Punti chiave
- Una CNAPP si sceglie sul proprio ambiente: prima cosa gira nel cloud, chi correggerà i problemi, con quale SOC deve parlare la piattaforma e cosa chiedono clienti e auditor.
- Otto criteri di confronto: copertura dei servizi, permessi di collegamento, luogo della scansione dei dischi, qualità delle priorità, codice e pipeline, runtime, integrazioni, modello commerciale.
- Wiz, Cortex Cloud e Orca analizzano i dischi partendo da snapshot temporanee: niente agenti, ma non tutto in sola lettura. Per il rilevamento a runtime serve un sensore o un agente.
- Tutti e tre permettono di far girare la scansione nei tuoi account invece che in quelli del vendor: conta per GDPR e residenza dei dati.
- Prisma Cloud continua in Cortex Cloud: Palo Alto Networks lo ha presentato il 13 febbraio 2025 come la versione successiva di Prisma Cloud, sulla piattaforma Cortex.
- La prova che conta è un proof of value sugli stessi account per ogni piattaforma, con le stesse misure. AmagisTech è partner Wiz.
La risposta breve: una CNAPP si sceglie partendo dal tuo cloud, non dai nomi dei vendor. Prima chiarisci cosa gira negli account, chi correggerà i problemi e con quale SOC dovrà parlare la piattaforma. Poi confronta Wiz, Prisma Cloud (che Palo Alto Networks porta avanti come Cortex Cloud) e Orca su copertura, permessi, priorità, runtime e integrazioni, con una prova sui tuoi account.
Una premessa: AmagisTech è partner Wiz, quindi il nostro punto di vista non è neutro. Per questo i criteri valgono con qualunque piattaforma, e ogni vendor è descritto solo con le sue fonti (pagine prodotto, documentazione, comunicati), lette il 6 ottobre 2026. Niente classifiche, niente prezzi. Se prima ti serve la definizione, parti da CNAPP: cos'è e quali componenti ha.
Prima dei vendor: quattro domande sul tuo cloud
Sulla carta le piattaforme si somigliano: si distinguono sul tuo ambiente.
Cosa gira davvero nei tuoi account?
Una CNAPP rende di più dove ci sono workload veri: macchine virtuali, container, Kubernetes, database gestiti, funzioni serverless, su più account o più cloud. Fai l'elenco dei provider e dei servizi che usi oggi e di quelli in arrivo. Se il tuo cloud è quasi solo SaaS, la priorità sono identità, posta e configurazione dei tenant.
Chi lavorerà la coda?
Una CNAPP trova e ordina i problemi, ma a correggerli sono le persone: chi amministra il cloud, gli sviluppatori, i proprietari delle applicazioni. Decidi prima chi prende in carico le segnalazioni e con quale strumento. Se oggi nessuno ha quel tempo, il criterio che pesa di più è chi ti aiuta a smaltire la lista.
Con quale SOC deve parlare?
Un attacco al cloud raramente resta nel cloud: passa da un'identità, da un endpoint, dalla posta. Se hai già un SIEM o un SOC, interno o gestito, la CNAPP deve mandargli eventi e contesto in modo nativo. Spesso è il criterio che decide.
Cosa ti chiedono clienti e auditor?
Se devi rispondere a una due diligence, a un audit ISO/IEC 27001 (il controllo 5.23 dell'Annex A riguarda l'uso dei servizi cloud) o alle misure della NIS2, chiedi quali report produce la piattaforma e su quali framework mappa i controlli. Sono evidenze, non certificati.
Gli otto criteri per confrontare le piattaforme
Da fare a ogni vendor nello stesso modo.
1. Copertura dei servizi che usi
Tutte le CNAPP dichiarano di coprire più cloud. La differenza si vede sui servizi specifici (Kubernetes gestito, serverless, database gestiti, registri di container, servizi AI) e sulle regioni. Porta il tuo elenco e chiedi, servizio per servizio, cosa viene inventariato, cosa analizzato in profondità e cosa resta fuori.
2. Come si collega: API, snapshot, sensori
Wiz, Cortex Cloud e Orca descrivono uno schema simile: dischi analizzati senza agenti partendo da snapshot temporanee, e un sensore o un agente da aggiungere per il rilevamento a runtime. Wiz e Cortex Cloud specificano anche che inventario e configurazioni si leggono con un ruolo in lettura.
