Perto de 90% dos centros de operação de segurança trabalham com filas represadas de alertas e falsos positivos, e 80% dos analistas se dizem cronicamente atrasados diante do volume de trabalho. A pesquisa SANS de Detecção e Resposta de 2025 confirmou o quadro: 73% das equipes elegem os falsos positivos como principal obstáculo de detecção e 66% admitem não dar conta do ritmo de alertas que recebem.
O desenho de SOC que dominou as duas últimas décadas — pessoas revisando e triando manualmente milhares de notificações por dia — bateu num teto operacional que contratar mais gente não resolve. A carência de profissionais é global, mas pressiona de forma específica mercados como o brasileiro, que disputa talentos qualificados em um setor de alta rotatividade e demanda em expansão.
A conta desse modelo nunca fechou bem e hoje ficou insustentável. Um SOC com quatro analistas apura entre 300 e 400 alertas de alta prioridade por semana; algo como 90% terminam benignos, e os 10% restantes justificam a existência do time. Todos precisam ser analisados, correlacionados, decididos e registrados.
Levantamento do Cybersecurity Insiders de 2025 aponta que investigar um alerta consome, em média, 70 minutos, dos quais 56 são apenas de espera até alguém começar a trabalhar nele. A matemática não fecha dentro da semana. E o problema não é só de volume: 77% das empresas registraram alta no fluxo de alertas no último ano, e 46% relataram crescimento de 25% ou mais.
Do outro lado da equação, o déficit mundial de profissionais de cibersegurança alcançou 4,8 milhões de vagas abertas, com 59% das equipes classificando a escassez como significativa. A mesma pesquisa SANS de 2025 mostra que 70% dos analistas de SOC com menos de cinco anos de experiência abandonam a função em até três anos, num ciclo que dissipa conhecimento institucional e sobrecarrega quem permanece.
O que está em jogo não é melhoria incremental, e sim troca de arquitetura. A segurança sai da condição de função reativa apoiada em triagem humana e passa a operar como plataforma orquestrada por agentes de IA: as máquinas absorvem o trabalho de alto volume e alta velocidade, enquanto os analistas se dedicam a julgamento estratégico, investigação complexa e decisões que dependem de contexto.
Números da Torq de 2026 mostram que plataformas de triagem apoiadas em IA automatizam 95% ou mais da investigação de alertas de primeiro nível. O Relatório de Custo de Violação de Dados da IBM de 2025 registra que empresas com uso intensivo de IA nas operações de segurança encurtaram em 80 dias o ciclo de vida das violações e pouparam, em média, 1,9 milhão de dólares. Dois terços das companhias já testam agentes de IA em segurança, mas menos de um quarto os levou à produção — indício de que o ponto de virada prático é este ano.
O papel dos Recursos Humanos no SOC
A mudança não elimina o profissional humano; redefine com profundidade o que se espera dele. As funções de analista de primeiro nível, hoje voltadas a triar alertas e encerrar chamados, tendem a migrar para sistemas de IA — modelos atuais já conduzem um alerta do sinal inicial à correlação e ao veredito com mais rapidez e consistência do que um analista júnior.
Para equipes enxutas e empresas de médio porte, o efeito é transformador: qualquer SOC passa a operar com a velocidade e a consistência de investigação antes restritas a grandes corporações. Em contrapartida, o piso de competência sobe. Quem permanece precisa dominar o que a IA ainda não faz — investigação criativa de ameaças, leitura do contexto de negócio, arquitetura de detecção e calibragem contínua dos próprios modelos.
Nenhuma plataforma de segurança dá conta sozinha da complexidade do ambiente corporativo atual. O arranjo que se firma combina uma plataforma central, em geral um SIEM de nova geração, com parceiros especializados que entregam a verticalização que ela não cobre.
Iniciativas como a MISA (Microsoft Intelligent Security Association), que agrega mais de 300 empresas em torno de uma infraestrutura compartilhada de segurança, ilustram como a defesa virou esporte coletivo: parceiros do ecossistema aportam inteligência de ameaças, capacidades específicas de detecção e automação de resposta conectadas à mesma malha operacional.
Esse arranjo espelha algo que todo CISO reconhece: ameaças não param no limite de uma ferramenta. Um incidente comum percorre identidade, endpoint, nuvem e e-mail, e responder bem exige visibilidade unificada e ação coordenada entre camadas historicamente isoladas. Para o CISO, escolher plataforma deixa de ser optar entre fornecedores avulsos e passa a ser escolher qual ecossistema entrega cobertura mais ampla e integração mais profunda.
A hora de redesenhar a operação de segurança é agora, e o motivo não é apenas técnico. O ecossistema de agentes de segurança ainda está em formação, e existe vantagem concreta em figurar entre os primeiros adotantes. Quem redesenhar já terá tempo de calibrar governança, firmar controles e construir a confiança organizacional necessária antes que a adoção vire obrigação. Quem adiar herdará um ambiente operacional que seus analistas não conseguem mais defender no ritmo exigido pelas ameaças.
