Fluxo de trabalho SOC ponta a ponta, automação (SOAR), gerenciamento de qualidade e autoauditoria — Inteligência Artificial em Segurança Cibernética

Ganhos:

Capacidade de projetar um fluxo de trabalho SOC de ponta a ponta que consiste em coleta, detecção, triagem, investigação, intervenção, melhoria, relatórios e feedback, especificando a localização da inteligência artificial e das portas humanas
Capacidade de separar a automação de acordo com o nível de risco (etapas de baixo risco/reversíveis são automáticas, etapas de alto risco/irreversíveis são controladas por humanos) e projetar um caminho de reversão para cada ação automática.
Capacidade de estabelecer um ciclo de automonitoramento e feedback que mede regularmente a taxa de falsos positivos/negativos, MTTD/MTTR, precisão de saída e desvio do modelo

Esta unidade final combina as peças que aprendemos separadamente ao longo do módulo (análise de log, caça a ameaças, gerenciamento de vulnerabilidades, resposta a incidentes, phishing, revisão de código, inteligência, relatórios) em um único fluxo de trabalho completo. Em um verdadeiro centro de operações de segurança (SOC), essas etapas não estão desconectadas; Um alarme aciona uma investigação, que aciona uma resposta, que aciona um relatório, que aciona uma correção. A inteligência artificial está envolvida em todos os elos desta cadeia, mas é o ser humano quem mantém a cadeia e toma decisões em cada porta crítica.

Além disso, esta unidade cobre dois tópicos críticos. A primeira é a automação: quando SOAR (Security Orchestration, Automation and Response — a plataforma que automatiza e organiza processos de segurança) e IA se combinam, tanto o poder quanto o risco aumentam; É necessário distinguir entre o que pode ser automatizado e o que nunca pode ser retirado da aprovação humana. Em segundo lugar, gestão da qualidade e autorregulação: uma operação de segurança baseada na IA não é criada e abandonada uma vez; é constantemente monitorado, medido, realimentado e corrigido. A automação aumenta a velocidade, mas não elimina a responsabilidade; Um programa de segurança permanece seguro apenas através de automonitoramento regular.

Fluxo de trabalho SOC de ponta a ponta

Vamos ver onde a IA entra em ação e quem a aprova em um ciclo de vida típico de incidente:

Coleta e monitoramento: Fluxo de logs para SIEM; AI reduz ruído, resume. (Automático, baixo risco.)
Detecção e alarme: Regra + anomalia + detecção de padrão AI. (Produção automática; a triagem é feita em humanos.)
Triagem: O alarme é real ou falso positivo? A IA sugere justificativa e prioridade; analista confirma. (Porta humana.)
Investigação: a IA coleta evidências, estabelece um cronograma, lista a causa raiz; o analista confirma com evidências brutas. (Porta humana.)
Intervenção: Isolamento, trancamento, limpeza. A IA fornece escolha/influência; A decisão está nas mãos do analista autorizado. (Portão humano crítico.)
Correção: Fechamento de vulnerabilidade, eliminação de causa raiz. Rascunho do plano de IA; aprovação no gerenciamento de mudanças. (Humano + processo.)
Relatórios: a IA escreve um rascunho e se adapta ao público; O perito verifica e assina as provas. (Porta humana.)
Aprendizagem de lições e feedback: a IA extrai padrões; Atualiza regras e manuais de detecção de equipe. (Humano + processo.)

A regra desta cadeia: etapas repetitivas, reversíveis e de baixo risco podem ser automatizadas; Passos de alto risco, irreversíveis e que exigem julgamento passam pela porta humana.