Il punto delicato è il secondo. Senza agenti non vuol dire tutto in sola lettura: per analizzare i dischi qualcuno deve creare le snapshot e poi cancellarle, la piattaforma con permessi dedicati oppure uno scanner che gira nel tuo account. La Wiz Academy, nell'esempio AWS, affianca al ruolo in lettura permessi espliciti come ec2:CreateSnapshot ed ec2:DeleteSnapshot; la documentazione di Cortex Cloud per Azure descrive i permessi per creare snapshot temporanee in un gruppo di risorse creato da Cortex. Chiedi l'elenco esatto dei permessi per ogni cloud, fallo leggere a chi amministra gli account prima della prova e verifica come si revoca l'accesso.
3. Dove avviene la scansione dei dischi
Nelle demo si vede poco, ma interessa a chi risponde di GDPR e di residenza dei dati. Tutti e tre i vendor offrono più di un modello:
- Wiz affianca allo scanner ospitato da Wiz uno ospitato dal cliente, che chiama Outpost: la scansione avviene nel tuo ambiente, Wiz non riceve permessi sulle snapshot e vede solo i risultati.
- Cortex Cloud propone Cloud Scan, con la scansione nel suo ambiente (la modalità che la documentazione raccomanda), e la scansione con Outpost in un account tuo, che nella guida per Azure può richiedere permessi aggiuntivi e costi in più sul provider.
- Orca ha annunciato a gennaio 2024 tre modalità: SaaS, In-Account (la scansione gira nei tuoi account e a Orca arrivano solo i metadati) e Bring Your Own Cloud, in cui anche il backend sta nei tuoi account.
La scansione nel tuo account tiene i dati in casa ma usa la tua infrastruttura; quella del vendor è più semplice da gestire.
4. Qualità delle priorità
Ogni piattaforma promette di collegare i segnali e ordinare i rischi per impatto reale: Wiz con il Security Graph e i percorsi di attacco, Orca con il suo Unified Data Model e l'analisi dei percorsi di attacco, Cortex Cloud con SmartGrouping, che raggruppa i segnali in casi, e SmartScore, che li ordina per esposizione reale e comportamento in produzione. La domanda resta la stessa: sul tuo account, le prime dieci segnalazioni sono cose che correggeresti subito? E per ciascuna vedi la catena (esposizione, vulnerabilità, permesso, dato) e l'anello da rompere? Il test si fa solo su dati veri.
5. Codice e pipeline
Se in azienda si sviluppa software, conta quanto la piattaforma lavora a monte: infrastructure as code, dipendenze, segreti nei repository, pipeline CI/CD. Chiedi quali strumenti sono supportati, se un rischio trovato in produzione viene ricondotto al codice che l'ha generato e se la correzione arriva come pull request. Se non sviluppi, questo criterio pesa poco.
6. Runtime: cosa vedi senza agente e cosa con
Senza agenti ottieni la fotografia, ma il rilevamento in tempo reale dentro i workload richiede un componente installato. Wiz usa il Wiz Sensor, Orca l'Orca Sensor; nel comunicato di lancio di Cortex Cloud, Palo Alto Networks indica l'agente Cortex XDR. Fatti mostrare cosa vede la piattaforma con i soli log del cloud, cosa aggiunge il sensore e se è compreso nell'offerta.
7. Integrazione con SIEM, SOC e ticketing
Qui le strade si separano, perché ogni vendor ha un ecosistema di riferimento:
- Google, chiudendo l'acquisizione di Wiz l'11 marzo 2026, ha annunciato una piattaforma che unisce Wiz e Google Security Operations, affiancata dalla consulenza di Mandiant.
- Cortex Cloud vive sulla piattaforma Cortex di Palo Alto Networks, e il comunicato di lancio si rivolge anche ai clienti di Cortex XSIAM che aggiungono le funzioni CNAPP.
- Orca mette in evidenza l'integrazione con gli strumenti già in uso: notifiche su Slack, ticket su Jira, invio dei dati al SIEM.
Nessuna strada è sbagliata in sé: conta quella che combacia con il SOC che hai o che stai scegliendo. Con un SIEM diverso, verifica che arrivi anche il contesto (risorsa, proprietario, percorso di attacco), non solo l'allarme. Il caso Wiz con Google SecOps è descritto in Wiz e Google SecOps: come funziona l'integrazione.
8. Modello commerciale
Qui non parliamo di prezzi: dipendono dal perimetro e dall'offerta. In trattativa contano le domande: su quale metrica si calcola il costo (workload, risorse, account, sviluppatori), quali moduli sono compresi, come cresce quando cresce il cloud.
Wiz, Prisma Cloud e Orca: come si presentano
Ecco come ciascun vendor descrive la propria piattaforma. Non è una prova sul campo né una classifica: serve a sapere cosa chiedere.
