SOC interno vs gestito: quale conviene e come scegliere

La risposta breve: non esiste un vincitore assoluto tra SOC interno e SOC gestito. Il primo dà controllo diretto e conoscenza profonda del tuo contesto, ma ha un costo e una complessità organizzativa che pochi mid-market riescono a reggere; il secondo porta un team già formato e copertura continua dal primo giorno, in cambio di un rapporto di fornitura da impostare bene. La scelta giusta dipende da dimensione, maturità, budget e requisiti di conformità, non da una preferenza di principio.

Se ti serve prima inquadrare di cosa parliamo, un SOC (Security Operations Center) è la combinazione di persone, processi e tecnologie che monitora, rileva e risponde agli incidenti, idealmente 24 ore su 24, 7 giorni su 7. La domanda di questa pagina è un'altra: conviene costruirlo in casa o affidarlo a un partner?

SOC interno: cosa offre e cosa costa

Il SOC interno è la scelta del controllo diretto. Il team è tuo, conosce i sistemi, le persone e le priorità del business, e può calibrare il presidio sul contesto senza passaggi intermedi. Per organizzazioni grandi, mature e con requisiti particolari, è spesso la strada naturale.

Il nodo è la matematica della copertura continua. Presidiare un SOC 24 ore su 24, 7 giorni su 7 non significa assumere una persona: significa coprire turni notturni, weekend e festivi senza buchi. Per una rotazione sostenibile servono all'incirca 6 analisti, il che, come dato di mercato, si traduce in 400.000-600.000 euro l'anno di solo personale, a cui vanno aggiunti gli strumenti (a partire dal SIEM), la formazione continua e i costi di gestione. Non è un investimento alla portata di ogni azienda mid-market.

Ci sono poi due ostacoli che il budget da solo non risolve:

• Reperire e trattenere i talenti. Gli analisti di sicurezza sono figure rare e contese: formarle costa, e il rischio di perderle dopo l'investimento è concreto.
• I tempi di avvio. Mettere in piedi un SOC interno da zero, tra selezione, strumenti, processi e messa a regime, richiede molti mesi, spesso più di un anno, prima di essere davvero operativo.

C'è infine un costo che non compare in nessun preventivo: il tempo in cui il presidio non è ancora a regime. Mentre selezioni, formi e rodi il team, il rischio resta scoperto. Per questo il confronto onesto non è tra due fornitori, ma tra costruire una capacità da zero e acquistarla già pronta: sono due profili di spesa e di rischio diversi, e la dimensione dell'azienda pesa più di ogni altra considerazione nello stabilire quale dei due sia davvero sostenibile.

SOC gestito: cosa offre e cosa valutare

Il SOC gestito ribalta la logica: invece di costruire la capacità, la acquisti come servizio. Rientrano qui i modelli MSSP, MDR e SOC as a Service, con sfumature diverse ma un tratto comune, il presidio non è un tuo organico ma un team esterno dedicato. I vantaggi principali per il mid-market:

• Canone prevedibile: un costo ricorrente al posto di un investimento fisso in personale e strumenti.
• Team già formato: analisti e competenze disponibili senza il ciclo di selezione e formazione.
• Copertura 24/7 dal primo giorno: i turni notturni e i weekend sono un problema del fornitore, non tuo.
• Tecnologia inclusa: la piattaforma di monitoraggio fa parte del servizio, senza un progetto di adozione separato.

Non è però una delega a scatola chiusa. Tre aspetti vanno verificati prima di firmare:

• Gli SLA di detection e response. In quanto tempo il servizio si accorge di un incidente e in quanto reagisce? È il vero metro di paragone, molto più del canone.
• Il rischio di lock-in. Se la piattaforma è proprietaria e i dati non sono facilmente portabili, cambiare fornitore diventa costoso. Una piattaforma aperta tiene i dati tuoi e le porte aperte.
• L'integrazione col contesto. Un team esterno parte senza la conoscenza del tuo business: conta quanto il fornitore investe per capirlo e quanto sei disposto a condividere.

Per capire quando ha senso il modello gestito nella sua forma orientata alla detection e response, è utile cos'è l'MDR e quando serve. Sui fattori che muovono il canone, invece, c'è quanto costa un SOC gestito.

