AI-kompetence i cybersikkerhed handler om at bruge modeller og automatisering til at prioritere alarmer, forklare risici og støtte respons uden at skjule reelle angreb. For et nordisk SOC-team med tusindvis af ugentlige alarmer, eksisterende SIEM, EDR og playbooks, er udfordringen at reducere støj og samtidig gøre det tydeligt for ledelsen, hvilke hændelser der kræver øjeblikkelig respons, og hvilke der kan vente.
Det er her, AI åbner nye karriereveje for cybersikkerhedsprofessionelle. Mulighederne ligger sjældent i at erstatte sikkerhedsarbejde med automatisering, men i at kombinere domæneforståelse, dataanalyse, governance og praktisk drift, så organisationer kan opdage, prioritere og reagere mere præcist.
Publiceret: 2026. Opdateret: 2026. Anbefalingerne i artiklen bygger på etableret sikkerhedspraksis, kendte anvendelser af maskinlæring i sikkerhedsdrift samt rammer og vejledning fra blandt andre CFCS, ENISA og NIST. Certificeringer og uddannelse omtales som karriereunderstøttende elementer, ikke som garanti for ansættelse.
Hvordan AI ændrer arbejdet i cybersikkerhed
AI i cybersikkerhed bruges især dér, hvor store datamængder, mønstergenkendelse og hurtig prioritering spiller en rolle. I et SOC kan det betyde bedre triagering af alarmer, gruppering af beslægtede hændelser, forslag til næste handling i en playbook og adfærdsanalyse på tværs af brugere, endpoints og netværkstrafik. I incident response kan AI hjælpe med at opsummere hændelsesforløb, finde lignende tidligere sager og pege på indikatorer, der bør undersøges nærmere.
Den praktiske ændring er ikke kun teknisk. Analytikere skal blive bedre til at vurdere datakvalitet, forstå modellens begrænsninger og give feedback, når systemet prioriterer forkert. En phishing-model, der scorer e-mails efter risiko, er kun nyttig, hvis teamet kan forklare, hvilke signaler den bruger, hvordan falske positiver håndteres, og hvornår en manuel vurdering stadig er nødvendig.
AI understøtter også sårbarhedshåndtering, adaptiv godkendelse og forudsigende analyse. For eksempel kan en organisation prioritere patching ud fra aktivets betydning, kendt eksponering, exploit-aktivitet og historiske mønstre i stedet for alene at sortere efter CVSS-score. Det kræver dog, at sikkerhedsdata er rensede, konsistente og knyttet til forretningskontekst; ellers bliver den automatiserede prioritering blot en hurtigere version af et usikkert beslutningsgrundlag.
Karriereveje: fra SOC-analytiker til sikkerhedsdataforsker
De mest relevante AI-roller i cybersikkerhed adskiller sig ved, hvor tæt de ligger på drift, udvikling, data science eller rådgivning. En AI-sikkerhedsanalytiker arbejder typisk med trusselsdetektion, alarmkvalitet, use cases og feedback til modeller i SIEM- eller XDR-miljøer. En incident responder med AI-kompetencer bruger automatisering og analyse til hurtigere at rekonstruere hændelser, validere indikatorer og koordinere containment.
En maskinlæringsingeniør med sikkerhedsfokus bygger og vedligeholder modeller til eksempelvis malware-klassifikation, phishing-detektion, UEBA eller anomalidetektion. Rollen kræver mere software engineering, MLOps og evaluering end klassisk SOC-arbejde. En sikkerhedsdataforsker går dybere i datasæt, feature engineering og statistisk validering, ofte med fokus på at finde signaler i logdata, endpoint-telemetri eller identitetsadfærd.
Der findes også roller for etiske hackere, sikkerheds-AI-udviklere og konsulenter. Penetrationstestere og red teams får en ny opgave i at undersøge, om AI-understøttede kontroller kan manipuleres, om modeller er sårbare over for adversarial input, og om automatiserede playbooks kan udløse uønskede handlinger. Konsulenter skal kunne oversætte teknologien til risikostyring, compliance, procesdesign og realistiske implementeringsplaner.