Wiz
Wiz presenta oggi la sua offerta come Wiz AI-Application Protection Platform: sicurezza del cloud e delle applicazioni AI dal codice al runtime. Secondo il sito del vendor si collega via API in pochi minuti e copre macchine virtuali, container, funzioni serverless, servizi PaaS, repository e pipeline; il Security Graph mette in relazione le risorse e fa emergere i percorsi verso una violazione. I prodotti sono Wiz Cloud, Wiz Code e Wiz Defend.
Google ha completato l'acquisizione l'11 marzo 2026. Nell'annuncio sul blog di Google Cloud, Thomas Kurian scrive che il marchio Wiz resta e che i prodotti continuano a funzionare sui principali cloud, compresi AWS, Microsoft Azure e Oracle. Il profilo completo è in Wiz cos'è: la cloud security che ora è di Google. AmagisTech è partner Wiz: è la piattaforma con cui facciamo la fotografia del cloud dei nostri clienti.
Prisma Cloud, oggi Cortex Cloud (Palo Alto Networks)
Chi cerca Prisma Cloud lo trova oggi sul sito di Palo Alto Networks accanto a Cortex Cloud. Il motivo è nel comunicato del 13 febbraio 2025, in cui Palo Alto presenta Cortex Cloud come «the next version of Prisma Cloud»: le funzioni CNAPP di Prisma Cloud unite al rilevamento e risposta nel cloud (CDR) sulla piattaforma Cortex, con l'agente Cortex XDR per il runtime. Per chi ha già Prisma Cloud, la documentazione descrive il passaggio a Cortex Cloud con i propri tempi: si collegano i tenant e si copiano le configurazioni supportate.
Nella pagina prodotto Cortex Cloud si definisce una CNAPP per ambienti multicloud che riunisce sicurezza delle applicazioni, postura del cloud, sicurezza a runtime e gestione dell'esposizione; l'onboarding documentato copre AWS, Azure, Google Cloud, Oracle Cloud Infrastructure e Alibaba Cloud. La pagina Prisma Cloud organizza le funzioni in tre aree: codice (infrastructure as code, CI/CD, segreti, analisi delle dipendenze), infrastruttura (CSPM, CIEM, scansione agentless dei workload) e runtime.
Orca Security
Orca si definisce una piattaforma agentless-first, con un modello dati unificato che tiene insieme workload, postura del cloud, identità e codice. La tecnologia su cui insiste è SideScanning, brevettata: legge fuori banda lo storage a blocchi dei workload, ricostruisce il file system in una vista di sola lettura e lo analizza senza girare sulle macchine. In un post del gennaio 2025 Orca spiega che, in modalità SaaS, SideScanning crea snapshot che restano in vita poco tempo e poi vengono cancellate. Per il runtime c'è l'Orca Sensor.
E le console native, come Microsoft Defender for Cloud?
Se il tuo cloud è soprattutto Azure, Defender for Cloud è probabilmente già sul tavolo. Microsoft lo descrive come una CNAPP con tre componenti principali (CSPM, sicurezza DevOps e CWPP), che si attiva sulla sottoscrizione Azure, si collega anche ad AWS e Google Cloud con metodi agentless e si integra con il portale Defender XDR. Si valuta con gli stessi criteri, a partire dalla copertura degli altri cloud e dall'integrazione con il tuo SOC.
Come fare la prova sul tuo ambiente
Le demo dicono cosa una piattaforma sa fare; un proof of value di qualche settimana sui tuoi account dice cosa fa da te. Per renderlo confrontabile:
- Gli stessi account per tutti, due o tre e rappresentativi, compreso un ambiente di produzione o una sua copia fedele.
- Permessi approvati prima: ruoli per ogni cloud, modello di scansione, modalità di revoca.
- Le stesse misure: tempo fino al primo inventario completo, quante delle prime dieci segnalazioni portano a una correzione vera, quanto è chiaro il percorso di attacco.
- Un'integrazione vera: un ticket arrivato al team giusto, un evento arrivato al SIEM con il suo contesto.
- La coda in mano a chi la lavorerà: sviluppatori o partner, sono loro a dover provare la piattaforma.
Cosa contiene una valutazione di questo tipo è spiegato in cloud security assessment: cos'è, come si fa, cosa ricevi.
In sintesi
In sintesi: una CNAPP si sceglie sul proprio ambiente: cosa gira nel cloud, chi correggerà, con quale SOC dovrà parlare. Poi si confrontano Wiz, Prisma Cloud (oggi Cortex Cloud) e Orca sugli otto criteri, con una prova sugli stessi account. Se vuoi vedere questi criteri applicati al tuo cloud, la fotografia del cloud con Wiz parte da una call di 20 minuti: colleghiamo Wiz via API, senza agenti, e ti mostriamo cosa è esposto e in che ordine sistemarlo.