SOC שמנוהל ע"י AI: מהתראה, להכרעה, להמלצה
רוב מוצרי-האבטחה ל-SMB מסתיימים בהתראה: משהו חשוד קרה, בהצלחה. אבל מנהל עסק קטן לא יודע אם ההתראה אמיתית, כמה היא דחופה, ומה לעשות. בנינו את השכבה שחסרה — מוח שמכריע ומייעץ, ובני-אדם שמשגיחים עליו מהמטה. זה המודל של ה-AI-SOC (כמו Guardz/Coro), אבל עם מוח-הנמקה אמיתי ומעקות-בטיחות.
הפרדת "מחליט" מ"מבצע"
העיקרון החשוב ביותר: ה-AI מחליט, אבל מנוע נפרד ומוגבל-מדיניות מבצע — לעולם לא הסוכן עצמו. לכל אירוע חמור, אנליסט-AI קובע:
- Verdict — תקיפה אמיתית / התראת-שווא / דורש-בדיקה
- רמת ביטחון (0–100)
- תקציר בעברית — מה קרה והאם זו תקיפה
- פעולת-התגובה המומלצת — קונקרטית
אות בודד שנחסם הוא בדרך-כלל שווא (הבקרה עבדה); שרשרת רב-שלבית, נגיעה ב-honeytoken, או מקור על פיד-C2 — תקיפה אמיתית. זה בדיוק מה שאנליסט אנושי היה שוקל.
יועץ-AI: CISO וירטואלי לכל לקוח
מעבר לתגובה-לאירוע, המערכת מייעצת יזומה: מדי שבוע, ה-AI כותב לכל לקוח תדריך פוסצ'ר בעברית — רמת-סיכון, כותרת, תקציר ניהולי, ממצאים והמלצות לפי סדר-עדיפות. עסק קטן מקבל "CISO וירטואלי" שמסביר לו איפה הוא עומד ומה הכי דחוף, בשפה שלו.
הפיקוח האנושי: קונסולת HOTL
"Human-on-the-Loop" — האדם לא מאשר כל צעד, אלא משגיח מלמעלה. הצוות ב-back-office רואה במסך אחד, על פני כל הלקוחות: כל הכרעות ה-AI, פעולות התיקון הממתינות, האישורים, ומטריצת-האוטונומיה. אנליסט יכול לאשר או לתקן כל הכרעה — והתיקון הופך לתקדים שהמוח לומד ממנו בפעם הבאה.
אוטונומיה מדורגת — לא ביום הראשון
פעולות-תיקון (הפעלת חומת-אש, הגנת זמן-אמת, השבתת SMBv1/RDP) יכולות לרוץ אוטומטית — אבל רק לפי מדיניות מפורשת, ורק ללקוח בוגר ומשלם. לקוח חדש/חינמי נשאר תמיד ב-HITL (דורש אישור אנושי). ברירת-המחדל בטוחה: שום דבר לא רץ לבד עד שמפעילים אותו במפורש. וכל פעולה היא הפיכה, מתועדת, ומאושרת ב-Push-2FA.