L'alert fatigue è il male cronico dei SOC: quando gli allarmi sono migliaia al giorno e la stragrande maggioranza sono falsi positivi, gli analisti si assuefanno – e l'allarme vero annega nel rumore, ignorato come tutti gli altri. Diversi breach famosi hanno avuto l'allarme corretto... che nessuno ha guardato. È un problema di sicurezza e di sostenibilità umana (burnout, turnover).
Le leve per ridurla, in ordine:
- taratura spietata delle regole: ogni regola di detection va misurata sul tasso di falsi positivi e aggiustata – una regola che urla sempre va corretta o spenta, non tollerata
- arricchimento automatico: prima che un umano guardi, il SOAR aggiunge contesto (chi è quest'IP? questo utente? è già noto?) – metà dei triage si chiudono da soli
- prioritizzazione per rischio reale: severità × criticità dell'asset (dalla BIA) × affidabilità della fonte – non tutti gli allarmi meritano un umano
- playbook che automatizzano il ripetitivo, lasciando alle persone il giudizio
È lo stesso principio di ogni buon gate: rigido su ciò che conta, silenzioso sul rumore. Un allarme che nessuno può permettersi di ignorare vale più di mille che tutti ignorano.