Managed security service provider: come scegliere un MSSP

Un managed security service provider (MSSP) è un fornitore che gestisce per tuo conto attività di sicurezza informatica: monitoraggio dei log, analisi degli allarmi, risposta agli incidenti, a volte firewall ed endpoint. Per sceglierne uno contano quattro cose, prima del prezzo: cosa fa davvero quando scatta un allarme di notte, in quanto tempo ti avvisa, cosa resta tuo (dati, regole, accessi) e come ne esci a fine contratto.

Questa guida è per chi deve scegliere un MSSP in Italia, o rinnovare il contratto con quello che ha già: le domande da fare in fase di selezione, le clausole da chiedere nel contratto, i segnali che consigliano di passare oltre. Se prima devi decidere se tenere il presidio in casa o affidarlo fuori, parti da SOC interno vs SOC gestito.

Cos'è un MSSP, in breve

Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, definisce il fornitore di servizi di sicurezza gestiti come «un fornitore di servizi gestiti che svolge o fornisce assistenza per attività relative alla gestione dei rischi di sicurezza informatica» (art. 2, comma 1, lettera lll). La definizione è larga: sotto la stessa etichetta trovi chi amministra firewall e antivirus, chi eroga un SOC (Security Operations Center) 24 ore su 24 e chi offre MDR, cioè detection e response gestite.

Quindi la prima cosa da chiarire è cosa stai comprando: gestire i tuoi apparati e indagare sugli allarmi fino a contenere un attacco sono due acquisti diversi, anche quando l'offerta usa le stesse parole. Le differenze tra i modelli sono in MDR vs SIEM vs SOC, e cosa fa un SOC nella guida al SOC.

Lo stesso decreto mette i fornitori di servizi di sicurezza gestiti nell'allegato I, settore 9, Gestione dei servizi TIC (business-to-business): un MSSP che supera i massimali della piccola impresa è a sua volta un soggetto NIS2 (art. 3, comma 2), con obblighi propri.

Prima delle domande: cosa vuoi ottenere

Tre risposte da avere prima di parlare con un fornitore:

1. Il perimetro. Quali sistemi entrano: endpoint, server, cloud, posta e collaborazione, rete, identità.
2. Il livello di intervento. Ti basta essere avvisato, o vuoi che qualcuno isoli una macchina o blocchi un account alle tre di notte? È la scelta che pesa di più su contratto e canone.
3. Il vincolo normativo. Se sei un soggetto NIS2 o un'entità finanziaria sotto DORA, il contratto con l'MSSP deve contenere requisiti precisi. Li vediamo più sotto.

Sui fattori che muovono il canone c'è quanto costa un SOC gestito. Qui ci concentriamo su come si confrontano i fornitori.

Le domande da fare a un MSSP

Sul servizio

• Cosa succede quando scatta un allarme alle tre di notte? Chi lo vede, entro quanto, chi decide, chi ti chiama. Analisti al lavoro tutta la notte e reperibilità su chiamata sono due servizi diversi.
• Cosa potete fare senza chiedermelo? Isolare un endpoint, disabilitare un utente, bloccare un indirizzo. Le azioni di risposta autorizzate si scrivono prima, non si negoziano durante un incidente.
• Quali fonti di log raccogliete, e quali no? Un servizio che legge solo l'antivirus non vede un accesso anomalo a un account cloud.
• Come gestite le regole di rilevamento? Chi le scrive, ogni quanto si aggiornano, se sono mappate su un riferimento come MITRE ATT&CK e se puoi chiederne di specifiche per il tuo ambiente.
• Come riducete i falsi positivi? Un servizio che inoltra ogni allarme sposta il lavoro sul tuo team.

Sulle persone

• Dove lavorano gli analisti, in che lingua si comunica, e c'è un referente nominato che conosce il tuo ambiente?
• Qual è il percorso di escalation, con nomi e numeri, quando un incidente è grave?

