In uno studio professionale con una trentina di persone il server occupa un ripostiglio e il backup viene copiato in cloud. L’assistenza arriva da un tecnico esterno, competente e disponibile, che interviene su chiamata. Le licenze Microsoft sono scadute il mese scorso senza che nessuno se ne accorgesse, nessuno ha mai messo per iscritto la mappa dei permessi sulle cartelle di rete, e fra gli utenti del server compaiono ancora nomi di persone uscite nel 2012. In quello studio nessuno direbbe di avere un problema di sicurezza gestita: direbbe di avere un problema di tempo.
È la situazione più diffusa nelle aziende italiane di quella fascia, e spiega perché il mercato della sicurezza gestita vende soprattutto acronimi. Un’offerta con quattro sigle sembra più solida di una che descrive attività e responsabilità.
Le sigle della sicurezza gestita, spiegate a chi deve decidere
Un antivirus, o endpoint protection, blocca ciò che riconosce: malware noto, comportamenti già catalogati. Serve, e non basta.
L’EDR, Endpoint Detection and Response, osserva come si comportano i dispositivi e segnala le anomalie anche quando la firma del malware non esiste ancora. Produce avvisi e strumenti di risposta.
L’XDR, Extended Detection and Response, estende il campo di osservazione oltre i dispositivi e correla ciò che accade su endpoint, rete, posta, identità e ambienti cloud. Un tentativo che parte da una casella compromessa e prosegue su un server diventa così leggibile come un unico episodio, invece di apparire come due eventi scollegati.
L’MDR, Managed Detection and Response, non è una tecnologia. È il servizio che affianca a quegli avvisi persone dedicate: un analista che li legge, distingue il falso positivo dall’intrusione e interviene. Il SOC, Security Operations Center, è la struttura che eroga quel presidio, spesso appoggiandosi a un SIEM per raccogliere e correlare i log.
Poste a confronto, le quattro sigle si distinguono così:
| Sigla | Che cosa copre | Che cosa chiede all’azienda |
|---|---|---|
| EDR | Comportamenti anomali sui singoli dispositivi, con strumenti di risposta | Qualcuno che legga gli avvisi e intervenga |
| XDR | Correlazione di endpoint, rete, posta, identità e cloud | Sorgenti di log collegate e un perimetro censito |
| MDR | Il servizio: persone che leggono gli avvisi, filtrano e rispondono | Un mandato scritto su chi autorizza gli interventi |
| SOC | La struttura che eroga il presidio, spesso con un SIEM | Un referente interno che riceva rapporti e decisioni |
La differenza che incide sul costo della sicurezza gestita
EDR e XDR sono licenze. MDR e SOC sono ore di persone competenti, disponibili anche di notte. Chi confronta due offerte guardando il prezzo per postazione equipara voci di natura diversa, e la differenza emerge al primo incidente reale.
Trenta persone, un tecnico a chiamata e utenti attivi dal 2012
Il seguito del caso iniziale è istruttivo. La richiesta di partenza riguardava un contratto di assistenza strutturato, non la sicurezza. La verifica ha però evidenziato alcuni elementi: nessuno sapeva quali licenze fossero attive, i permessi sulle cartelle si erano stratificati in anni di richieste puntuali, diversi account di persone uscite dall’organizzazione risultavano ancora presenti a sistema. La VPN, attiva per quasi tutti, apriva la rete interna.
Il rischio concreto non era un attacco sofisticato. Era una credenziale dimenticata che risultava ancora attiva. Nessun EDR avrebbe segnalato un accesso legittimo compiuto da un utente che a sistema esiste ancora.
Il servizio di sicurezza gestita è stato avviato proprio da quel punto. La piattaforma ha censito utenze, licenze e permessi su tutto il perimetro e ha fatto emergere in poche ore ciò che nessuna verifica manuale rilevava più: gli account delle persone uscite, le stratificazioni di anni di richieste puntuali, la VPN aperta per quasi tutti. La pulizia delle utenze e la procedura scritta per ingressi e uscite sono nate da quell’inventario, e sul perimetro ripulito rilevamento e presidio hanno cominciato a operare su segnali reali invece che su rumore.
In quale ordine si costruisce la sicurezza gestita
La sequenza efficace, nei progetti che seguiamo, colloca l’igiene di base prima della protezione, la protezione prima del rilevamento e il rilevamento prima del presidio.
- Backup con prove di ripristino documentate e almeno una copia irraggiungibile dalla rete che protegge.
- Gestione delle identità: account nominali, autenticazione a più fattori, rimozione dei privilegi non necessari, procedura di uscita applicata senza eccezioni.
- Aggiornamenti applicati con regolarità e un inventario di ciò che esiste in rete, compreso quello che nessuno ricordava.
- Protezione degli endpoint e della posta, che resta il canale d’ingresso più usato.
- Rilevamento con EDR e, dove il perimetro lo giustifica, con XDR.
- Presidio con MDR o SOC, quando esiste una figura che agisce sulle segnalazioni.
Acquistare il sesto punto senza avere il primo produce un cruscotto ben fatto sopra un’infrastruttura scoperta. Accade più spesso di quanto si immagini, perché il sesto punto si vende meglio del primo.
