Google SecOps prezzi: pacchetti, ingestion e retention

La risposta breve: Google non pubblica un listino di Google SecOps. Sulla pagina ufficiale del prodotto i tre pacchetti, Standard, Enterprise ed Enterprise Plus, riportano la dicitura "Contact sales for pricing". Il prezzo di tutti e tre si basa sul volume di dati ingeriti, con 12 mesi di retention inclusi. Poi pesano il pacchetto scelto, la regione, la retention oltre l'anno e il servizio gestito sopra la piattaforma. Il numero vero si ottiene solo con una stima sui tuoi volumi.

Questa pagina spiega come si forma il costo, voce per voce, partendo da quello che Google scrive nella propria documentazione. Se ti serve prima capire cos'è la piattaforma, parti da Google SecOps: cos'è e come funziona. Se stai confrontando i modelli di prezzo di più SIEM, il quadro generale è in quanto costa un SIEM.

Perché non esiste un prezzo di listino

Google SecOps si vende a contratto, con una quota di dati acquistata in anticipo. La pagina dei pacchetti nella documentazione Google Cloud lo dice in modo esplicito: il prezzo di tutti i pacchetti è basato sul volume di ingestion, e per i dettagli si contatta un commerciale Google o un partner Google Cloud. La pagina prodotto conferma lo stesso modello: pacchetti, prezzo legato all'ingestion, un anno di retention della telemetria senza costi aggiuntivi.

Per chi compra è un vantaggio: il prezzo si costruisce sul tuo volume reale, sulla regione dei dati e sulle funzioni che ti servono. Le cifre per gigabyte o per anno che circolano online sono stime di terzi, non prezzi pubblicati da Google: per un budget servono i numeri del tuo contratto.

I tre pacchetti: cosa cambia tra Standard, Enterprise ed Enterprise Plus

Il pacchetto non cambia la logica del prezzo, che resta legata al volume, ma cambia cosa ottieni per ogni gigabyte. Ecco le differenze principali secondo la documentazione Google.

Standard

• Le funzioni di base di SIEM e SOAR: ingestion, normalizzazione nel modello dati UDM, detection, indagine e risposta.
• 12 mesi di retention a caldo, cioè dati ricercabili per un anno senza costi oltre l'ingestion.
• Motore di detection fino a 1.000 regole single-event e un sottoinsieme delle regole di detection curate.
• Oltre 300 integrazioni SOAR pronte e oltre 700 parser, secondo la pagina prodotto.
• Threat intelligence da fonti tue (bring your own feeds) e filtri sui dati limitati.

Enterprise

• Tutto lo Standard, più Gemini in Security Operations: ricerca in linguaggio naturale, riassunti dei casi, aiuto nella scrittura di regole e playbook.
• UEBA, cioè l'analisi del comportamento di utenti ed entità per individuare credenziali compromesse e minacce interne.
• Detection curate da Google, regole curate senza limite e motore fino a 2.000 regole single-event.
• Intelligence open source arricchita da Google, compreso Google Safe Browsing.

Enterprise Plus

• Tutto l'Enterprise, più Google Threat Intelligence Enterprise Plus, che unisce la telemetria di Google, il database di VirusTotal e l'esperienza sul campo di Mandiant.
• Detection sulle minacce emergenti viste negli incident response di Mandiant e motore fino a 3.500 regole single-event.
• Pipeline dati avanzata, con instradamento verso un'altra destinazione per 12 mesi: utile durante una migrazione da un SIEM precedente.
• Export gestito su BigQuery, con storage gratuito per i dati esportati fino al periodo di retention, e chiavi di cifratura gestite dal cliente (CMEK).

Sopra l'Enterprise Plus c'è Google Unified Security, che Google raccomanda per i grandi clienti strategici: include l'Enterprise Plus e aggiunge, tra l'altro, Security Command Center Enterprise, Chrome Enterprise Premium e Mandiant Threat Defense. Nel mid-market la scelta si gioca quasi sempre fra i primi tre.

