أعلنت Swimlane عن إصدار جديد من منصة العمليات الأمنية المعتمدة على الذكاء الاصطناعي، موجّه هذه المرة إلى مزودي خدمات الأمن المُدارة الذين يديرون بيئات متعددة لعملاء مختلفين. وتستهدف الخطوة تخفيف العبء التشغيلي داخل مراكز العمليات الأمنية، عبر أتمتة أجزاء كبيرة من فرز التنبيهات والتحقيق الأولي وإدارة الحالات.
ويأتي هذا التحديث في وقت يواجه فيه مزودو الخدمات الأمنية تحدياً متصاعداً يتمثل في زيادة حجم التنبيهات وتنوع الأدوات والأنظمة التي يعملون عليها، إلى جانب الحاجة إلى الحفاظ على عزل البيانات والامتثال لمتطلبات كل عميل على حدة. ومن هنا تحاول Swimlane تقديم طبقة تشغيلية تجعل الذكاء الاصطناعي جزءاً من سير العمل اليومي، من دون أن تنتزع من المزود دوره الأساسي في إدارة العلاقة مع العميل.
منصة مخصصة لبيئات العملاء المتعددة
المنتج الجديد مبني على منصة Turbine الخاصة بالشركة، لكنه أُعيد توجيهه ليخدم نموذج مزودي الخدمات الأمنية المُدارة المعروفين اختصاراً بـ MSSPs. ويعني ذلك أن المنصة لا تعمل داخل بيئة موحدة، بل تتعامل مع مجموعة من المستأجرين أو البيئات المنفصلة التي تختلف في الأدوات والسياسات والصلاحيات ومتطلبات الإبلاغ.
الرسالة الأساسية من هذا التوجه أن مزود الخدمة يظل مالكاً للعلاقة مع العميل ولقرارات التشغيل، بينما تتولى Swimlane توفير طبقة الأتمتة والتنسيق. هذا الفصل مهم تجارياً، لأن بعض شركات الأمن التي تطور تقنيات متقدمة بدأت في تقديم خدمات مُدارة مباشرة، وهو ما قد يضع شركاءها السابقين في منافسة معها على نفس العملاء.
في المقابل، تراهن Swimlane على نموذج أقل تصادماً مع القنوات والشركاء، يقوم على تزويد المزودين بالبنية التقنية التي تسمح لهم ببناء خدماتهم الخاصة بدلاً من استبدالهم.
الذكاء الاصطناعي الوكالي داخل مركز العمليات الأمنية
أحد أبرز عناصر المنصة هو الاعتماد على الذكاء الاصطناعي الوكالي، وهو مستوى يتجاوز مجرد تلخيص التنبيهات أو الرد على سؤال واحد. الفكرة هنا أن النظام لا يكتفي بعرض معلومات متفرقة، بل ينسّق سلسلة من الخطوات المتتابعة لتحقيق هدف تشغيلي كامل، مثل جمع البيانات، ربطها بمؤشرات التهديد، تقييم الخطورة، ثم تجهيز مسار الإجراء التالي.
وبحسب هذا النهج، يمكن للمنصة أن تطبع التنبيه، ثم تثريه ببيانات استخبارات التهديد، مثل سمعة عنوان IP أو اسم نطاق أو ملف أو حساب مستخدم. بعد ذلك تُربط الإشارة بنشاطات ذات صلة، لتنتج المنصة حكماً تفسيرياً وخطة تحقيق بدلاً من الاكتفاء بدرجة مخاطر عامة.
كما يمكن إسقاط الحالات على إطار MITRE ATT&CK، وهو مرجع واسع الاستخدام لتنظيم تكتيكات وتقنيات الهجمات الواقعية. ويمنح هذا التحليل المحققين الأمنيين لغة مشتركة لفهم ما إذا كان النشاط المرصود جزءاً من سلسلة اختراق أوسع، أم مجرد سلوك شاذ يحتاج إلى متابعة محدودة.
ولا تستهدف Swimlane إلغاء دور المحلل البشري، بل إعادة توزيعه. فالحالات الروتينية يمكن أن تُدار تلقائياً، بينما تُصعّد الحالات غير الواضحة أو الحساسة أو عالية الخطورة إلى المختصين لاتخاذ القرار النهائي.
مشاركة سياق التهديد بين العملاء مع بقاء العزل
من السمات اللافتة في التحديث الجديد وجود طبقة استخبارات تهديد مشتركة عبر البيئات المختلفة للعملاء. فإذا جرى تحليل مؤشر خطِر لدى أحد العملاء، يمكن أن يصبح هذا السياق متاحاً فوراً عند ظهور المؤشر نفسه في بيئة أخرى ضمن محفظة المزود.