Tabela de decisão de automação

passo

Pode ser automatizado

condição

aprovação humana

Coleta de logs, normalização

Sim, exatamente

não é necessário

Enriquecimento de alarme (pesquisa IOC)

Sim

A fonte é confiável

É revisado

Eliminação de falso positivo (bom conhecido)

parcialmente

regra estrita

Inspecionado por amostragem

E-mail de phishing de quarentena

parcialmente

alta precisão

Revisão + caminho de reversão

Bloquear automaticamente uma conta

cuidado

Apenas critérios claros

Verificação humana rápida

Isole o servidor

Geralmente não

Exceto para infraestrutura crítica

Decisão humana forçada

Patching (produção)

não

Teste + gerenciamento de mudanças

Relatório/notificação oficial

não

Especialista + direito

Gestão da qualidade e autoauditoria

Uma operação de segurança alimentada por IA é um sistema vivo; seu desempenho muda com o tempo (novos ataques, mudanças de ambiente, atualizações de modelo). Medições regulares são necessárias para mantê-lo seguro:

Taxa de falsos positivos e falsos negativos: com que frequência a IA dispara alarmes em vão, com que frequência não percebe a ameaça real? Os falsos negativos são especialmente observados porque causam danos silenciosamente.
MTTD/MTTR: Os tempos médios de detecção e resposta estão melhorando?
Precisão dos resultados da IA: por amostragem, quantos resumos/descobertas/citações da IA passam na validação?
Segurança de automação: as ações automáticas funcionam conforme o esperado, existem gatilhos falsos, as reversões estão funcionando?
Ciclo de feedback: Os eventos reais encontrados tornam-se novas regras de detecção e os alarmes gerados tornam-se listas de exceções?

Termos: MTTD (tempo médio para detecção). O ciclo de feedback ocorre quando a operação aprende com seus próprios resultados e atualiza suas regras. O desvio do modelo ocorre quando a IA se torna obsoleta e o desempenho diminui conforme o ambiente muda. A autoauditoria é a revisão crítica e regular dos processos da própria equipe.

três mini cases

Caso 1 — Automação correta. Um SOC automatiza a etapa de “enriquecimento e priorização automática de alertas que correspondam a IOCs maliciosos conhecidos e que estejam em uma categoria de baixo risco”; mas sempre deixa a etapa de "isolar um servidor" para aprovação humana. O resultado: os analistas ficam livres de 400 alarmes de rotina por dia, liberando tempo para investigações reais, deixando as decisões críticas para o ser humano. A parte certa da cadeia é automática, o lugar certo é humano.

Caso 2 – O tiro sai pela culatra da automação. Outro SOC define a regra de “bloqueio automático de conta em login suspeito” de forma muito ampla. Um dia, devido a um erro de configuração, a regra bloqueia 1.200 usuários legítimos de uma só vez e o trabalho é interrompido; Além disso, o caminho de recuperação não está definido. Lição: a automação de alto impacto deve ter critérios rígidos, implantação gradual e um caminho de reversão. A automação deve ser reversível e monitorada por meio da autorregulação.

Caso 3 — O deslize capturado pelo autocontrole. Em uma autoauditoria de três meses, uma equipe percebe que a precisão da detecção de phishing da IA está diminuindo: uma nova onda de phishing é perdida porque não se ajusta a padrões antigos (desvio de padrão). A equipe coleta amostras, atualiza as regras de detecção e atualiza o contexto dado à IA. Sem autocontrolo regular, esta evasão silenciosa poderia ter continuado durante meses. Lição: só porque o desempenho é bom uma vez, nem sempre permanece bom; medição e feedback são essenciais.

Alerta fraco / Alerta forte

Alerta fraco:

Automatize totalmente nosso SOC e deixe a IA cuidar de tudo.

Esta solicitação exige automação sem discriminação de risco, ignora portas humanas e não considera reversão e controle. Se implementadas, as decisões de alto risco tornar-se-ão automatizadas sem supervisão e transformar-se-ão num desastre ao primeiro erro.

