Quanto costa un SIEM: licenze, volume di log e gestione

Un SIEM non ha un prezzo di listino unico. Il costo si compone di tre voci: la licenza, calcolata quasi sempre sul volume di log e a volte sul numero di asset; la conservazione dei dati oltre la retention inclusa; la gestione, cioè chi scrive le regole e legge gli alert. Per stimarlo servono GB di log al giorno, sorgenti, mesi di retention e ore di presidio.

Questa pagina spiega come i principali vendor costruiscono il prezzo, quali voci restano fuori dal preventivo e come arrivare alla prima call con numeri tuoi. Non parla di migrazione da una piattaforma all'altra: quel conto, che è una spesa di progetto, sta in quanto costa una migrazione SIEM. Se ti serve prima la definizione, parti da cos'è un SIEM e come funziona.

Le tre voci del costo di un SIEM

Chi confronta due offerte guardando solo la riga della licenza confronta un terzo del conto.

1. Licenza o sottoscrizione. Il canone della piattaforma, che segue una metrica: GB ingeriti, risorse di calcolo, asset monitorati.
2. Dati. La retention oltre quella inclusa, i livelli di archiviazione a basso costo, le query sullo storico, i servizi accessori su cui girano alcuni connettori.
3. Gestione. Collegare le sorgenti, mantenere i parser, scrivere e calibrare le regole, guardare gli alert anche di notte. Non compare in nessun listino, e nel mid-market è spesso la voce più pesante.

Le prime due le leggi nella documentazione dei vendor. La terza dipende da chi fa il lavoro.

Come si paga la licenza: i modelli dei vendor

Nei listini pubblici si ritrovano tre metriche principali: volume di dati, risorse o attività, asset. Poi ci sono due casi particolari, l'utente e l'open source. Conoscerle serve a capire su quale leva puoi agire, perché ogni metrica premia comportamenti diversi.

A volume di dati ingerito

È il modello più diffuso. Paghi in base a quanti dati mandi alla piattaforma.

• Google SecOps è offerto in tre pacchetti, Standard, Enterprise ed Enterprise Plus, e la documentazione Google indica che il prezzo di tutti i pacchetti è basato sul volume di ingestion. Il pacchetto Standard include 12 mesi di retention a caldo. Il dettaglio è nell'articolo sui prezzi di Google SecOps.
• Microsoft Sentinel, secondo Microsoft Learn, si paga in base al livello in cui il dato viene ingerito. Per il livello analytics ci sono due strade: pay-as-you-go sul volume effettivo, oppure livelli di impegno che partono da 100 GB al giorno e, sulla pagina prezzi di Microsoft, arrivano a 50.000 GB al giorno. Il livello si può alzare in qualsiasi momento e abbassare solo ogni 31 giorni.
• Splunk elenca fra i propri modelli l'ingest pricing, basato sul volume di dati ingerito.
• Elastic Security, nella versione serverless, fattura ogni mese i GB ingeriti alla tariffa del livello di funzionalità scelto, e a parte i GB conservati.

A risorse o ad attività

Splunk propone anche il workload pricing, basato sull'uso di risorse, e l'activity-based pricing, che tiene conto sia dell'ingestion sia dell'attività di ricerca. Nel modello ad attività pesa anche quanto cerchi nei dati, non solo quanti ne mandi: chi fa molto threat hunting lo deve sapere prima della firma.

Per asset

Rapid7 prezza i pacchetti SIEM della linea Incident Command per asset. Nelle FAQ ufficiali un asset è un host con sistema operativo workstation o server a cui sono stati attribuiti dati negli ultimi 30 giorni: server, desktop, laptop fisici e virtuali, sistemi di cassa. Il prezzo non cambia con il tipo di asset e scende per fasce di quantità; i dati sono coperti da una politica di fair use mensile che cresce con le fasce. Il vantaggio è la prevedibilità. Il punto da chiarire è cosa succede alle sorgenti che non sono host, come firewall e servizi cloud.

Per utente

Nei listini che abbiamo consultato l'utente non è la metrica principale della licenza: compare come unità di un beneficio. Sulla pagina prezzi di Microsoft Sentinel, per esempio, Microsoft indica fino a 5 MB al giorno per utente di ingestion gratuita per i principali log di sicurezza. Le condizioni di accesso al beneficio vanno verificate con il vendor sul tuo contratto.

Open source

Wazuh è disponibile senza costi di licenza, ed esistono altre piattaforme aperte. La licenza a zero però sposta il costo su infrastruttura, aggiornamenti, manutenzione delle regole e ore di persone, non lo elimina. Il confronto completo sta in SIEM open source: Wazuh, Elastic, OpenSearch.

Il volume di log: il numero che muove il conto

Con i modelli a volume, il costo segue i GB al giorno. E non tutti i GB valgono uguale: ci sono sorgenti che producono molto e servono poco, e altre che pesano poco e servono a ricostruire ogni incidente. Prima di chiedere un preventivo conviene sapere tre cose.

• Quali sorgenti sono rumorose. Si scopre misurando, sorgente per sorgente, e spesso il formato conta quanto il dispositivo. Microsoft, per esempio, documenta che i log in formato CEF possono portare campi aggiuntivi oltre lo schema standard, con volumi di ingestion più alti perché il contenuto di quei campi è variabile.
• Quali dati sono già gratuiti. Per Microsoft Sentinel la documentazione elenca fra le sorgenti gratuite gli Azure Activity Logs, gli audit log di Office 365 e gli alert dei prodotti Microsoft Defender, mentre i log grezzi di alcuni di quei prodotti sono a pagamento. Ogni vendor ha le sue regole: vanno chieste per iscritto.
• Se puoi filtrare prima dell'ingestion. Scartare o trasformare i dati che non servono è la leva più concreta sul costo ricorrente, più dello sconto in trattativa.

