L'automazione operativa è l'uso di software per ridurre il lavoro manuale nelle parti ripetitive di un'operazione informatica. In un flusso di attacco, può significare automatizzare l'ordinamento delle email, la redazione dell'esca, la traduzione, il triage dei file, l'esecuzione dei comandi o la revisione dei log. In un flusso di difesa, può significare l'arricchimento degli avvisi, il triage del phishing, la sospensione degli account o le fasi di contenimento.
Questo è importante perché le attività ripetute consumano tempo e creano colli di bottiglia. L'automazione aumenta la capacità di elaborazione, aiuta gli operatori a scalare e può rendere l'attività malevola più coerente e più difficile da individuare. Nelle campagne di spionaggio, può supportare una preparazione più rapida del phishing e un'analisi più veloce dopo l'accesso iniziale, senza modificare le tecniche di base. I difensori usano la stessa idea per il bene: orchestrazione della sicurezza, filtraggio delle email, controlli dell'identità e monitoraggio dopo il clic si basano tutti sull'automazione per reagire più rapidamente di un flusso di lavoro affidato solo a persone.