Tại sao 90% các trung tâm SOC chưa đạt được hiệu quả tối ưu từ AI?

Sau 18 tháng bùng nổ, AI trong các trung tâm điều hành an ninh mạng (SOC) đã chuyển mình từ một xu hướng tiếp thị thành hạng mục ngân sách bắt buộc. Dữ liệu cho thấy các tổ chức đang triển khai AI với tốc độ chưa từng có, từ các công cụ AI co-pilot, tác nhân tự hành (agentic tools) cho đến các mô hình ngôn ngữ lớn (LLM) tích hợp sẵn.

Thực trạng đáng báo động từ báo cáo SOC-CMM 2026

Tuy nhiên, sự hào hứng này không đi đôi với kết quả. Theo báo cáo SOC-CMM 2026 Maturity Report khảo sát gần 200 SOC trên toàn cầu, chỉ có khoảng 10% đơn vị cho biết AI mang lại giá trị xuất sắc. 19% đánh giá ở mức tốt, trong khi 71% còn lại thừa nhận AI chỉ mang lại giá trị hạn chế hoặc không đáng kể.

Ba vấn đề cốt lõi được chỉ ra:

• Đầu tư quá mức vào công cụ: Việc sử dụng các mô hình AI có sẵn (off-the-shelf) tăng vọt, nhưng các đội ngũ SOC lại thiếu sự trưởng thành về vận hành để khai thác chúng.
• Mô hình “Taker”: 65% các SOC chỉ đơn thuần triển khai AI có sẵn mà không tùy chỉnh (customization) cho môi trường của mình.
• Thiếu quy trình chuẩn: Các thách thức về “thiếu thực hành tốt nhất” (best practices) và “độ phức tạp khi tăng trưởng” đang trở thành rào cản lớn hơn cả vấn đề ngân sách.

Sai lầm từ làn sóng AI đầu tiên: Sự phân mảnh

Làn sóng AI đầu tiên tập trung vào việc tích hợp các tính năng rời rạc: SIEM có AI để phân loại, EDR có AI để điều tra, SOAR có AI để tạo playbook. Vấn đề là các công cụ này hoạt động trong các silo riêng biệt, không chia sẻ ngữ cảnh với nhau. Kết quả là các nhà phân tích phải làm việc với nhiều trợ lý AI khác nhau, trong khi quy trình làm việc tổng thể vẫn bị ngắt quãng.

Đặc điểm của 10% SOC thành công

Những đơn vị đạt hiệu quả cao không sử dụng công cụ khác biệt, mà họ thay đổi kiến trúc vận hành:

1. Kiến trúc xuyên suốt (Fabric): AI hoạt động trên toàn bộ vòng đời SOC (từ tình báo đe dọa, săn tìm, phát hiện, điều tra đến phản ứng), thay vì chỉ một giai đoạn đơn lẻ.
2. Ngữ cảnh hóa (Contextualization): AI được huấn luyện trên dữ liệu đặc thù của tổ chức, hiểu rõ các tài sản quan trọng và lịch sử ra quyết định của các nhà phân tích.
3. Quản trị (Governance): Các hệ thống AI có khả năng giải trình (reasoning trace) và hoạt động trong các ngưỡng an toàn (guardrails) do con người thiết lập, tạo dựng sự tin tưởng để trao quyền tự chủ.

Tương lai: Làn sóng AI thứ hai

Làn sóng AI thứ hai không tập trung vào tính năng (feature) mà tập trung vào kiến trúc (architecture). Thay vì thay thế toàn bộ hệ thống cũ, các nền tảng mới đóng vai trò là lớp kết nối (connective layer), cho phép các công cụ hiện có (SIEM, EDR, Identity, Cloud) giao tiếp và chia sẻ ngữ cảnh. Trong bối cảnh các đối thủ tấn công đã bắt đầu sử dụng AI để tạo ra các zero-day exploit, việc chuyển dịch sang kiến trúc SOC kết nối là yêu cầu cấp thiết để duy trì lợi thế phòng thủ.

Nguồn tham khảo: The Hacker News