En enkel måde at vælge retning på er at tage udgangspunkt i den erfaring, der allerede findes. En SOC-analytiker bør ofte begynde med AI-sikkerhedsanalytiker eller incident response, fordi domæneforståelse, alarmtriage og detektionslogik allerede er stærke kompetencer. En person med data science-baggrund kan bevæge sig mod sikkerhedsdataforsker eller ML-ingeniør til security, men skal investere i trusselsforståelse, logkilder og sikkerhedsarkitektur. En cloud- eller sikkerhedsingeniør kan vælge rollen som sikkerheds-AI-udvikler eller konsulent, hvor integration, adgangsstyring, datapipelines og governance fylder mest.
De færdigheder der betyder mest i praksis
Grundlaget er stadig klassisk cybersikkerhed. Netværk, identitet, endpoint-sikkerhed, kryptografi, risikostyring, hændelseshåndtering og sikkerhedsarkitektur forsvinder ikke, fordi AI bliver en del af værktøjskassen. Tværtimod bliver domæneviden vigtigere, fordi modeller uden sikkerhedskontekst ofte finder mønstre, der er statistisk interessante, men operationelt irrelevante.
Programmering og dataanalyse er den næste byggesten. Python, notebooks, API-forståelse, datarensning og basale statistiske metoder giver mulighed for at undersøge logdata og teste hypoteser uden at vente på et færdigt produkt. Kendskab til SIEM, EDR, IDS/IPS, vulnerability management og cloud-telemetri gør læringen konkret, fordi AI-modeller i sikkerhed sjældent arbejder med perfekte datasæt.
Machine learning bør læres med vægt på evaluering og drift. Det er ikke nok at træne en model, der ser lovende ud i et notebook-eksperiment. Sikkerhedsprofessionelle skal kunne måle præcision og recall, forstå konsekvensen af falske positiver og falske negativer, overvåge model drift og forklare, hvorfor en model træffer bestemte beslutninger. I ansættelser vurderes kandidater ofte på netop denne evne til at forbinde modelresultater med risikoreduktion, omkostninger i SOC og praktisk implementering.
Kommunikation er samtidig en teknisk færdighed i forklædning. En analytiker, der kan forklare en modelbegrænsning til en CISO, en jurist og en SOC-lead på samme tid, skaber mere værdi end en kandidat, der kun kan optimere en metrik. Det gælder især i EU-kontekst, hvor GDPR, NIS2 og interne governancekrav påvirker, hvilke data der må bruges, hvor længe logs kan gemmes, og hvordan personhenførbare oplysninger bør pseudonymiseres eller minimeres.
Implementeringsudfordringer der former rollerne
Mange AI-initiativer i cybersikkerhed fejler ikke på grund af algoritmen, men på grund af datagrundlaget. Logkilder kan være ufuldstændige, feltnavne kan variere på tværs af systemer, labels kan være upræcise, og historiske hændelser kan være dokumenteret forskelligt fra team til team. Hvis en model trænes på svage labels, lærer den ofte organisationens gamle fejl lige så effektivt som dens gode beslutninger.
Model drift er en anden almindelig udfordring. Angrebsmønstre, brugeradfærd, SaaS-brug og netværksarkitektur ændrer sig løbende, og en model, der fungerede godt under én driftsperiode, kan blive mindre præcis efter en større cloud-migrering eller ændrede arbejdsmønstre. Derfor skal AI i sikkerhed kobles til monitorering, retræning, versionsstyring og klare kriterier for, hvornår en model skal justeres eller tages ud af drift.
Adversarial manipulation gør sikkerheds-ML anderledes end mange andre ML-domæner. Angribere kan bevidst forsøge at ændre input, efterligne normal adfærd eller udnytte automatiserede reaktionsmønstre. Det betyder, at teams skal teste modeller mod realistiske misbrugsscenarier og undgå at lade automatisering udføre irreversible handlinger uden passende kontrolpunkter.
Governance er ikke en eftertanke. ENISA og NIST har i forskellige sammenhænge fremhævet behovet for risikostyring, robusthed og løbende kontrol omkring AI-systemer, mens CFCS løbende peger på et trusselsbillede, hvor både forsvarere og angribere udnytter ny teknologi. I en dansk eller skandinavisk organisation bør AI-sikkerhedsprojekter derfor planlægges sammen med privacy, legal, risk og it-drift, ikke kun som et SOC-værktøj.
