Tak. AI może istotnie obniżyć czas wykrycia, kwalifikacji i podjęcia pierwszych działań, szczególnie poprzez automatyczne wzbogacanie alertów, korelację zdarzeń i uruchamianie kontrolowanych playbooków. Korzyść pojawia się jednak tylko wtedy, gdy system jest dostrojony do środowiska, a organizacja posiada procedury eskalacji, reguły wyłączenia automatyzacji oraz kompetentny zespół zdolny do przejęcia obsługi.
Największe oszczędności czasu dotyczą czynności powtarzalnych: zebrania kontekstu o aktywie, sprawdzenia reputacji wskaźnika, porównania ze znanymi kampaniami, wyszukania podobnych zdarzeń, weryfikacji zakresu kompromitacji oraz przygotowania rekomendowanej ścieżki reakcji. W praktyce może to skrócić okres pomiędzy alertem a containment, który często decyduje o skali szkody.
AI może również pomagać w spełnieniu terminów regulacyjnych. Ustawa o krajowym systemie cyberbezpieczeństwa wymaga przekazania wczesnego ostrzeżenia o incydencie poważnym nie później niż w ciągu 24 godzin od wykrycia, zgłoszenia incydentu poważnego nie później niż w ciągu 72 godzin oraz sprawozdania końcowego zasadniczo w ciągu miesiąca. Automatyczne tworzenie osi czasu, konsolidacja danych i przypomnienia o brakujących informacjach mogą ograniczyć ryzyko przekroczenia tych terminów. Ostateczna kwalifikacja incydentu i treść zgłoszenia powinny jednak zostać zatwierdzone przez upoważnioną osobę.
Automatyczna reakcja musi być projektowana według zasady minimalnego niezbędnego wpływu. Przykładowo czasowe zablokowanie znanego złośliwego adresu albo izolacja pojedynczej stacji jest zwykle łatwiej odwracalna niż odłączenie całego segmentu produkcyjnego, zatrzymanie systemu obsługującego usługę publiczną albo masowe wyłączenie kont. Dla działań o dużym wpływie wymagane są mechanizmy potwierdzenia, rollback i uprzednio przetestowane scenariusze ciągłości działania.
AI może także pogorszyć sytuację, jeżeli zadziała na błędnych danych, model zostanie zmanipulowany albo automatyzacja wywoła efekt kaskadowy. Dlatego należy mierzyć nie tylko średni czas reakcji, lecz również liczbę błędnych containmentów, czas przywrócenia po błędnej reakcji i odsetek incydentów wymagających ręcznej korekty.