Alerta poderoso:

Sua função: Consultor em design de processos SOC. [Liste] essas etapas do ciclo de vida do evento em três com base no nível de risco: (A) totalmente automatizado (baixo risco, reversível, repetitivo), (B) recomendações de IA + aprovações humanas, (C) decisão sempre humana (alto risco, irreversível). Sugira um caminho de reversão obrigatório e uma métrica de rastreamento para cada (A) e (B). Elabore também uma lista de verificação de autoauditoria trimestral: taxa de falsos positivos/negativos, MTTD/MTTR, amostragem de precisão de saída de IA, sinais de desvio de padrão.

A forte procura separa a automação por nível de risco, exige reversão e monitorização e estabelece um quadro de autorregulação.

Modelos de prompt copiáveis

MODELO DE SEPARAÇÃO DE RISCO DE AUTOMAÇÃO Separe essas etapas do fluxo de trabalho de segurança em três: (A) apropriado totalmente automatizado, (B) Recomenda aprovação humana, (C) decisão sempre humana. Escreva a justificativa, a reversibilidade e o impacto nos negócios para cada etapa. Recomendar caminho de reversão obrigatório para etapas de alto impacto. Etapas: [lista]

MODELO DE DESIGN DE ROLLBACK para ação automática [por exemplo, bloqueio de conta] propõem um design seguro: critérios de acionamento (estreitos), implantação gradual, etapa de reversão de acionamento falso, aviso e ponto de verificação humana. Projete para evitar automação cega. Ação: [escrever]

MODELO DE LISTA DE VERIFICAÇÃO DE AUTO-AUDITORIA Elabore uma lista de verificação de auto-auditoria trimestral para um SOC alimentado por IA: taxa de falsos positivos/negativos, tendência MTTD/MTTR, amostragem de precisão de saída de IA, falsos gatilhos de automação, sinais de desvio de padrão, operação de ciclo de feedback, conformidade com privacidade/anonimização. Para cada item, escreva como ele será medido.

MODELO DE LOOP DE FEEDBACKDesenhe o que é aprendido com o evento/alarme real que falha: (1) o padrão que se tornará uma nova regra de detecção, (2) o falso positivo que será adicionado à lista de exceções, (3) a etapa do manual que será atualizada, (4) o novo contexto que será dado à IA. Resumo do evento/alarme: [colar]

Erros comuns

Automatizando a etapa de alto risco. Etapas irreversíveis, como isolamento do servidor, correção de produção e notificação oficial, não são removidas da porta humana.
Não elaborando um caminho para a recuperação. É possível que qualquer ação automática seja acionada incorretamente; A automação sem um ponto de desfazer e confirmação é perigosa.
Defina e esqueça. O desempenho da IA muda à medida que o ambiente muda; Sem automonitoramento e medição regulares, as evasões silenciosas se acumulam.
Apenas rastreando o falso positivo. Um falso negativo (a ameaça real que passa despercebida) é mais perigoso, mas mais difícil de ver; Assista em particular.
Negligenciar feedback. Se os eventos detectados não se transformarem em uma nova regra e os alarmes com falha não se transformarem em uma exceção, a operação não aprende e repete o mesmo erro.

Dica: A questão de ouro na decisão de automação: “Esta ação pode ser desfeita se acionada incorretamente e qual é o impacto nos negócios?” Se a resposta for “facilmente desfeito, baixo impacto”, automatize; Se for "irreversível ou de alto impacto" mantenha-se à porta humana.

Cuidado: A automação não elimina a responsabilidade, apenas a acelera. Uma ação automática mal concebida causa danos muito mais rápidos e mais amplos do que um ser humano poderia. Cada automação é cercada por critérios restritos, caminho de reversão e inspeção regular; A responsabilidade final sempre cabe ao ser humano.