La domanda giusta non è quale pacchetto costa meno, ma quale lavoro ti toglie. Un pacchetto con detection curate e Gemini riduce le ore spese a scrivere regole e a leggere alert, e quelle ore sono un costo anche se non compaiono nella fattura di Google.

Come si paga: abbonamento e crediti di ingestion

La pagina Understand your billing della documentazione Google descrive il meccanismo. Conviene conoscerlo prima della trattativa, perché ogni passaggio è una leva sul costo.

1. Abbonamento con quota di dati. I pacchetti usano un modello ad abbonamento con una componente di misurazione. Quando acquisti, il tuo account di fatturazione Google Cloud riceve un saldo di crediti pari ai GB acquistati, e i dati che ingerisci scalano quel saldo.
2. Canone ricorrente. In fattura compare un importo fisso, legato all'abbonamento sottoscritto e alla frequenza di fatturazione concordata.
3. Eccedenza. Se l'ingestion supera l'impegno e i crediti sono finiti, paghi i dati in più ogni mese alla tariffa negoziata nel contratto.
4. Regione. Google SecOps usa SKU specifici per regione, per rispettare i requisiti di residenza dei dati, e il prezzo può variare da una regione all'altra. La regione va scritta nel contratto.
5. Periodo di tolleranza. Se il contratto scade prima del rinnovo, il servizio continua, ma tutta l'ingestion si paga a consumo al prezzo di listino standard, senza gli sconti negoziati e senza i crediti non usati.

Due conseguenze pratiche. La prima: dimensionare bene l'impegno iniziale conta più dello sconto, perché un volume sottostimato finisce in eccedenza e uno sovrastimato resta credito pagato. La seconda: il rinnovo va chiuso prima della scadenza, altrimenti si passa a tariffa di listino. La console Google Cloud permette di seguire la spesa per SKU e di impostare budget e avvisi, quindi il consumo si controlla mese per mese.

Retention: un anno incluso, oltre si paga

Secondo la documentazione sulla retention, Google conserva per impostazione predefinita 12 mesi di dati, e il periodo si può estendere fino a cinque anni nell'ordine di acquisto. Per l'estensione oltre i 12 mesi la pagina sulla fatturazione indica che il costo si calcola sul volume totale di dati ingeriti e si fattura a consuntivo: i dati di gennaio compaiono nella fattura di febbraio.

Un dettaglio che sposta il conto: la retention vale per tutti i dati dell'istanza, e non si può impostare una durata diversa per un singolo tipo di log. Se ti servono tre anni solo per i log di autenticazione, li paghi per tutto quello che ingerisci. Prima di chiedere un'estensione conviene quindi capire quanta storia serve davvero, e se una parte dei dati può andare in un archivio separato.

I dati che non pesano sul volume

Non tutti i GB entrano nel conteggio. Con il programma Data Benefit Google consente di ingerire alcune sorgenti senza che contino sulla quota del contratto. Fra quelle elencate:

• i log di Google Workspace, fino a 10 GB al giorno;
• i Cloud Audit Logs di Google Cloud (Admin Activity e System Event), fino a 10 GB al giorno;
• gli alert di Security Command Center, i log e gli alert di Chrome Enterprise e i dati di contesto di Cloud Asset Inventory, senza limite;
• gli alert degli EDR di terze parti approvati da Google, senza limite, esclusi i log grezzi.

Le condizioni contano: il programma vale per i pacchetti Enterprise ed Enterprise Plus, per i contratti nuovi o rinnovati firmati dal 1° febbraio 2026, sopra le soglie minime di valore annuo del contratto fissate da Google, e Google si riserva di modificarlo. Esistono anche esenzioni dedicate ai clienti che usano Wiz Defend, per i contratti firmati dall'8 ottobre 2026: come lavorano insieme le due piattaforme lo trovi in Wiz e Google SecOps.