Sulla tecnologia e sui dati

• La piattaforma è tua o loro? Se il SIEM è del fornitore, chiedi cosa ti resta a fine contratto: log, regole, casi, report.
• Dove stanno i dati, per quanto tempo si conservano e in quale formato si esportano.
• Chi accede ai tuoi sistemi, con quali account e con quale autenticazione: anche gli accessi del fornitore sono una strada verso la tua rete.

Sulla conformità del fornitore

• È a sua volta un soggetto NIS2?
• Ha una certificazione ISO/IEC 27001? Chiedi il certificato e leggi il campo di applicazione: deve comprendere il servizio che compri, non solo la sede.
• Come ti aiuta a rispettare i tuoi tempi di notifica degli incidenti?

Cosa chiedere nel contratto

Il fornitore vede i tuoi log, entra nei tuoi sistemi e gestisce i primi minuti di un incidente. Per un soggetto NIS2 la sicurezza della catena di approvvigionamento, compresi i rapporti con i diretti fornitori e fornitori di servizi, è uno degli elementi minimi delle misure di gestione dei rischi (D.Lgs. 138/2024, art. 24, comma 2, lettera d). Le misure di base della determinazione ACN 379907/2025 chiedono poi di inserire requisiti di sicurezza nei contratti delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete (misura GV.SC-05), e un MSSP rientra quasi sempre tra queste. Inventario e valutazione dei fornitori sono spiegati in fornitori rilevanti NIS2.

1. Livelli di servizio misurabili

Gli SLA devono dire in quanto tempo un allarme viene preso in carico e in quanto tempo ti viene comunicato, per livello di gravità, e come si misura il rispetto. Un unico tempo di risposta che non dice cosa conta come risposta non basta.

Per le entità finanziarie lo chiede DORA: i contratti per servizi ICT a supporto di funzioni essenziali o importanti descrivono i livelli di servizio con «precisi obiettivi quantitativi e qualitativi» in termini di prestazioni, per consentire un monitoraggio efficace e azioni correttive senza indebito ritardo (Regolamento (UE) 2022/2554, art. 30, paragrafo 3, lettera a).

2. Segnalazione degli incidenti in tempo utile

Se un incidente significativo colpisce i tuoi sistemi, la notifica al CSIRT Italia spetta a te anche quando la sicurezza è gestita da un fornitore: la FAQ ACN ISB.F.1 fa proprio l'esempio di un servizio di Security Operation Center. La stessa FAQ aggiunge che, nei requisiti di sicurezza della fornitura (misura GV.SC-01), il cliente soggetto NIS deve assicurarsi che il fornitore gli segnali tempestivamente gli eventi di sicurezza con impatto sui suoi servizi.

La pre-notifica va trasmessa entro 24 ore da quando sei venuto a conoscenza dell'incidente significativo, la notifica entro 72 ore e la relazione finale entro un mese dalla notifica (D.Lgs. 138/2024, art. 25, comma 5). Il contratto deve fissare tempi e canali della segnalazione del fornitore, e le informazioni che ti passa per compilare le notifiche.

3. Azioni di risposta autorizzate

Un elenco delle azioni che il fornitore può eseguire da solo, di quelle che richiedono la tua approvazione e di chi può darla, anche di notte e nel fine settimana.

4. Dati, località e responsabile del trattamento

I log contengono dati personali, a partire da nomi utente e indirizzi email, quindi l'MSSP li tratta per tuo conto. Serve il contratto con il responsabile del trattamento previsto dall'articolo 28, paragrafo 3, del GDPR, che regola tra l'altro il ricorso ad altri responsabili e la cancellazione o restituzione dei dati a fine servizio. Chiedi anche dove vengono trattati e conservati: DORA prevede che il contratto indichi le località e che il fornitore segnali in anticipo l'intenzione di cambiarle (art. 30, paragrafo 2, lettera b).

