L'evoluzione del SOC verso un modello adattivo e cognitivo, potenziato dall'IA, emerge come risposta concreta all'automatizzazione degli attacchi e alla riduzione dei tempi di compromissione.
Autore: Andrea Boggio
Mentre il Kyndryl Readiness Report 2025 evidenzia che solo il 27% delle organizzazioni italiane si sente “completamente pronta” a gestire i rischi esterni, l’evoluzione dei Security Operations Center (SOC) emerge come una leva concreta per trasformare la complessità in resilienza operativa.
Il panorama della cybersecurity globale è arrivato a un punto di svolta, segnato dall’emergere del cosiddetto “Vibe Hacking”: un'evoluzione della criminalità informatica in cui l’IA non viene usata solo come supporto, ma come vero e proprio "operatore" attivo di un attacco, trasformandosi da “consulente” in un vero e proprio sistema autonomo capace di gestire intere fasi di un’intrusione.
Tra gli episodi più recenti, un attacco osservato nella seconda metà di settembre 2025 avrebbe preso di mira circa 30 organizzazioni in settori diversi. In questa offensiva, l’IA sarebbe stata impiegata per automatizzare gran parte delle attività operative, dalla scoperta delle vulnerabilità fino alle fasi di movimento laterale ed esfiltrazione dei dati, lasciando agli attaccanti soprattutto un ruolo di supervisione.
In uno scenario in cui il tempo di compromissione si accorcia drasticamente, i modelli di difesa tradizionali non sono più sufficienti per proteggere un perimetro che ormai include cloud ibrido, identità distribuite e IoT.
Ecco perché l’evoluzione del SOC è diventata decisiva: non basta più vedere e segnalare eventi, serve una regia capace di correlare segnali diversi e trasformarli rapidamente in decisioni e azioni coerenti. In ambienti distribuiti, gli alert su endpoint, cloud, rete e identità sono spesso frammenti della stessa catena d’attacco: senza coordinamento, il rischio è reagire tardi o reagire in modo disallineato.
La storia dei SOC è un percorso di trasformazioni continue, dalle fasi più reattive a quelle proattive, fino all’attuale sesta generazione: il SOC adattivo e cognitivo. Il cambio di paradigma è profondo: si passa da una “torre di controllo” centrale (il SIEM) che osserva eventi lungo un perimetro statico, a un vero sistema nervoso digitale, capace di correlare segnali deboli e automatizzare risposte intelligenti.
Il beneficio più tangibile dell’integrazione dell’IA nel SOC è la riduzione dell’alert fatigue, uno dei principali colli di bottiglia nelle operation di sicurezza. In uno scenario reale, infatti, lo stesso attacco genera segnali distribuiti su livelli diversi: eventi (log, EDR, SIEM, IAM), traffico e flussi di rete (NetFlow/NDR), telemetria e analisi comportamentale (XDR/UEBA). Se questi segnali vengono gestiti come allarmi separati, il SOC è costretto a ricostruire manualmente la narrazione dell’incidente: collegare l’evento al traffico e al comportamento, capire la sequenza, stimare l’impatto, decidere le contromisure.
In un tipico attacco ransomware, questo può tradursi in fino a 16 allarmi distinti, dall’apertura di un allegato sospetto fino ai picchi di traffico verso lo storage o ai pattern di esfiltrazione.
Qui l’IA non agisce come un “approccio” separato, ma come uno strato trasversale che potenzia e unifica le evidenze: correla gli eventi, costruisce automaticamente una timeline coerente dell’attacco e assegna priorità agli alert in base al rischio e al potenziale impatto. Il risultato operativo è che i segnali frammentati vengono consolidati in un unico incidente molto più leggibile e gestibile. In questo modo gli analisti spostano il focus dalle attività tattiche ripetitive a decisioni più rapide e coerenti, con un impatto diretto sul Mean Time To Respond (MTTR).
In un contesto in cui l’offensiva si automatizza e il tempo di compromissione continua a ridursi, la resilienza dipende dalla capacità di integrare le fonti, ridurre il rumore e trasformare rapidamente le evidenze in decisioni e azioni tracciabili. In questo senso, l’IA rappresenta un cambio di passo nel modo in cui un SOC può funzionare: più integrato, più adattivo e più predittivo. Non perché sostituisca le persone, ma perché accelera la conversione tra segnali, decisioni e azioni, liberando tempo e risorse per attività a maggior valore e rendendo più sostenibile il modello operativo, pur introducendo nuove esigenze di governance, controllo ed “explainability” dei modelli.