Certificeringer og uddannelse: hvad de kan og ikke kan
Certificeringer kan give struktur og troværdighed, men de erstatter ikke praktisk erfaring. CISSP er relevant for professionelle, der arbejder med bred informationssikkerhed, risikostyring og governance. CISM passer ofte godt til ledelses- og styringsroller, hvor informationssikkerhedsprogrammer, risici og processer fylder. CEH eller tilsvarende etisk hacking-træning kan være nyttig for dem, der vil arbejde med offensiv test, sårbarhedsvurdering eller adversarial perspektiv på AI-drevne kontroller.
For AI-sporet bør certificeringer suppleres med konkret arbejde i dataanalyse, machine learning og cloud. Det kan være gennem formelle kurser, universitetsfag, leverandøruddannelse eller selvstændige projekter. Et struktureret læringsforløb hos Readynez kan være relevant, når en professionel ønsker at kombinere sikkerhedscertificering med instruktørledet forberedelse, men valget bør afhænge af rolle, erfaringsniveau og de teknologier, organisationen faktisk bruger.
Den vigtigste vurdering er, om en certificering hjælper med næste realistiske skridt. En SOC-analytiker, der vil arbejde med AI-triage, får typisk mere ud af at kombinere SIEM-erfaring, Python og detektionslogik end af at jagte en avanceret ML-certificering for tidligt. En data scientist, der vil ind i security, bør prioritere trusselsmodeller, logkilder, MITRE ATT&CK-forståelse og hændelsesrespons, før fokus rettes mod mere specialiserede AI-sikkerhedsemner.
Hvordan kandidater kan bygge erfaring der tæller
Hiring managers kigger sjældent kun efter kursusbeviser. De vil se, om kandidaten kan forklare problemet, vælge passende data, måle effekten og beskrive begrænsningerne. En stærk portefølje behøver ikke være stor, men den bør være realistisk og dokumenteret, så andre kan forstå valg, antagelser og resultater.
Et godt mini-lab kan bygges omkring SIEM- eller EDR-lignende data og et notebook-miljø. Kandidaten kan importere anonymiserede Windows-eventlogs, cloud-loginhændelser eller offentligt tilgængelige sikkerhedsdatasæt, rense data, konstruere simple features og teste en model til phishing-klassifikation, anomalidetektion eller prioritering af alarmer. Det afgørende er ikke at opnå imponerende tal, men at vise evalueringsmetrikker, fejltyper og forslag til, hvordan modellen skulle overvåges i drift.
Et andet stærkt projekt er UEBA-feature engineering. Her kan kandidaten beskrive, hvilke signaler der kan indikere afvigende brugeradfærd, for eksempel login fra nye geografier, usædvanlige tidspunkter, ændrede adgangsmønstre eller uventet dataadgang. Projektet bør samtidig diskutere dataminimering, pseudonymisering og log-retention, fordi netop de emner viser forståelse for EU-konteksten.
Dokumentation betyder meget. En Git-repository eller notebook bør forklare datakilder, forbehandling, modelvalg, målinger, kendte begrænsninger og et tænkt driftssetup. I en ansættelsessamtale kan det give et bedre grundlag end en generel påstand om AI-erfaring, fordi kandidaten kan drøfte konkrete trade-offs mellem detektionsrate, analytikerbelastning og risiko.
At vælge den næste karrierebevægelse
AI skaber flere muligheder for cybersikkerhedsprofessionelle, men de mest holdbare karrierevalg bygger på et klart udgangspunkt. Den, der trives med efterforskning, prioritering og hændelser, bør se mod AI-understøttet SOC eller incident response. Den, der foretrækker software, pipelines og modeldrift, vil ofte passe bedre til ML-engineering eller sikkerheds-AI-udvikling. Den, der arbejder tæt på ledelse, compliance og arkitektur, kan skabe værdi som konsulent eller sikkerhedsleder med AI-forståelse.
Det mest effektive næste skridt er at vælge én rolle, ét relevant problem og ét lille projekt, der kan gennemføres og forklares grundigt. Certificeringer, uddannelse og struktureret træning kan støtte rejsen, og Readynez kan indgå som en del af den plan, men karrierefremdrift kommer især af at kunne omsætte AI til bedre sikkerhedsbeslutninger i virkelige miljøer.
