SOC gestito e MDR: sorveglianza continua per la tua azienda

Che cos’è un SOC gestito?

Un SOC gestito è il servizio con cui un fornitore esterno sorveglia in continuo i sistemi di un’azienda, distingue gli allarmi che contano dal rumore e interviene quando serve — senza che l’azienda debba costruirsi un reparto interno. La differenza con un prodotto di rilevamento è tutta lì: la tecnologia genera avvisi, il SOC decide quali meritano una reazione e la esegue.

È il motivo per cui installare un EDR senza presidio non produce sicurezza: gli allarmi si accumulano e nessuno li legge. Il valore non è nello strumento, è in chi lo guarda.

SOC, SIEM, MDR: le differenze in una riga ciascuna

• SIEM — la tecnologia che raccoglie e correla i log. È un componente, non un servizio.
• SOC — la funzione (persone + processi + tecnologia) che sorveglia e decide. Può essere interna o gestita.
• MDR — il SOC gestito che include anche la risposta, non solo il rilevamento: isolare una macchina, bloccare un account, contenere.

La domanda pratica da porre a un fornitore non è quale SIEM usa, ma chi risponde alle tre di notte e con quale mandato — se può solo avvisare o anche agire.

Quanto costa un SOC gestito?

Il costo si dimensiona su quanto c’è da sorvegliare e su quanto ampio è il mandato di intervento, non su una licenza a utente. Le variabili che spostano il preventivo:

• Sorgenti da monitorare — endpoint, server, firewall, cloud, identità.
• Copertura oraria — orario lavorativo o continuativo.
• Mandato — solo notifica, oppure risposta gestita con potere di isolare.
• Conservazione dei log — per quanto tempo restano interrogabili: è ciò che rende possibile ricostruire un incidente a posteriori.
• Obblighi normativi — se serve produrre evidenze per NIS2 o per un cliente che le richiede.

Per le PMI il servizio rientra fra le spese ammissibili del Voucher Cloud e Cybersecurity MIMIT (50% a fondo perduto, fino a 20.000 euro).

Interno o gestito: come si decide

Un SOC interno ha senso quando l’azienda può permettersi tre turni di persone formate. Sotto quella soglia il presidio esiste sulla carta e non nei fatti: gli allarmi notturni e del fine settimana restano non letti, ed è esattamente quando arrivano.

Il modello ibrido — tecnologia in casa, sorveglianza fuori — è quello che adottano più spesso le realtà che hanno già investito in strumenti e non vogliono buttarli.

Cosa serve al SOC per funzionare

Il presidio è efficace solo se riceve i dati giusti: log di autenticazione, endpoint, perimetro. Le fonti che alimentano il servizio sono le stesse che coprono gli altri controlli — endpoint protection, email security, analisi dei log — e per questo il SOC si attiva di solito dopo, non prima, di una verifica dell’esposizione.

Cosa NON copre un SOC gestito

Il SOC rileva e contiene, non ripara: la correzione delle vulnerabilità e il ripristino dei sistemi restano attività separate, in genere del fornitore IT, così come il backup. Non sostituisce il testing offensivo (penetration test). E quando serve accertare un fatto con valore probatorio — un accesso non autorizzato, una sottrazione di dati — l’attività è un’altra: la perizia informatica forense, che richiede acquisizione ripetibile e catena di custodia.

La piattaforma: Defensio SOC

Il servizio è erogato sulla piattaforma proprietaria Defensio SOC: la telemetria dei sensori e dei motori di scansione viene analizzata da una pipeline che porta agli analisti solo ciò che merita una decisione umana, con elaborazione AI interamente on-premise — i dati non escono dall’infrastruttura. È disponibile come servizio MDR gestito da Fidem oppure in licenza, per chi vuole gestirlo con il proprio team.

Scheda tecnica completa del prodotto: SOC as a service · sonda di rete passiva.

I termini di questa pagina sono definiti nel glossario della sicurezza informatica.