Quase 90% dos centros de operação de segurança convivem com filas acumuladas de alertas e falsos positivos, enquanto 80% dos analistas dizem estar cronicamente atrasados em relação ao volume de trabalho. A pesquisa SANS de Detecção e Resposta de 2025 reforçou o diagnóstico: 73% das equipes apontam falsos positivos como principal desafio de detecção e 66% não conseguem acompanhar o ritmo dos alertas recebidos.
O modelo de SOC que prevaleceu nas últimas duas décadas — analistas humanos revisando e triando manualmente milhares de notificações por dia — chegou a um limite operacional que contratação não resolve. O déficit de talentos é global, mas pesa de forma particular em mercados como o brasileiro, que disputa profissionais qualificados em um setor de rotatividade alta e demanda crescente.
A conta que sustenta esse modelo nunca foi favorável e agora ficou insustentável. Um SOC com quatro analistas investiga entre 300 e 400 alertas de alta prioridade por semana; cerca de 90% se revelam benignos e os 10% restantes são a razão de a equipe existir. Todos eles, benignos ou não, precisam ser analisados, correlacionados, decididos e documentados.
Levantamento do Cybersecurity Insiders de 2025 mostra que a investigação média de um alerta consome 70 minutos, com 56 minutos de espera antes que alguém comece a atuar. A conta não fecha até o fim da semana. E não se trata apenas de volume: 77% das empresas relataram aumento no fluxo de alertas no último ano, com 46% registrando saltos de 25% ou mais.
Do outro lado, a lacuna global de profissionais de cibersegurança chegou a 4,8 milhões de posições não preenchidas, e 59% das equipes classificam a escassez como significativa. Segundo a mesma pesquisa SANS de 2025, 70% dos analistas de SOC com menos de cinco anos de experiência deixam a função em até três anos, alimentando um ciclo em que o conhecimento institucional se perde e a carga sobre quem fica só aumenta.
O que está em curso não é uma melhoria incremental do modelo, é uma mudança de arquitetura. A segurança deixa de ser função reativa baseada em triagem humana para se tornar uma plataforma orquestrada por agentes de IA, com as máquinas assumindo o trabalho de alto volume e velocidade enquanto os analistas se concentram em julgamento estratégico, investigação complexa e decisões que dependem de contexto.
Dados da Torq de 2026 indicam que plataformas de triagem baseadas em IA automatizam 95% ou mais da investigação de alertas de primeiro nível. O Relatório de Custo de Violação de Dados da IBM de 2025 mostra que empresas com uso extensivo de IA nas operações de segurança reduziram o ciclo de vida das violações em 80 dias e economizaram, em média, 1,9 milhão de dólares. Cerca de dois terços das companhias já experimentam agentes de IA em segurança, mas menos de um quarto os colocou em produção — sinal de que o ponto de inflexão prático é este ano.
O papel dos Recursos Humanos no SOC
A transformação não dispensa profissionais humanos; redefine radicalmente o que se espera deles. As funções de analista de primeiro nível, hoje concentradas em triar alertas e fechar chamados, tendem a ser absorvidas por sistemas de IA — modelos atuais já levam um alerta do sinal inicial à correlação e ao veredito com mais velocidade e consistência do que um analista júnior.
Para times menores e empresas de médio porte, isso é transformador: qualquer SOC passa a operacionalizar a velocidade e a consistência de investigação que antes eram privilégio de grandes corporações. A contrapartida é que o piso de competência sobe. Os analistas remanescentes precisam dominar o que a IA ainda não faz — investigação criativa de ameaças, leitura de contexto de negócio, arquitetura de detecção e ajuste contínuo dos próprios modelos.
Nenhuma plataforma de segurança resolve sozinha a complexidade do ambiente corporativo atual. O modelo que se consolida é o de uma plataforma central, tipicamente um SIEM de nova geração, cercada por parceiros especializados que entregam a verticalização que ela não cobre por si só.
Iniciativas como a MISA (Microsoft Intelligent Security Association), que reúne mais de 300 empresas em torno de uma infraestrutura compartilhada de segurança, mostram como a defesa vem se tornando um esporte coletivo, com parceiros do ecossistema contribuindo com inteligência de ameaças, capacidades específicas de detecção e automação de resposta conectadas à mesma malha operacional.
O modelo reflete algo que todo CISO conhece: ameaças não respeitam o limite de uma única ferramenta. Um incidente típico atravessa identidade, endpoint, nuvem e e-mail, e a resposta eficaz depende de visibilidade unificada e ação coordenada entre camadas que historicamente operavam em silos. Para o CISO, a decisão de plataforma deixa de ser escolha entre fornecedores isolados e passa a ser escolha de qual ecossistema oferece cobertura mais ampla e integração mais profunda.
O momento de redesenhar a operação de segurança é agora, e a razão não é apenas técnica. O ecossistema de agentes de segurança ainda está se formando, e há vantagem concreta em estar entre os primeiros a adotá-lo. Quem redesenhar agora terá tempo de calibrar governança, estabelecer controles e construir a confiança organizacional necessária antes que a adoção se torne obrigatória. Quem esperar vai herdar um ambiente operacional que seus analistas já não conseguem defender no ritmo que as ameaças exigem.
Felipe Guimarães é CISO da Solo Network e Head da Unidade de Negócios Solo Iron