Em resumo

Esta unidade combinou todas as partes do módulo em um fluxo de trabalho SOC de ponta a ponta: coleta, detecção, triagem, investigação, resposta, remediação, relatórios e feedback. A IA está envolvida em todos os elos, mas é o ser humano quem mantém a cadeia e toma decisões em todas as portas críticas. Automação (SOAR + AI) aumenta potência; A regra é clara: etapas repetitivas, reversíveis e de baixo risco tornam-se automatizadas, etapas irreversíveis e de alto risco passam pela porta humana e toda automação tem uma maneira de ser desfeita. Finalmente, um programa de segurança alimentado por IA está ativo: falsos positivos/negativos, MTTD/MTTR, precisão de saída e desvio de padrão são medidos regularmente; O que é encontrado se transforma em regras e manuais em um ciclo de feedback. A automação acelera a responsabilidade, não a elimina; O autocontrole mantém a segurança viva.

Tarefa de aplicativo

Escreva o ciclo de vida do incidente da sua própria organização (ou de um exemplo de SOC). Classifique cada etapa como A/B/C com o modelo “Separação de risco de automação” e obtenha um design de automação seguro com o modelo “Design de reversão” para pelo menos uma etapa de “alto impacto”. Em seguida, crie uma lista de verificação trimestral com o modelo “Lista de verificação de autoauditoria” e determine como você medirá cada métrica em seu ambiente.

lista de verificação

[] Dividi cada etapa do ciclo de vida do incidente em classes de risco A/B/C.
[ ] Mantive passos irreversíveis e de alto risco na porta humana.
[] Projetei critérios restritos e caminho de desfazer para cada ação automática.
[] Planejei monitorar a taxa de falsos positivos e especialmente falsos negativos.
[] Planejei medir regularmente a precisão dos resultados do MTTD/MTTR e da IA.
[] Estabeleci uma lista de verificação trimestral de automonitoramento para desvios de padrão.
[] Conectei os eventos encontrados e lancei alarmes no loop de feedback.

Exame do Módulo

1. Uma IA de triagem SIEM sinalizou um alarme como “baixa prioridade, provavelmente falso positivo” e colocou-o no final da lista. O que o analista deve fazer em relação a esse alarme?

A) Ainda verifica o alarme de forma independente e o verifica com evidências brutas; O analista toma a decisão de fechamento e a registra ✔
B) A inteligência artificial desliga automaticamente o alarme sem examiná-lo porque diz que é de baixa prioridade.
C) Transfere o alarme para o próximo turno como está.
D) Basta olhar o resumo dado pela inteligência artificial e passar o relatório

Explicação: A priorização da IA é uma recomendação, não um diagnóstico; A bandeira de “baixa prioridade” pode cobrir um ataque real (falso negativo). O analista ainda deve verificar o alerta de forma independente, verificá-lo com evidências brutas e tomar ele mesmo a decisão de fechá-lo. Um resultado negativo da IA não é garantia de “ausência de ameaça”.

2. Que combinação de riscos a IA está rotulando um ataque real como ‘normal’ e o analista confia nisso e relaxa sua própria análise?

A) Apenas falso positivo e fadiga de alarme
B) Falso negativo e viés de automação (confiança excessiva em IA) ✔
C) Apenas falta de fonte de log
D) Apenas erro de regra SIEM

Explicação: É um falso negativo se o modelo não perceber a ameaça real; O viés de automação ocorre quando o analista confia demais na inteligência artificial e abandona a revisão independente. Quando os dois se combinam, a razão de ser do controle humano desaparece e o ataque pode ser totalmente contornado. É por isso que áreas que a inteligência artificial chama de ‘limpas’ também são examinadas.

