirsizdir. Runbook adımlarını girdi, karar noktası ve çıktı olarak yeniden yazın. Bu çalışma, ajan olmasa bile SOC'a fayda sağlar.

10. Gölge modda ne kadar süre çalışacağız?

Ajanın önerilerini canlı etkisi olmadan, analist kararlarıyla karşılaştırarak çalıştırdığınız bir dönem planlayın. Süreyi takvimle değil, çıkış kriterleriyle tanımlayın: belirli sayıda ve çeşitlilikte vaka görülmesi, kritik hata olmaması, analistlerin önerileri anlaşılır bulması gibi.

11. Ajanı nasıl durdururuz?

Bir "kapatma anahtarı" tanımlayın: ajanın yazma yetkisini tek adımda kaldıran bir rol değişikliği veya entegrasyon anahtarı. Bunu kimin tetikleyebileceğini ve tetiklendiğinde vardiyanın nasıl manuel moda döneceğini yazın, en az bir kez tatbikat yapın.

Ekip

12. Analistlerin rolü nasıl değişecek?

Ajan tekrarlı işi üstlendikçe analistler onay veren, ajanın hatalarını yakalayan ve runbook'u geliştiren kişilere dönüşür. Bu yeni rol için eğitim, onay yükünün adil dağıtımı ve ajan önerisine itiraz etmenin teşvik edilmesi gerekir. Ajanın önerisini sorgulamadan onaylayan bir ekip, insan onayını anlamsız kılar.

Sonuç

Bu soruların çoğu teknik değil, organizasyoneldir. AI ajanının kalitesi önemlidir; ancak devrin başarısını belirleyen, ajanın içinde çalıştığı sınırların ne kadar açık çizildiğidir. Sınırlar netse ajanı kademeli olarak genişletmek kolaylaşır; değilse en iyi model bile güven kazanamaz.

Sık sorulan sorular

İlgili çözümler

• SIEM
• SOAR
• Endpoint / EDR / XDR
• Splunk ES için AI ajanı
• QRadar için AI ajanı
• Cortex XSOAR için AI ajanı
• Splunk SOAR için AI ajanı
• Tüm çözümler

İlgili rehberler

• Rehber3 dk

  Gölge mod (shadow mode): AI ajanını canlıya almadan önce nasıl değerlendirilir

• Rehber4 dk

  Human-in-the-loop onay akışı tasarımı: kim, neyi, ne zaman onaylar

• Rehber4 dk

  AI ajanına güvenlik ürünü yetkisi verirken en az yetki tasarımı

Bu içerik genel bilgilendirme amaçlıdır. Kurumunuza özel kararlar için uzman değerlendirmesi önerilir.