Per un'azienda che lavora su Google Workspace o ha un EDR fra quelli approvati, questa voce può cambiare parecchio la dimensione dell'impegno da acquistare. Va verificata sul tuo caso, in fase di offerta.

Le voci che stanno fuori dalla licenza

La licenza copre la piattaforma. Un preventivo completo deve mettere in fila anche il resto.

• Ambienti di conformità. Se ti serve un regime specifico tramite Assured Workloads, Google indica una maggiorazione percentuale sui servizi Google Cloud che girano in quell'ambiente, fatturata a parte.
• Prodotti acquistati da Google Cloud Marketplace. Secondo la documentazione del Marketplace, i prodotti di terze parti si pagano separatamente e compaiono come voci distinte nella fatturazione Google Cloud; i vendor possono proporre offerte private con prezzi dedicati. Vale per gli strumenti che affianchi alla piattaforma, non per il contratto Google SecOps in sé.
• Messa a regime. Censire le sorgenti, collegare i parser, scrivere le prime regole sul tuo ambiente. È il lavoro che facciamo nei servizi di observability e SecOps. Se parti da un altro SIEM si aggiungono la riscrittura delle detection e il periodo in parallelo, che sono il tema di quanto costa una migrazione SIEM.
• Il presidio. Google SecOps è una piattaforma, non un servizio: qualcuno deve mantenere le regole, leggere gli alert anche di notte e rispondere. Un team interno 24/7 richiede circa sei analisti, nell'ordine di 400-600 mila euro l'anno di solo personale. In alternativa c'è il servizio gestito, che ha un canone suo: i fattori che lo determinano sono in quanto costa un SOC gestito.

Se un'offerta unisce piattaforma e servizio, chiedi di vedere le due voci separate: solo così sai cosa cambia se il volume dei log cresce.

Chronicle pricing: se hai un contratto storico

Chronicle è il nome storico del SIEM di Google, e molti cercano ancora così il prezzo. Oggi l'offerta sono i pacchetti descritti sopra. La documentazione Google segnala però un caso particolare: chi ha acquistato Google SecOps SIEM o Google SecOps SOAR come prodotti separati, fuori dai pacchetti unificati, riceve fatture via email e le consulta dal Google Payments Center, e il dettaglio dei costi non compare nella console Google Cloud. Se il tuo contratto è di questo tipo, il rinnovo è il momento naturale per confrontarlo con i pacchetti attuali.

Come preparare una stima credibile

Un preventivo vale quanto i numeri da cui parte. Questi li puoi raccogliere prima della prima call:

1. Volume giornaliero di log, in GB al giorno, con i picchi e la crescita attesa nei prossimi 12 mesi.
2. Elenco delle sorgenti, separando quelle che possono rientrare nel Data Benefit (Workspace, Google Cloud, alert EDR) dalle altre.
3. Regione in cui devono stare i dati.
4. Retention richiesta, motivata: per i soggetti NIS2 la misura PR.PS-04 della determinazione ACN 379907/2025 chiede tempi di conservazione dei log definiti e documentati in base alla valutazione del rischio.
5. Funzioni che ti servono davvero: detection curate, Gemini, UEBA, intelligence Mandiant. Sono queste a decidere il pacchetto.
6. Chi presidia: team interno, servizio gestito o un modello misto.

In sintesi

Il prezzo di Google SecOps non sta in un listino: si basa sul volume di dati ingeriti, si acquista come abbonamento con crediti in GB e varia con il pacchetto, la regione e la retention oltre i 12 mesi inclusi. Alcune sorgenti Google e gli alert degli EDR approvati possono restare fuori dal conteggio grazie al Data Benefit. Fuori dalla licenza restano la messa a regime e il presidio, che nel mid-market spesso pesano quanto la piattaforma.

Il nostro SOC opera dall'Italia 24 ore su 24 su Google SecOps. Se vuoi una stima costruita sui tuoi volumi, con piattaforma e servizio gestito tenuti separati, parti dalla pagina sulla cybersecurity gestita di AmagisTech.