C'è poi la crescita. Il volume aumenta con ogni applicativo nuovo, ogni sede, ogni servizio cloud. Un preventivo serio dice cosa succede al conto se il volume cresce del 30%, e se un impegno sovradimensionato si può ridurre e con quali tempi: su Sentinel, come visto, solo ogni 31 giorni.

Retention: quanto storico è incluso e quanto costa il resto

La retention è la voce che si sottovaluta in fase di acquisto. Quando ricostruisci un'intrusione, il punto di ingresso è spesso settimane prima dell'alert, e se quei dati non ci sono più l'indagine si ferma. I vendor trattano lo storico in modi molto diversi.

• Google SecOps: per impostazione predefinita Google conserva 12 mesi di dati, interrogabili a caldo, ed estendibili fino a cinque anni in fase di ordine.
• Microsoft Sentinel: i dati ingeriti nel workspace sono conservati senza addebito per i primi 90 giorni, oltre si paga la retention ai prezzi di Log Analytics. Esiste un livello data lake a costo inferiore, fatturato per GB conservato al mese con una compressione calcolata 6:1, più le query per GB scansionato.
• Elastic Security serverless: la retention è una voce separata, per GB conservato al mese.
• Rapid7 Incident Command: 90 giorni di log nel pacchetto Essential e 180 giorni in Advanced e Ultimate, più add-on.

Quanti mesi servono non lo decide il vendor. Per i soggetti NIS2, la misura PR.PS-04 della determinazione ACN 379907/2025, presente sia nell'allegato 1 per i soggetti importanti sia nell'allegato 2 per gli essenziali, chiede di conservare almeno i log necessari al monitoraggio degli eventi di sicurezza, in modo sicuro e possibilmente centralizzato, con tempi di conservazione definiti e documentati in base alla valutazione del rischio. Il numero di mesi è quindi una scelta da motivare per iscritto, e quella scelta fissa una parte del costo ricorrente.

La voce che non sta nel listino: la gestione

Un SIEM acceso e non presidiato costa la licenza e restituisce poco. Il lavoro che lo fa funzionare è continuo:

• collegare le sorgenti e verificare che i parser estraggano davvero i campi utili;
• scrivere, testare e mantenere le regole di detection, a ogni nuovo applicativo e a ogni nuova tecnica di attacco;
• abbassare i falsi positivi fino a un numero che un turno riesce a smaltire;
• leggere gli alert anche di notte, nel weekend e ad agosto, e decidere cosa fare.

Lo stesso Rapid7, nelle FAQ dei pacchetti, precisa che i servizi di Managed Detection and Response sono prezzati a parte: la licenza dà la piattaforma, non chi la guarda. Le strade sono due. Costruire un presidio interno 24/7 richiede un team di circa sei analisti, con un costo di mercato nell'ordine di 400-600 mila euro l'anno di solo personale. In alternativa si affida il presidio a un servizio di cybersecurity gestita, che ha un canone suo: i fattori che lo determinano sono in quanto costa un SOC gestito.

Per avere l'ordine di grandezza di cosa stai coprendo: secondo il report IBM Cost of a Data Breach 2026, nel comunicato di IBM Italia, il costo medio di una violazione dei dati in Italia è di 3,55 milioni di euro.

I costi una tantum: la messa a regime

Oltre al canone c'è il lavoro iniziale: censire le sorgenti, collegarle, scrivere le prime regole sul tuo contesto, definire chi riceve gli alert e con quali tempi. L'attivazione tecnica di una piattaforma cloud è veloce, il resto si conta in settimane per fase. Se parti da un SIEM che hai già, a questo si aggiungono riscrittura delle detection e periodo in parallelo, che sono il tema dell'articolo sulla migrazione citato sopra.

Come preparare una stima credibile

Un preventivo vale quanto i numeri da cui parte. Questi cinque li puoi raccogliere prima della prima call:

1. Volume giornaliero di log, in GB al giorno, con i picchi.
2. Elenco delle sorgenti, con marca e versione, distinguendo host, apparati di rete, cloud e applicativi.
3. Numero di asset, se valuti anche modelli per asset.
4. Retention richiesta, separando quanto va tenuto interrogabile da quanto basta archiviare.
5. Ore di presidio disponibili, cioè chi guarda gli alert e in quali fasce.

Poi, a ogni fornitore, le stesse domande, così le risposte restano confrontabili:

• su quale metrica si paga e cosa succede al conto se il volume o gli asset crescono del 30%;
• quanti mesi di dati restano interrogabili senza costi aggiuntivi e quanto costa andare oltre;
• quali sorgenti sono gratuite o incluse e quali no;
• quali detection sono attive il primo giorno e quali richiedono il pacchetto superiore;
• chi scrive e mantiene le regole, e chi guarda gli alert fuori orario.

I criteri per scegliere la piattaforma, oltre al costo, sono in software SIEM: i criteri di scelta.

In sintesi

Quanto costa un SIEM lo decidono tre voci: la licenza, legata quasi sempre al volume di log e a volte agli asset; la retention oltre quella inclusa; la gestione, che non sta in nessun listino e spesso pesa più delle altre due. La leva più concreta sul costo ricorrente è decidere quali dati mandare e per quanto tempo tenerli. La stima si costruisce su volume, sorgenti, retention e ore di presidio, non sul listino.

Se vuoi una stima sui tuoi numeri, piattaforma e presidio insieme, guarda come lavoriamo su observability e SecOps.