3. A IA disse ‘CVE-2024-88888, CVSS 9.8, patch imediatamente’ durante uma triagem. O que o analista deve fazer primeiro?

A) Considera o CVE confiável e inicia o plano de patch imediatamente
B) Só porque o CVSS é 9.8, ele o coloca em primeiro lugar, sem olhar para quaisquer outras vulnerabilidades
C) Verifica o número e pontuação do CVE no registro do NVD/fornecedor; ✔ Caso não haja registro, ele não será listado sabendo que pode ser falso.
D) Sem verificar o CVE, o administrador escreve-o no relatório como 'ameaça crítica'

Descrição: Os modelos de linguagem podem ajustar-se fluentemente a um número e pontuação CVE inexistentes (alucinação). O analista deve verificar o CVE no registro do NVD/fornecedor e confirmar sua autenticidade e pontuação antes de se comprometer com o cronograma de correção. Um CVE não verificado conecta-se primeiro ao recurso; Caso contrário, a equipe perderá tempo buscando um patch que não existe.

4. Para acelerar uma investigação de incidente, um especialista cola o log bruto do firewall junto com IPs internos reais, nomes de usuários e nomes de servidores VPN em uma ferramenta de IA disponível publicamente. Qual é o principal problema aqui?

A) A IA não consegue ler o formato do log, então a análise é inútil
B) Se o log for muito longo, o modelo fica lento.
C) Os logs do firewall não são adequados para análise de qualquer maneira
D) IP real, nomes de usuários e servidores são compartilhados sem anonimato; Isso é uma violação do KVKK e um vazamento do mapa de rede da organização ✔

Descrição: Os dados de segurança são dados pessoais (usuário, IP) e inteligência corporativa que revelam a superfície de ataque da organização (topologia de rede, nomes de servidores). Fornecer isso a uma ferramenta externa sem anonimizá-lo é uma violação do KVKK e revela um mapa de rede que será útil para o invasor. Primeiro, os valores reais são mascarados com espaços reservados consistentes.

5. O que torna uma caça a ameaças considerada bem planejada?

A) Começa com uma hipótese concreta e testável e o vestígio encontrado é confirmado por evidências brutas ✔
B) Começa dizendo à inteligência artificial ‘descubra se há um invasor na minha rede’
C) Declara automaticamente cada evento anormal/raro encontrado como um ataque
D) Só funciona quando chega um alarme, não é proativo

Explicação: Uma boa caça às ameaças não começa com um alarme, mas com uma hipótese concreta e testável que pode ou não ser verdadeira (por exemplo, 'A conta X conectou-se a mais de 50 IPs internos fora do horário comercial'). Uma pergunta vaga como ‘Há algo ruim na minha rede’ não pode ser testada e deixa a IA na dúvida. O rastro encontrado não é considerado uma ameaça até que seja verificado com evidências brutas.

6. Uma vulnerabilidade tem uma pontuação CVSS de 9,1 em um servidor de teste isolado na rede interna; Na mesma lista, CVSS 7.5 em servidor aberto à internet, mas há outra vulnerabilidade na lista KEV (que na verdade é explorada). O que é priorização correta?

A) Aquele com o CVSS mais alto (9.1) é sempre corrigido primeiro
B) A vulnerabilidade de 7.5 na Internet e na lista KEV é levada adiante; CVSS não é o único critério, a exposição e o abuso real são decisivos ✔
C) Ambos são corrigidos ao mesmo tempo e com a mesma prioridade, a distinção é desnecessária
D) Nenhum deles foi corrigido porque há uma vulnerabilidade no servidor de teste

Explicação: O CVSS não define prioridades sozinho; o risco real é determinado pelo EPSS (probabilidade de exploração), KEV (exploração real) e pelo contexto organizacional (exposição, criticidade, controle compensatório). A vulnerabilidade exposta e realmente explorada (KEV) da Internet evita a vulnerabilidade isolada e de baixa probabilidade de alto CVSS.

7. Numa resposta a incidente, a inteligência artificial diz 'O tráfego originado de IC_HOST_7 é suspeito, isole este servidor'. IC_HOST_7 é o principal servidor de autenticação da instituição. O que o analista deve fazer?