Il modello ibrido: non è per forza aut aut

Tra le due strade c'è una terza via, spesso la più realistica per il mid-market: il modello ibrido. Il team interno presidia negli orari di lavoro, quando la conoscenza del contesto conta di più, e un partner copre le fasce scoperte, cioè notti, weekend e picchi. Così si tiene il controllo e la vicinanza al business dove serve, senza dover finanziare da soli la parte più cara della copertura continua.

È un modello che funziona bene anche come tappa intermedia: permette di partire subito con una copertura 24/7 credibile e, se e quando ha senso, di internalizzare progressivamente altre attività. Molte aziende lo adottano proprio come ponte, per colmare in fretta il gap sulla copertura continua mentre fanno crescere le competenze interne senza fretta e senza scoperture.

Come scegliere: le domande che contano

Ridotta all'osso, la decisione ruota attorno a quattro variabili:

1. Dimensione. Volume di sistemi, utenti e log da presidiare. Più il perimetro è ampio e articolato, più un organico interno può giustificarsi; per il mid-market tipico, i numeri raramente reggono il fai-da-te.
2. Maturità. Hai già processi, strumenti e competenze di security operations, o partiresti da zero? La maturità attuale sposta di molto i tempi e i costi del percorso interno.
3. Budget. Non solo quanto puoi spendere, ma come: un costo fisso in personale oppure un canone ricorrente. È una scelta di struttura, non solo di importo.
4. Conformità. Requisiti come quelli di NIS2 e DORA chiedono capacità di detection e response continue e tempi di reazione stringenti. La copertura 24 ore su 24, interna o gestita, diventa un requisito e non un optional.

Una regola pratica che semplifica la scelta: le attività una tantum, come un assessment o un progetto, conviene comprarle a progetto, mentre le capacità continue come la detection e response 24/7 hanno senso come servizio, perché costruirle e mantenerle in casa costa multipli e richiede anni. Chi parte dal fai-da-te sulla copertura continua, nel mid-market, di solito scopre i conti veri solo dopo.

Segnali pratici per decidere

Le quattro variabili si traducono in segnali concreti. Alcuni spingono verso il presidio interno:

• sei una realtà grande e strutturata, con un perimetro ampio e un volume di eventi che tiene occupato un team a tempo pieno;
• hai già competenze di security operations consolidate e riesci a trattenerle nel tempo;
• hai requisiti di riservatezza o di settore che rendono difficile affidare il presidio all'esterno;
• puoi sostenere un costo fisso importante e i tempi lunghi di messa a regime.

Altri segnali, molto più comuni nel mid-market, spingono verso il gestito o l'ibrido:

• il tuo team IT è piccolo e già impegnato sulle operazioni quotidiane, senza spazio per turni H24;
• hai bisogno di una copertura continua in tempi rapidi, non tra un anno;
• fatichi a reperire e trattenere analisti di sicurezza;
• una scadenza di conformità come NIS2 o DORA ti chiede detection e response continue che oggi non hai;
• preferisci un canone prevedibile a un investimento fisso difficile da dimensionare.

Nella pratica, la maggior parte delle aziende mid-market riconosce più segnali nella seconda lista che nella prima. Non è un giudizio di valore sul team interno, è una questione di scala: la copertura continua richiede una massa critica di persone e competenze che, sotto una certa dimensione, non si raggiunge in modo sostenibile.

Come aiuta AmagisTech

AmagisTech costruisce SOC gestiti per il mid-market italiano su piattaforma aperta, il che tiene i dati tuoi e riduce il rischio di lock-in, con un canone costruito sul perimetro reale invece che su un listino. Il posizionamento è quello dell'Agentic SOC, cioè l'uso di AI e agenti per accelerare triage e risposta, così che la copertura continua non sia solo una questione di ore-uomo. Che si parta da un modello pienamente gestito o da un ibrido, il criterio resta lo stesso: portare la capacità di accorgersi e reagire al livello che il tuo rischio e la tua conformità richiedono.

Se vuoi vedere come lavoriamo, parti dai servizi di observability e SecOps. E se stai ancora inquadrando i costi del modello gestito, quanto costa un SOC gestito mette in fila le voci che compongono il canone.

In sintesi: il SOC interno dà controllo, ma chiede circa 6 analisti e 400-600K euro l'anno di solo personale per coprire le 24 ore; il gestito porta team e copertura dal primo giorno, con SLA e lock-in da verificare. Per gran parte del mid-market la risposta più sensata è il gestito o l'ibrido, guidata da dimensione, maturità, budget e conformità, non da una preferenza di principio.