Sicurezza gestita: cos'è, cosa include e come sceglierla

La sicurezza gestita è l'affidamento a un fornitore esterno, con un contratto continuativo e livelli di servizio scritti, di attività di sicurezza informatica che altrimenti faresti in casa: monitoraggio 24 ore su 24, risposta agli incidenti, gestione di endpoint, firewall, vulnerabilità, posta e identità. Il fornitore si chiama MSSP. Le decisioni e gli obblighi di legge restano all'azienda cliente.

Questa guida è per chi sta valutando di affidare fuori una parte della sicurezza e vuole capire tre cose prima di chiedere offerte: quali servizi esistono sotto l'etichetta sicurezza gestita, cosa resta comunque in carico all'azienda, e cosa far scrivere nel contratto.

Cos'è la sicurezza gestita

Un servizio di sicurezza gestita è un'attività di sicurezza che un fornitore svolge per tuo conto in modo continuativo, non a progetto: non un assessment che finisce con un report, ma un presidio che lavora ogni giorno sui tuoi sistemi, con regole e tempi concordati.

Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, dà una definizione del fornitore. Il fornitore di servizi di sicurezza gestiti è «un fornitore di servizi gestiti che svolge o fornisce assistenza per attività relative alla gestione dei rischi di sicurezza informatica» (art. 2, comma 1, lettera lll). Il fornitore di servizi gestiti, a sua volta, è chi installa, gestisce, fa funzionare o manutiene prodotti, reti e sistemi TIC dei clienti, nei loro locali o a distanza (lettera iii).

La differenza pratica è questa: un MSP tiene in piedi l'IT (server, rete, postazioni, backup), un MSSP sorveglia e gestisce il rischio di sicurezza. Molte aziende li hanno entrambi, e conviene che non coincidano, perché chi amministra i sistemi non dovrebbe essere l'unico a controllarli. Il confine tra i due è spiegato in managed service provider (MSP): cos'è e come sceglierlo.

Cosa include un servizio di sicurezza gestita

La definizione di legge è larga, e lo è anche il mercato. Sotto la stessa etichetta trovi servizi molto diversi. Il considerando 86 della direttiva (UE) 2022/2555 cita come esempi di settori dei fornitori di servizi di sicurezza gestiti la risposta agli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza. Nelle offerte reali le famiglie più frequenti sono queste.

Monitoraggio, rilevamento e risposta

È il cuore della sicurezza gestita: un SOC (Security Operations Center) esterno raccoglie e correla i log, filtra gli allarmi, indaga su quelli veri e avvia la risposta. Lo trovi venduto come SOC gestito, SOC as a service o MDR (managed detection and response). Cosa fa un SOC è spiegato nella guida al SOC; le voci da verificare in un'offerta sono in servizio SOC gestito: cosa include.

Endpoint e server

Gestione dell'EDR su postazioni e server: installazione degli agenti, regole, analisi degli eventi e, se autorizzato, isolamento della macchina compromessa. Spesso è la parte del servizio che permette di contenere un attacco, non solo di vederlo.

Rete e accessi remoti

Amministrazione di firewall, VPN e segmentazione: aggiornamento delle regole, revisione periodica delle eccezioni, analisi del traffico anomalo.

Vulnerabilità e superficie esterna

Scansioni periodiche, priorità delle correzioni in base al rischio, verifica che le patch siano state applicate, monitoraggio di ciò che è esposto su internet e test di penetrazione a cadenza fissa.

Identità, posta e persone

Controllo degli accessi privilegiati e dell'autenticazione a più fattori, filtri sulla posta, simulazioni di phishing e formazione del personale.

Supporto alla conformità

Report ed evidenze utili per audit NIS2, DORA o ISO/IEC 27001: incidenti gestiti, tempi, vulnerabilità aperte e chiuse. Il fornitore produce la documentazione del proprio lavoro; la conformità resta un risultato dell'azienda.

Un'offerta di sicurezza gestita può contenere una sola di queste voci o quasi tutte. Per questo il primo passo è sapere quali ti servono, non quale fornitore scegliere.

Sicurezza gestita e NIS2: cosa copre e cosa no

Per un soggetto essenziale o importante, l'art. 24 del D.Lgs. 138/2024 elenca gli elementi minimi delle misure di gestione dei rischi. Diversi si possono far eseguire a un fornitore:

• Gestione degli incidenti (comma 2, lettera b): monitoraggio, rilevamento e risposta.
• Gestione e divulgazione delle vulnerabilità (lettera e): scansioni, priorità, verifica delle correzioni.
• Igiene di base e formazione (lettera g): campagne di sensibilizzazione e simulazioni.
• Controllo dell'accesso e autenticazione a più fattori (lettere i e l): gestione delle identità e degli accessi privilegiati.

Due cose però non si delegano.

La prima è la responsabilità. Gli organi di amministrazione approvano le modalità di attuazione delle misure, ne sovrintendono l'attuazione e sono responsabili delle violazioni (art. 23, comma 1). Un contratto di sicurezza gestita è uno strumento per attuare le misure, non un trasferimento dell'obbligo.