A) A inteligência artificial isola imediatamente o servidor porque assim o diz
B) Deixa a decisão de isolamento inteiramente para a inteligência artificial
C) Primeiro avalie o impacto nos negócios e a causa do tráfego; Não isola a infraestrutura crítica sem medir seu impacto e toma a decisão como analista ✔
D) Isola o servidor e exclui todos os logs

Descrição: O isolamento é uma decisão crítica difícil de reverter e que pode levar à interrupção dos negócios; não pode ser transferido para inteligência artificial. Isolar o servidor de autenticação pode impedir o login de todos os funcionários. O analista deve primeiro avaliar o impacto nos negócios e a causa do tráfego (pode ser uma transação legítima), tomar ele mesmo a decisão; A sugestão de inteligência artificial não deve ser implementada como uma ordem.

8. Em um incidente de ransomware, a equipe deseja reconstruir uma máquina afetada para limpá-la rapidamente; mas há evidências forenses (despejo de memória, ferramentas do invasor) na máquina que ainda não foram coletadas. Qual é a abordagem correta?

A) A máquina é imediatamente reinstalada; evidência é irrelevante
B) A inteligência artificial é solicitada para 'limpeza mais rápida' e a instrução é aplicada às cegas.
C) A máquina é desligada e jogada fora porque as provas já estão no diário.
D) Primeiro, a imagem forense e o despejo de memória são obtidos e as evidências são preservadas e, em seguida, é realizada a limpeza/recuperação ✔

Explicação: A velocidade de recuperação não pode superar a preservação de evidências. Reinstalar a máquina sem recolher provas destrói a cadeia de custódia e paralisa o processo judicial. Primeiro, uma imagem forense e um despejo de memória são obtidos e, em seguida, a limpeza/recuperação é realizada. As etapas forenses não são delegadas à IA.

9. Qual é uma das camadas mais confiáveis de verificação técnica ao analisar uma suspeita de e-mail de phishing e como ela deve ser confirmada?

A) Resultados SPF/DKIM/DMARC em cabeçalhos de e-mail; Confirmado pelo título bruto, não pelo resumo da IA ✔
B) Cor e fonte do email; decidido pelo design visual
C) Clique no link suspeito no sistema ativo e veja a página que se abre.
D) A inteligência artificial dizendo que 'phishing' por si só é evidência suficiente

Explicação: Os resultados SPF/DKIM/DMARC em cabeçalhos de e-mail são fortes indicadores de se o e-mail realmente vem do domínio ao qual afirma; Se todos os três falharem e o remetente falsificar o domínio, a suspeita se tornará mais forte. No entanto, isto deve ser confirmado pelo título bruto e não pelo resumo da IA. Além disso, links suspeitos nunca são clicados no sistema ativo.

10. Em uma revisão de código, a IA sugeriu uma correção para uma vulnerabilidade XSS e disse ‘fecha a vulnerabilidade’. O que o analista/desenvolvedor deve fazer?

A) Considera a correção confiável e a coloca diretamente em produção
B) Revisa a correção, confirma se ela realmente fecha a vulnerabilidade e não introduz novas vulnerabilidades/bugs e escreve um teste; Só então ele entra no armazenamento ✔
C) Como não tem certeza, ele reescreve todo o arquivo na inteligência artificial e o utiliza.
D) Aplica a correção, mas passa sem escrever nenhum teste

Explicação: A correção sugerida pela IA não é automaticamente segura; Pode não fechar a vulnerabilidade completamente, pode limpar a camada errada ou pode introduzir uma nova vulnerabilidade/erro funcional. Cada patch é revisado, avaliado se ele realmente fecha a vulnerabilidade e se introduz novos problemas, e casos de teste positivos e negativos são escritos; Só então entra no armazém.

11. Ao analisar um ataque, a inteligência artificial disse ‘este é definitivamente o trabalho do grupo APT-Dark Eagle’. Qual é a abordagem correta em termos de inteligência sobre ameaças?

