بدأ الذكاء الاصطناعي يتولى جزءا كبيرا من العمل الذي ارتبط تقليديا بمحلل الأمن، فالتحقيق في التنبيهات وجمع الأدلة وربط النشاط عبر الأدوات وتنفيذ إجراءات الاستجابة باتت مهام تستطيع أنظمة الذكاء الاصطناعي أداءها بمفردها. ومع نضج هذه القدرات، ستشهد مراكز عمليات الأمن (SOC) تغيرات كبيرة في طريقة تنظيم العمل واتخاذ القرارات وما يُنتظر من المسؤولين عن حماية المؤسسات. ويرى كاتبو المقال، المنشور على موقع ذا هاكر نيوز، أن في ذلك فرصة للمتخصصين لتولي دور أوسع، فبدل التركيز على كل تنبيه على حدة، يمكنهم توجيه الدفاع عبر دورة الأمن كاملة.
ويطلق المقال على هذا الدور الناشئ اسم “مشغّل التهديدات” (Threat Operator)، وهو متخصص أمني أصيل في عصر الذكاء الاصطناعي، يترجم المخاطر التجارية إلى أولويات دفاعية، ويوجه العمليات المدارة بالذكاء الاصطناعي، ويمارس الحكم على القرارات والإجراءات التي تتخذها تلك الأنظمة. ولا يقتصر الأثر على العمل اليومي في المركز، بل يمتد إلى المهارات التي تحتاجها المؤسسات وطريقة اكتساب الخبرة والمسارات المهنية المتاحة لمن يدخلون المجال.
من المهام الفردية إلى الدفاع الشامل
نشأ مركز العمليات التقليدي حول وظائف متخصصة، لكل منها أدواته وسير عمله. ففرق استخبارات التهديدات تدرس الخصوم، ومهندسو الكشف يكتبون القواعد، ومطاردو التهديدات يبحثون عن نشاط فاتته الضوابط، والمحللون يحققون في التنبيهات، وفرق الاستجابة للحوادث تحتوي التهديدات المؤكدة. ورغم ترابط هذه الوظائف، ينتقل العمل بينها غالبا عبر أنظمة منفصلة وتذاكر وتسليمات يدوية. ويبدأ الذكاء الاصطناعي في ربط هذه الأنشطة، إذ قد تقود معلومة عن تهديد جديد إلى فرضية مطاردة، تكشف ثغرة في الكشف تنتج قاعدة جديدة، تلتقط بدورها نشاطا مشبوها يستدعي تحقيقا ثم احتواء وتحسينات إضافية في دفاعات المؤسسة. ويستطيع وكلاء الذكاء الاصطناعي تنسيق هذه المسارات وتنفيذها ونقل السياق والنتائج من مرحلة إلى أخرى.
ولهذا تتغير نقطة القيمة المضافة للمتخصص الأمني. فمشغل التهديدات يعمل عبر دورة الدفاع كلها، ويحدد الأولويات بحسب تعرض المؤسسة وعملياتها ومشهد التهديدات، ويقرر أي المخاطر تستحق الاهتمام وما الذي ينبغي أن يحققه الدفاع ومقدار الاستقلالية الممنوحة للذكاء الاصطناعي ومتى يلزم تدخل بشري. وهو مسؤول أيضا عن الحكم على ما إذا كانت العملية تحسّن الأمن فعلا. ومثال ذلك مؤسسة مالية تواجه تهديدا جديدا يستهدف بنية الهوية، إذ يمكن للوكلاء تقييم تعرضها والبحث عن نشاط ذي صلة وتحديد فجوات الكشف والتوصية بإجراءات دفاعية، بينما يوفر المشغل السياق المؤسسي اللازم، من الأنظمة التي تدعم العمليات الحيوية إلى حدود المخاطر غير المقبولة والإجراءات التي تتطلب تفويضا. والنتيجة تحول تدريجي من إشراك الإنسان داخل الحلقة إلى وضعه فوقها، يشرف على العمليات ويحكمها، مع بقاء إنسان مسؤولا في كل الأحوال، بينما يتوقف مستوى الاستقلالية على نضج التقنية وعواقب الإجراءات ومدى تقبل المؤسسة للمخاطر.
إعادة التفكير في اكتساب الخبرة
سيكون المحللون المبتدئون الأكثر تأثرا. فقد وفر مركز العمليات لعقود بوابة دخول إلى الأمن السيبراني، إذ تطورت مهارات المحللين عبر فرز التنبيهات وجمع الأدلة والتحقيق والتوثيق والتصعيد. ورغم تكرار هذه المهام، فقد شكلت نوعا من التدريب المهني، يتعلم فيه المحلل مع الوقت كيف تتصرف الأنظمة وكيف يعمل المهاجمون وكيف يميز الممارسون ذوو الخبرة بين التهديدات الحقيقية والنشاط السليم. ومع استيعاب الذكاء الاصطناعي لمزيد من هذه المسؤوليات، ستحتاج المؤسسات إلى إعادة التفكير في طريقة اكتساب الخبرة، فقد يصبح التدرج التقليدي من التعامل مع التنبيهات البسيطة إلى إدارة التحقيقات المعقدة أقل صلة. وبلا نهج مدروس للتدريب، قد تعجز الفرق الأمنية عن تأهيل الخبراء الذين ستحتاجهم مستقبلا.