La seconda è la notifica degli incidenti. Se un incidente significativo colpisce i tuoi sistemi, la notifica al CSIRT Italia spetta a te anche quando la sicurezza è gestita da un fornitore: la FAQ ACN ISB.F.1 fa proprio l'esempio di un servizio di Security Operation Center. La pre-notifica va inviata entro 24 ore da quando sei venuto a conoscenza dell'incidente significativo, la notifica entro 72 ore (art. 25, comma 5). Il fornitore ti deve mettere in condizione di rispettare quei tempi.

C'è poi un effetto meno visibile: il fornitore stesso entra nella tua catena di approvvigionamento. La sicurezza dei rapporti con i fornitori diretti è uno degli elementi minimi dell'art. 24 (comma 2, lettera d), e il considerando 86 della direttiva chiede ai soggetti essenziali e importanti di «esercitare una maggiore diligenza nella selezione di un fornitore di servizi di sicurezza gestiti», perché questi fornitori sono stati a loro volta bersaglio di attacchi e sono strettamente integrati nelle attività dei clienti.

Cosa affidare fuori e cosa tenere in casa

La scelta non è tutto o niente. Tre domande aiutano a decidere servizio per servizio.

1. Serve copertura fuori orario? Il monitoraggio notturno e nei festivi richiede turni che un team interno piccolo non regge. È il motivo più comune per affidare fuori il SOC.
2. La competenza è rara o costante? Analisi degli allarmi e risposta agli incidenti richiedono persone che fanno quel lavoro ogni giorno. La revisione delle regole del firewall, in un'azienda con un IT strutturato, può restare interna.
3. Chi ha il contesto? Il fornitore sa riconoscere un attacco, ma non sa quale server ferma la produzione o quale utente è in trasferta. Inventario degli asset, priorità di business e decisioni di risposta che toccano l'operatività restano tuoi.

In ogni caso restano all'azienda: un referente interno che conosce il contratto e risponde quando il fornitore chiama, le politiche di sicurezza, l'approvazione delle azioni di risposta più invasive, la notifica degli incidenti e la gestione dei fornitori. Il confronto completo tra presidio interno ed esterno è in SOC interno vs SOC gestito.

Come scegliere un fornitore di sicurezza gestita

Prima di confrontare i prezzi conviene confrontare le risposte a poche domande concrete:

• Cosa succede a un allarme alle tre di notte? Chi lo vede, entro quanto, chi decide, chi ti chiama. Analisti in turno e reperibilità su chiamata sono due servizi diversi.
• Cosa può fare il fornitore senza chiedertelo? Isolare un endpoint, disabilitare un account, bloccare un indirizzo.
• Quali fonti di log e quali sistemi entrano nel servizio, e quali ne restano fuori.
• La piattaforma è tua o sua? Da qui dipende cosa ti resta a fine contratto.
• Il fornitore è certificato ISO/IEC 27001? Leggi il campo di applicazione del certificato: deve comprendere il servizio che compri.

Le domande per la selezione, le clausole e i segnali d'allarme sono raccolti in come scegliere un MSSP.

Cosa chiedere nel contratto

Un contratto di sicurezza gestita funziona se descrive il servizio in modo verificabile. Le voci minime:

• Catalogo e perimetro per ogni servizio: quali sistemi, quali fonti di log, quali sedi e ambienti cloud. Quello che non è scritto non è coperto.
• Livelli di servizio per gravità: tempi di presa in carico, di comunicazione e, dove previsto, di contenimento, con il modo in cui si misurano. Uno SLA sulla sola disponibilità della piattaforma non dice niente su quanto in fretta qualcuno guarda un allarme.
• Azioni di risposta autorizzate: quelle che il fornitore esegue da solo, quelle che richiedono la tua approvazione, e chi può darla di notte.
• Segnalazione degli incidenti: tempi e canali compatibili con la pre-notifica entro 24 ore, e le informazioni che il fornitore ti passa per compilarla.
• Accessi del fornitore ai tuoi sistemi: account nominativi, autenticazione a più fattori, registrazione degli accessi. Sono una strada verso la tua rete e vanno trattati come tali.
• Dati personali: i log contengono nomi utente e indirizzi email, quindi serve il contratto con il responsabile del trattamento previsto dall'art. 28, paragrafo 3, del GDPR, che regola anche il ricorso a sub-responsabili e la cancellazione o restituzione dei dati a fine servizio.
• Report e diritto di verifica: metriche concordate e accesso ai casi gestiti.
• Uscita: cosa ti viene restituito (log, regole scritte per te, storico dei casi, configurazioni), in che formato e con quale periodo di transizione.

Per le entità finanziarie sotto DORA, le principali disposizioni contrattuali con i fornitori di servizi TIC sono fissate dall'art. 30 del Regolamento (UE) 2022/2554: il contratto va costruito su quelle.

In sintesi

La sicurezza gestita conviene quando serve un presidio continuo che il team interno non può garantire, in particolare di notte e nei festivi. Funziona se sai quali servizi compri, se il contratto li descrive in modo misurabile e se in azienda resta chi decide. Il fornitore lavora sui tuoi sistemi; la responsabilità e la notifica restano tue.

Se stai valutando di affidare fuori monitoraggio e risposta, la pagina sul nostro SOC gestito e MDR spiega come lavoriamo e da dove partiamo: un assessment del tuo ambiente.