5. Subappalto

Chi fa davvero il lavoro? Turno notturno, piattaforma o parte delle analisi possono essere affidati a terzi: il contratto deve dire se è ammesso e a quali condizioni. Per i soggetti essenziali, l'allegato 2 della determinazione ACN 379907/2025 mette subappalto e subfornitura tra gli ambiti da considerare nei requisiti di sicurezza delle forniture (misura GV.SC-01, punto 2). DORA chiede di indicare se il subappalto di un servizio a sostegno di una funzione essenziale o importante è autorizzato, e a quali condizioni (art. 30, paragrafo 2, lettera a).

6. Diritto di verifica

Report con metriche concordate, accesso ai casi gestiti e possibilità di verificare il servizio, anche tramite un terzo. Conformità e audit di sicurezza sono un altro degli ambiti dell'allegato 2 ACN; per le funzioni essenziali o importanti DORA prevede diritti di accesso, ispezione e audit (art. 30, paragrafo 3, lettera e).

7. Uscita

Deve dire cosa ti viene restituito (log, regole di rilevamento scritte per te, storico dei casi, configurazioni), in che formato, in quanto tempo, e per quanto il fornitore continua a lavorare mentre passi a un altro. La dismissione della fornitura, con restituzione e cancellazione dei dati, è tra gli ambiti dell'allegato 2 ACN, e DORA chiede strategie di uscita con un adeguato periodo di transizione obbligatorio (art. 30, paragrafo 3, lettera f).

Una nota sul perimetro di queste norme. L'articolo 30 di DORA vale per le entità finanziarie, e l'elenco di ambiti dell'allegato 2 ACN per i soggetti essenziali; per i soggetti importanti la determinazione chiede requisiti coerenti con la valutazione del rischio della fornitura, senza un elenco. Per tutti gli altri, restano una lista di controllo già pronta.

Segnali d'allarme

• Il servizio si vede solo nel report mensile. Se in fase di offerta nessuno ti mostra una segnalazione vera, il report sarà probabilmente tutto quello che vedrai.
• Nessuna domanda sul tuo ambiente. Un'offerta arrivata senza chiedere perimetro, fonti di log e chi decide in caso di incidente è un listino, non un servizio.
• SLA solo sulla disponibilità della piattaforma. Una console sempre raggiungibile non dice niente su quanto in fretta qualcuno guarda un allarme.
• Notti e fine settimana coperti in reperibilità, senza tempi scritti.
• Dati e regole non esportabili, o risposte vaghe su dove stanno i dati.
• Resistenza alle clausole di verifica o di uscita. Un fornitore che lavora bene non ha motivo di evitarle.
• Promesse assolute: zero falsi positivi, nessun incidente, conformità garantita. La notifica e le misure di sicurezza restano obblighi tuoi, e nessun contratto li trasferisce al fornitore.
• Durata lunga senza recesso se gli SLA non vengono rispettati.

Come confrontare due o tre offerte

1. Stesso perimetro per tutti. Dai a ogni fornitore lo stesso elenco di sistemi e lo stesso livello di intervento, altrimenti confronti canoni di servizi diversi.
2. Chiedi uno scenario. Per esempio: le credenziali di un amministratore usate da un paese insolito alle due di domenica. Fatti raccontare cosa vedono, cosa fanno e cosa ti arriva, con i tempi.
3. Chiedi un report di esempio e una segnalazione di incidente anonimizzata. Cosa deve contenere è spiegato in report SOC: cosa deve contenere.
4. Parla con un cliente di dimensione e settore simili, meglio se ha avuto un incidente durante il contratto.

In sintesi

Un MSSP si sceglie su cosa fa quando scatta un allarme, su quanto in fretta ti avvisa e su cosa ti lascia quando il rapporto finisce. Per un soggetto NIS2 o un'entità finanziaria il contratto ha requisiti precisi: segnalazione tempestiva, livelli di servizio misurabili, subappalto, verifiche e uscita. Il canone si confronta dopo, a parità di perimetro.

Se stai valutando un SOC gestito, nella pagina sul SOC gestito e MDR di AmagisTech trovi come lavoriamo, con analisti in Italia e dati in UE, e come si concorda il piano d'uscita prima di entrare.