Tekoälyagentit tuovat uusia mahdollisuuksia poikkeamien tutkintaan ja niihin reagoimiseen. Agentti voi hankkia havaintoon liittyviä taustatietoja, arvioida niiden merkitystä ja valita seuraavat selvitystoimet sen perusteella, mitä tutkinnassa selviää. Sovittujen valtuuksien puitteissa se voi myös käynnistää tarvittavat vastetoimet. Yritykselle hyöty voi näkyä nopeampana tilanteen rajaamisena ja pienempänä oman henkilöstön työmääränä.
Näistä mahdollisuuksista kannattaa keskustella myös silloin, kun nykyinen palvelu toimii hyvin.
Kun havainnosta tarvitaan nopeammin konkreettisia toimia
Yksi hyödyllisimmistä tarkastelukohdista on matka ensimmäisestä havainnosta tilanteen hallintaan. Kuinka paljon aikaa kuluu tiedon keräämiseen, tapahtumien yhdistämiseen, päätöksentekoon ja tarvittavien toimien käynnistämiseen?
Esimerkiksi epäilyttävän kirjautumisen selvittäminen voi edellyttää tietoja käyttäjän tunnuksesta, päätelaitteesta, kirjautumishistoriasta ja muista samanaikaisista tapahtumista. Jos selvitys kulkee usean järjestelmän ja vastuuhenkilön kautta, kokonaisuuteen voi syntyä odotusta, vaikka jokainen yksittäinen vaihe toimisi sovitusti.
Tällöin kannattaa arvioida, mitä vaiheita voidaan yhdistää ja automatisoida. Osa onnistuu hyvin ennalta määritellyillä työnkuluilla.
Agenttipohjainen toimintamalli voi tuoda lisäarvoa erityisesti tehtäviin, joissa tarvitaan vaihtelevan tiedon tulkintaa ja jatkotoimien valintaa tilanteen perusteella.
Kun yrityksen oma osallistumiskyky muuttuu
Ulkoistettukin SOC tarvitsee yhteyden yrityksen liiketoimintaan. Jonkun yrityksessä on tunnettava kriittiset järjestelmät, hyväksyttävä tarvittavat toimintavaltuudet ja osallistuttava tilanteisiin, joissa päätöksillä voi olla merkittäviä vaikutuksia.
Palvelumallia kannattaa arvioida, jos organisaation omalle IT-tiimille päätyy jatkuvasti selvitystehtäviä tai päätöksiä, joiden hoitamiseen sillä ei ole riittävästi aikaa. Sama koskee tilanteita, joissa yritys tarvitsee aiempaa kattavampaa reagointia myös työajan ulkopuolella.
Agenttipohjainen palvelu voi auttaa viemään sovittuja tehtäviä pidemmälle itsenäisesti. Olennainen kysymys on, kuinka pitkälle palvelu hoitaa tilanteen ja missä vaiheessa omaa henkilöstöä tarvitaan. Tämä kannattaa selvittää konkreettisten esimerkkien kautta: mitä tapahtuu epäilyttävän kirjautumisen, saastuneen päätelaitteen tai vaarantuneen käyttäjätunnuksen kohdalla?
Kun kasvua halutaan tukea hallitusti
Uudet pilvipalvelut, yritysostot ja laajeneva toimintaympäristö ovat luontevia hetkiä tarkistaa SOCin kattavuus. Samalla kannattaa arvioida, miten tutkinta ja reagointi toimivat järjestelmärajojen yli.
Pelkkä kasvava hälytysmäärä ei vielä ratkaise sopivaa palvelumallia. Ensin on ymmärrettävä, mistä kasvu johtuu. Tarvitaanko parempaa havaintojen säätämistä, lisää näkyvyyttä, uusia integraatioita vai enemmän käsittelykapasiteettia?
Agentic SOCin soveltuvuutta kannattaa arvioida erityisesti silloin, kun useista tietolähteistä koottava selvitystyö kasvaa ja yritys tarvitsee kykyä käsitellä enemmän tapahtumia myös ruuhkatilanteissa. Tällöin palveluntarjoajan kanssa kannattaa tarkastella, miten käsittelyn nopeus ja laatu säilyvät kuormituksen vaihdellessa ja miten kustannukset kehittyvät ympäristön kasvaessa.
Milloin arviointi kannattaa käynnistää?
Arvioinnin tueksi voi ottaa muutaman oman liiketoiminnan kannalta olennaisen tilanteen:
| Tilanne | Mitä kannattaa arvioida? | Miten asiaa voi selvittää? |
| Uhkat tai hyökkäysmenetelmät muuttuvat | Mitä muutos tarkoittaa yrityksen riskeille ja nykyiselle havainto- ja reagointikyvylle? | Käy palveluntarjoajan kanssa läpi yritykselle merkityksellinen hyökkäysskenaario. |
| Oma IT-tiimi kuormittuu poikkeamien käsittelystä | Mitä tehtäviä palvelu voisi hoitaa pidemmälle itsenäisesti? | Tarkastele toteutuneita tapauksia ja omalle henkilöstölle jäänyttä työmäärää. |
| Nykyinen reagointiaika ei vastaa liiketoiminnan tarpeita | Missä vaiheissa viivettä syntyy ja mitä siitä seuraa? | Mittaa aika havainnosta tilanteen rajaamiseen ja tunnista kehityskohdat. |
Kehityksen pitää näkyä palvelun toiminnassa
Hyvin toimiva SOC voi jo hyödyntää automaatiota ja tekoälyä laajasti. Siksi Agentic SOCia arvioitaessa kannattaa pyytää palveluntarjoajaa kuvaamaan, mikä käytännössä muuttuu:
-
mitä tehtäviä agentit hoitavat
-
miten niiden työn laatua valvotaan ja
-
miten asiantuntijat osallistuvat poikkeustilanteisiin.
Erityistä huomiota kannattaa kiinnittää siihen, miten palvelu käsittelee epävarmuutta. Milloin agentti hankkii lisätietoa, milloin se voi toteuttaa sovitun toimenpiteen ja milloin tapaus siirtyy asiantuntijalle? Myös virheellisen tulkinnan tunnistamisen ja korjaamisen pitää olla osa toimintamallia.
Käytännössä eteneminen voi alkaa rajatusta käyttötapauksesta, jolle asetetaan selkeä tavoite. Jos tavoitteena on esimerkiksi nopeuttaa vaarantuneen tunnuksen käsittelyä, arvioidaan koko ketjua havainnosta tutkintaan ja tarvittaviin vastetoimiin. Samalla seurataan tutkinnan laatua ja asiakkaalle jäävää työmäärää. Näin saadaan näyttöä siitä, missä agenttipohjainen toimintamalli tuottaa hyötyä ja mihin sitä kannattaa laajentaa.
Yrityksen kannattaa ottaa Agentic SOC keskusteluun silloin, kun se pystyy nimeämään konkreettisen tarpeen: nopeampi tilanteen rajaaminen, kattavampi tutkinta, pienempi manuaalinen työmäärä tai parempi kyky palvella kasvavaa ympäristöä.
Hyvä aloitus on käydä nykyisen SOC-kumppanin kanssa läpi yksi todellinen poikkeamatilanne alusta loppuun. Missä aikaa kului, missä tarvittiin ihmisen harkintaa ja mitä olisi voitu tehdä sujuvammin? Näistä vastauksista muodostuu perusteltu suunta seuraavalle kehitysaskeleelle.