ويستطيع الذكاء الاصطناعي كذلك فتح مسار مختلف للتطور المهني، فيحصل مشغلو التهديدات المبتدئون على تعرض مشرف عليه لنطاق أوسع من الأنشطة الأمنية، يرون كيف تؤثر الاستخبارات في المطاردة وكيف تُطور قواعد الكشف وكيف تصل التحقيقات إلى استنتاجاتها وكيف تؤثر قرارات الاستجابة في الأعمال. ويمكنهم مراجعة الأدلة وراء النتائج المولدة بالذكاء الاصطناعي، وتحدي الافتراضات، وتحديد السياق الناقص، والتعلم من قرارات زملائهم الأكثر خبرة. غير أن ذلك لا ينجح إلا إذا استثمرت المؤسسات في الأساسيات التقنية والإرشاد المنظم، فلا يزال المحللون بحاجة إلى فهم الشبكات وأنظمة التشغيل وأساليب المهاجمين والتقنيات الأمنية التي تقوم عليها مسارات العمل المعتمدة على الذكاء الاصطناعي، وعلى الممارسين المتمرسين أن يعلموا زملاءهم كيف يقيّمون الاستنتاجات ويدركون عدم اليقين ويمارسون الحكم حين تكون الأدلة ناقصة.
المهارات المطلوبة
قيست الكفاءة التقنية لدى جيل المحللين الحالي غالبا بالإلمام بالأدوات الأمنية والقدرة على استخراج معلومات مفيدة منها، وظلت لغات الاستعلام ومنطق الكشف وقياسات النقاط الطرفية وتقنيات التحقيق محورية في المهنة. وتبقى هذه المهارات مهمة، لكن الذكاء الاصطناعي يضيف إليها متطلبات جديدة هي التنسيق والحوكمة وتفسير القرارات الآلية. فعلى مشغلي التهديدات ترجمة المخاطر الأمنية للأعمال إلى أهداف دفاعية واضحة يستطيع الذكاء الاصطناعي تنفيذها، وأن يفهموا بنية المؤسسة وأصولها الحرجة واعتماداتها التشغيلية والخصوم المعنيين بها، ويعرفوا كيف ينقلون هذا السياق إلى الوكلاء. وسيشمل عملهم تقييم الفرضيات والتحقق من الأدلة وتحديد معايير التصعيد والحكم على ما إذا كان الإجراء الآلي حقق نتيجته المرجوة.
ومثال ذلك نظام ذكاء اصطناعي يحقق في خادم مخترق ويوصي بعزله فورا، وقد تكون التوصية سليمة تقنيا، لكن الخادم قد يدعم عملية تجارية حرجة يترتب على تعطيلها عواقب جسيمة، وعلى مشغل التهديدات أن يفهم هذه الاعتمادات ويقرر كيف تمضي الاستجابة بين متطلبات الاحتواء ومخاطر التشغيل. وتنعكس الحاجة إلى رقابة ومساءلة محددة كذلك في إطار إدارة مخاطر الذكاء الاصطناعي الصادر عن المعهد الوطني الأمريكي للمعايير والتقنية (NIST). ويجمع الدور بين أربعة مجالات خبرة: فهم مخاطر الأعمال الأمنية بما يشمل أولويات المؤسسة وأصولها الحرجة وعواقب القرارات، وفهم التهديدات والخصوم بتفسير الاستخبارات وتوقع أساليب استهداف البيئة، والعمليات الدفاعية التي تشمل الكشف والمطاردة والتحقيق والاستجابة عبر دورة الأمن، وتنسيق الذكاء الاصطناعي والحكم عليه بتوجيه مساراته وتقييم استنتاجاته وحوكمة إجراءاته الآلية.
بناء مسار مهني حول النتائج الدفاعية
ينبغي أن يصبح دور مشغل التهديدات مسارا مهنيا بمستويات متزايدة من المسؤولية. فيركز المشغلون في بداية مسيرتهم على التحقق من الأدلة ومراجعة استنتاجات الذكاء الاصطناعي وإضافة السياق البيئي وفهم ترابط القرارات عبر دورة الدفاع. ومع اكتساب الخبرة يبدؤون بترجمة المخاطر التجارية إلى أهداف دفاعية وتوجيه مسارات عمل الوكلاء وتحديد فجوات التغطية وتقرير متى يجب التصعيد أو التنفيذ. أما المشغلون الكبار فيتولون تحديد حدود الاستقلالية وحوكمة الإجراءات الجسيمة وتقييم موثوقية قرارات الذكاء الاصطناعي وقياس ما إذا كانت عمليات الأمن تخفض مخاطر المؤسسة. ويمكن للمتخصصين دخول هذا المسار من التحقيقات أو استخبارات التهديدات أو هندسة الكشف أو الاستجابة للحوادث أو هندسة الأمن أو إدارة المخاطر.
ويدعو المقال قادة الأمن إلى البدء في بناء أطر التدريب والحوكمة والترقي اللازمة لهذه المسؤوليات، ومنها تحديد القرارات التي تتطلب موافقة بشرية وكيفية تحقق المشغلين من الأدلة المولدة بالذكاء الاصطناعي وكيف تتوسع الاستقلالية مع إثبات الأنظمة موثوقيتها وكيف يُقيَّم الأداء الفردي. وستكتسب مقاييس مثل جودة القرارات الدفاعية وسد فجوات الكشف وتحسن تغطية التهديدات أهمية أكبر إلى جانب المقاييس التشغيلية التقليدية. وسيجري ذلك بسرعات متفاوتة بين المؤسسات، وسيكون للمتخصصين الأمنيين صوت أكبر في كيفية دفاع مؤسساتهم عن نفسها. فمركز العمليات القديم درّب الناس على تشغيل الأدوات، أما المركز المبني على الذكاء الاصطناعي فعليه تدريبهم على تشغيل الدفاع نفسه.