A) Aceite a referência como ela é e escreva-a no relatório como o 'autor definitivo'
B) Ele constrói toda a sua defesa com base naquele grupo sem nunca questionar o nome do grupo.
C) Usa linguagem 'consistente com as técnicas' em vez de atribuição precisa, verifica o grupo em fontes conhecidas e leva em consideração a possibilidade de fabricação ✔
D) A citação é sempre desnecessária, não é levada em consideração

Explicação: A atribuição de grupo é a área de inteligência mais difícil e mais imprecisa; A IA pode até inventar um nome de banda que não existe. Em vez de uma referência exacta, é utilizada a linguagem «compatível com estas técnicas» e o nome do grupo é confirmado em fontes de inteligência conhecidas. Além disso, a defesa não se baseia em IOCs de curta duração, mas na detecção permanente de TTP.

12. Em um rascunho do relatório do incidente, a IA escreveu a frase ‘o invasor provavelmente ficou lá dentro por três semanas e exfiltrou dados do cliente’; embora não haja nenhuma evidência logística conclusiva para apoiar essas alegações. O que o analista deve fazer?

A) Deixa a frase como está porque é dramática e impressionante
B) Deixa a frase, mas acrescenta 'inteligência artificial escrita' no final
C) Reimprime todo o relatório para a inteligência artificial e assina sem verificá-lo.
D) Corrige reivindicações baseadas em evidências; Faz a distinção entre 'possível/comprovado/sob investigação' e extrai a declaração definitiva sem evidências ✔

Comentário: Num relatório formal de segurança, todas as alegações devem ser fundamentadas e “provável” nunca deve ser confundido com “provado”. Uma reclamação sem provas tem consequências jurídicas, financeiras e de reputação. O analista deve corrigir a frase de acordo com as evidências (por exemplo, escrever a data do primeiro acesso detectado e dizer “nenhuma evidência conclusiva encontrada, a investigação está em andamento” para o vazamento de dados).

13. Um gestor quer traçar o perfil de todas as atividades de um funcionário a partir de registros de segurança com inteligência artificial para entender se ele é ‘leal’ ou não. O que um profissional de segurança deve fazer?

A) Rejeita a solicitação e encaminha-a ao canal apropriado (RH/jurídico/investigação definida); dados de segurança não são um meio de vigilância pessoal ✔
B) Cria e entrega o perfil porque o gestor solicita
C) Extrai apenas alguns logs e fornece um perfil parcial
D) Ter o perfil criado pela inteligência artificial porque a responsabilidade passa para a inteligência artificial

Descrição: Os dados de segurança são recolhidos para fins de segurança; Rastrear/criar perfil de uma pessoa é uso indevido, transforma-se em vigilância pessoal e viola o KVKK. O perito deverá rejeitar este pedido e encaminhá-lo ao canal apropriado (RH, jurídico, quadro investigativo definido e legítimo). A boa vontade ou a vontade do gestor não justificam esse limite.

14. Um SOC decide quais etapas do fluxo de trabalho de segurança serão automatizadas. Qual é o melhor princípio para automação?

A) As decisões de maior risco devem ser automatizadas primeiro para que não haja envolvimento humano
B) As etapas de baixo risco/reversíveis são automatizadas; etapas de alto risco/irreversíveis permanecem na porta humana e toda automação tem uma maneira de ser desfeita ✔
C) Todo SOC deve ser totalmente automatizado e a autoauditoria é desnecessária
D) As ações automatizadas não precisam ser desfeitas porque a IA não comete erros

Explicação: Etapas de baixo risco, repetitivas e reversíveis (coleta de registros, enriquecimento de alarmes) podem ser automatizadas; Etapas de alto risco, irreversíveis e que exigem julgamento (isolamento do servidor, correção de produção, notificação oficial) passam pela porta humana. Além disso, toda ação automática deve ter critérios restritos e uma forma de desfazer. A automação não elimina a responsabilidade, apenas acelera.