هذا النهج قد يساعد على تقليل تكرار العمل اليدوي وتسريع الربط بين الحوادث المتشابهة، خاصة عندما تكون هناك حملة هجمات تستهدف أكثر من مؤسسة في وقت واحد. كما أنه قد يوفر للمحللين وقتاً ثميناً عبر الاستفادة من التحقيقات السابقة بدلاً من إعادة البدء من الصفر في كل مرة.
لكن مشاركة السياق لا تعني خلط بيانات العملاء. ولذلك تؤكد Swimlane أن المنصة تعتمد على عزل أصيل بين المستأجرين وعلى ضوابط وصول دقيقة بحسب الدور الوظيفي، بحيث لا يرى المحلل إلا البيئات المخوّل بإدارتها. وبذلك تحاول الشركة الجمع بين ميزة تراكم المعرفة الأمنية وبين متطلبات الخصوصية والامتثال.
لوحة قيادة موحدة لعمليات متعددة
التحديث يتضمن أيضاً مركز قيادة موحداً يجمع الحالات المفتوحة والتنبيهات الحرجة والإجراءات الآلية القادمة من بيئات العملاء المختلفة في واجهة عمل واحدة. وبدلاً من التنقل بين لوحات وأنظمة منفصلة، يستطيع فريق العمليات رؤية الصورة الكاملة لمحفظة العملاء من مساحة تشغيلية موحدة.
وتساعد طبقة المزامنة الجديدة على تمرير بيانات إدارة الحالات إلى المركز الرئيسي، ما يسهل توحيد طريقة انضمام العملاء الجدد وتقليل الاعتماد على مشاريع تكامل مخصصة لكل حالة. وهذا مهم للمزودين الذين يريدون التوسع بسرعة من دون تحويل كل عميل إلى مشروع هندسي منفصل.
كما توفر المنصة لوحات تحكم على مستوى المحفظة تعرض عبء العمل على المحللين، وعدد الحوادث التي فتحت أو أغلقت أو تمت معالجتها آلياً، إلى جانب تقارير أسبوعية يمكن استخدامها داخلياً أو لمشاركتها مع العملاء.
وتتصل المنصة أيضاً بأدوات التشغيل السائدة مثل ServiceNow وJira، بحيث تبقى الحوادث ضمن الأنظمة التي تستخدمها فرق العمل بالفعل بدلاً من فرض مسار عمل جديد بالكامل.
أثر تجاري مباشر: تقليل الكلفة لكل حالة
الرهان الاقتصادي وراء المنصة واضح: تمكين كل محلل من التعامل مع عدد أكبر من العملاء والحوادث من دون أن يرتفع عدد الموظفين بالمعدل نفسه. ففي نموذج الخدمات الأمنية المُدارة، تتآكل ميزة التوسع عندما تزداد التنبيهات وتتعقد البيئات ويحتاج كل عميل إلى تكاملات وإجراءات استجابة مختلفة.
لهذا تسعى Swimlane إلى أتمتة خطوات مثل إثراء التنبيهات، والفرز الأولي، وإنشاء الحالات، وإعداد التقارير، وبعض عناصر التحقيق. وإذا نجح هذا النهج، فقد تنخفض الكلفة لكل حالة وتتحسن سرعة الاستجابة وتتراجع نسبة الإنذارات الكاذبة التي تصل إلى المحللين البشريين.
لكن النجاح لن يُقاس بعدد الإجراءات التي ينفذها الذكاء الاصطناعي فقط، بل بمدى تأثيره الفعلي على زمن المعالجة، وسهولة التوسع، ووضوح مسارات التدقيق، ودرجة التزام المنصة بعمليات الموافقة والرقابة البشرية.
اتجاه أوسع في صناعة الأمن السيبراني
إطلاق Swimlane يعكس اتجاهاً أوسع في قطاع الأمن السيبراني، حيث لم يعد الذكاء الاصطناعي محصوراً في تلخيص التنبيهات أو البحث السريع، بل بات يتحول إلى طبقة تشغيلية تدير أجزاء من دورة الحياة الأمنية بالكامل. هذا التحول يضع أدوات الأتمتة والحوكمة والتكامل في قلب المنافسة بين الموردين.
وفي هذا السياق، تصبح أسئلة مثل عزل البيانات، وإمكانية التدقيق، ودقة الصلاحيات، وإشراف الإنسان، أكثر أهمية من مجرد الادعاء بوجود ذكاء اصطناعي داخل المنتج. فكلما توسعت الأتمتة داخل مركز العمليات الأمنية، زادت الحاجة إلى ضوابط واضحة تمنع الأخطاء التشغيلية وتحافظ على الثقة بين المزود وعميله.
وبالنسبة لمزودي الخدمات الأمنية المُدارة، قد تمثل هذه المنصة محاولة عملية لتحويل الذكاء الاصطناعي من أداة مساعدة إلى جزء من البنية التشغيلية اليومية، مع الحفاظ على نموذج أعمالهم القائم على إدارة عدة عملاء بكفاءة أعلى وتكلفة أقل.