Perché NIS2 riguarda anche chi non vi è soggetto
NIS2 riguarda anche le aziende fuori dal suo perimetro: i soggetti obbligati rispondono della catena di fornitura e inoltrano ai fornitori richieste di evidenze.
La direttiva NIS2 individua settori e dimensioni precise, e molte PMI ne restano fuori. Un’azienda che fornisce componenti, servizi o software a un soggetto NIS2 riceve però questionari sulla sicurezza gestita dei propri sistemi, richieste di evidenze e clausole contrattuali nuove.
Chi arriva preparato tratta quella richiesta come un adempimento ordinario. Chi non lo è scopre in poche settimane di dover documentare processi che non ha mai formalizzato, con una scadenza fissata da un cliente.
Le domande da porre a un fornitore di sicurezza gestita
Valgono per qualsiasi fornitore, noi compresi, e le risposte si allegano al contratto.
- Chi esamina gli avvisi, in quali fasce orarie e da quale sede.
- Che cosa accade alle tre di notte: chi riceve la segnalazione e quali azioni può compiere senza attendere un’autorizzazione.
- Il servizio comprende l’isolamento di una macchina compromessa oppure si limita a comunicare il problema.
- Quali sorgenti di log entrano nella correlazione: solo gli endpoint, oppure anche firewall, posta e identità.
- Con quale frequenza arriva un rapporto leggibile dalla direzione e non solo dal reparto tecnico.
- Che cosa resta fuori dal contratto e a carico dell’azienda.
- Chi conduce l’analisi dopo un incidente e se quell’attività rientra già nel canone.
- Entro quanto tempo si impegna a intervenire il fornitore fra la rilevazione e il primo intervento.
Un impegno espresso a voce durante una riunione non produce alcun effetto nel momento dell’incidente.
Un punto merita attenzione già in fase contrattuale: il presidio raggiunge la piena efficacia quando è accompagnato dal mandato di intervenire. Conviene stabilire per iscritto chi autorizza un’azione urgente fuori orario e quali interventi il fornitore può eseguire in autonomia, così la risposta a un incidente notturno si avvia senza attendere una telefonata.
Che cosa può promettere la sicurezza gestita
La sicurezza gestita promette due risultati misurabili: meno tentativi che vanno a buon fine e meno tempo fra l’ingresso di un attaccante e la reazione. Chi promette l’inattaccabilità merita ascolto prudente, perché nessuna combinazione di tecnologie e servizi la offre. Su quel tempo si decide se l’episodio resta circoscritto o diventa un fermo di produzione di tre giorni.
Cosa misurare dopo l’attivazione della sicurezza gestita
Un contratto di sicurezza si valuta su pochi indicatori, e nessuno di questi è il numero di minacce bloccate, che racconta il rumore di fondo più della protezione. Contano il tempo medio fra rilevazione e presa in carico, la quota di dispositivi realmente coperti dall’agente rispetto all’inventario, l’esito documentato dell’ultima prova di ripristino, il numero di vulnerabilità critiche ancora aperte oltre la scadenza concordata.
In Aesir Srl manteniamo la gestione IT a canone e la sicurezza nello stesso perimetro contrattuale, come MSP e MSSP: quando un incidente impone di spegnere un servizio, la decisione non passa da due società che si rimpallano la responsabilità. La stessa struttura è certificata ISO 9001, 27001, 27017 e 27018 e gestisce la nostra piattaforma cloud su datacenter Tier IV di proprietà nell’Unione Europea con replica su un secondo sito.
Domande frequenti
Occorre sostituire il firewall già presente?
Non necessariamente. Un apparato ancora supportato dal produttore e aggiornato può restare, purché i suoi log entrino nella correlazione. Il caso da valutare è un altro: un firewall fuori supporto non riceve più correzioni e diventa il punto debole del perimetro.
EDR e antivirus coincidono?
No. L’antivirus riconosce ciò che è già catalogato, l’EDR osserva comportamenti e lascia una traccia di quanto è accaduto su un dispositivo. Nelle analisi successive a un incidente quella traccia segna la differenza fra ricostruire i fatti e ipotizzarli.
Che cosa comprende un assessment di sicurezza?
Inventario di dispositivi e servizi esposti, verifica delle vulnerabilità note con una scala di priorità, controllo di identità e privilegi, stato di backup e aggiornamenti, esame delle configurazioni. Al termine restano un elenco ordinato di interventi e una stima dell’impegno necessario, non un punteggio da esibire.
Una PMI ha bisogno di un SOC?
La risposta sta in due numeri: quanto pesa un giorno di fermo e chi prenderebbe in carico una segnalazione nelle ore non presidiate. Un’azienda che produce su tre turni e uno studio che lavora dal lunedì al venerdì in orario d’ufficio hanno esigenze di presidio incomparabili.
Parliamone
Un esercizio si può condurre subito, senza coinvolgere nessun fornitore: estrarre l’elenco delle persone uscite dall’azienda negli ultimi due anni e verificare account, caselle di posta, accessi VPN e utenze sui gestionali. L’esito di quella verifica dice più di qualsiasi presentazione commerciale e indica il punto da cui avviare un progetto di sicurezza gestita.
Se desidera approfondire il tema o valutare la situazione della sua azienda, può compilare la form in fondo alla pagina oppure scrivere a support@aesir-tech.it: prenotiamo una consulenza gratuita e partiamo dai suoi numeri