C’è una domanda scomoda che d’estate molte PMI evitano di porsi: se un attacco parte alle tre di notte del 10 agosto, chi se ne accorge? La verità è che nella maggior parte delle piccole e medie imprese la risposta è “nessuno, fino al mattino dopo”. 

O peggio, fino al rientro dalle ferie. La sicurezza informatica basata solo su strumenti automatici e su un controllo saltuario lascia scoperte proprio le ore in cui gli attacchi si concentrano. È qui che entra in gioco un modello diverso: la sicurezza gestita, o servizi IT con sorveglianza continua.

In questo articolo vediamo che cos’è un servizio MDR (Managed Detection and Response), perché un presidio 24 ore su 24 non è più un lusso da grandi aziende e come una soluzione come Sophos MDR possa essere sostenibile anche per una realtà del Ticino, della Valposchiavo o dell’Engadina.

Il limite degli strumenti che «si difendono da soli»

Firewall, antivirus di nuova generazione e protezione degli endpoint sono strumenti indispensabili, e nessuna azienda dovrebbe farne a meno. Ma condividono un limite: reagiscono a ciò che riconoscono. Di fronte a un attacco costruito su misura, che si muove lentamente e imita comportamenti legittimi, questi sistemi generano segnali — un accesso anomalo, un processo insolito, un trasferimento di dati sospetto — che però qualcuno deve leggere e interpretare.

Il problema è proprio questo ‘qualcuno’. In una PMI, l’analisi dei segnali di sicurezza compete spesso a una persona che ha già mille altre responsabilità, e che di notte o in ferie semplicemente non c’è. Gli avvisi si accumulano in una casella che nessuno apre, e l’attacco procede indisturbato nella finestra di tempo che gli serve.

A complicare le cose c’è il volume. Anche un’infrastruttura piccola genera ogni giorno migliaia di eventi, la quasi totalità dei quali del tutto innocui. Trovare, in mezzo a questo rumore, i pochi segnali che indicano un attacco reale richiede strumenti di correlazione e, soprattutto, occhi esperti che sappiano cosa cercare. È un lavoro specialistico, molto diverso dalla normale gestione dei sistemi.

Non si tratta di comprare l’ennesimo strumento. Si tratta di avere qualcuno che guardi gli strumenti che già ci sono, tutto il giorno, tutti i giorni.

Che cos’è un servizio MDR

MDR sta per Managed Detection and Response: rilevamento e risposta gestiti. In pratica è un servizio che affida la sorveglianza della rete a un centro operativo di sicurezza esterno — un SOC, Security Operations Center — composto da analisti specializzati che lavorano su turni, 24 ore su 24, 365 giorni all’anno.

Le tre parole del nome descrivono bene cosa fa:

• Detection (rilevamento): gli analisti monitorano in continuo i segnali provenienti da endpoint, server, rete e servizi cloud, distinguendo i falsi allarmi dalle minacce reali.
• Response (risposta): di fronte a una minaccia confermata non si limitano a segnalarla, ma intervengono — isolano un dispositivo compromesso, bloccano un account, fermano un processo — spesso prima che l’azienda si accorga di nulla.
• Managed (gestito): tutto questo avviene come servizio, senza che la PMI debba costruire e mantenere internamente un team di sicurezza.

A questo si aggiunge il threat hunting: la ricerca proattiva di minacce che non hanno ancora fatto scattare alcun allarme. Invece di aspettare il segnale, gli analisti vanno a cercare le tracce di un’intrusione silenziosa, quelle che gli strumenti automatici non colgono.

Vale la pena chiarire una sigla che spesso si confonde con altre. Un MDR non è semplicemente un software: strumenti come l’EDR (Endpoint Detection and Response) o i sistemi di raccolta dei log restano tecnologie che qualcuno deve configurare e leggere. L’MDR aggiunge proprio quel ‘qualcuno’, il servizio di analisti che usa quegli strumenti per conto dell’azienda. È la differenza tra possedere un impianto d’allarme e avere anche l’istituto di vigilanza che lo presidia.

Perché il presidio continuo conta d’estate (e non solo)

Il vantaggio di un servizio MDR si vede tutto l’anno, ma d’estate diventa evidente. Mentre l’ufficio è chiuso e il personale è in vacanza, il SOC continua a lavorare come in un qualsiasi martedì di novembre. Se qualcosa accade il 15 agosto, viene rilevato e gestito il 15 agosto, non al rientro.

C’è poi un aspetto che vale la pena sottolineare, molte PMI hanno strutture snelle, con uno o due riferimenti IT e una copertura interna che d’estate si riduce a zero. Per queste realtà un modello a servizio non è un ripiego, è spesso la soluzione più razionale: garantisce una capacità di risposta che sarebbe impensabile costruire internamente, a un costo prevedibile e proporzionato.

La sicurezza gestita si integra con il resto dell’infrastruttura, dalla rete aziendale ai server e agli ambienti cloud, e con le misure di prevenzione già in atto. Non sostituisce firewall e backup: li completa, aggiungendo l’elemento umano che manca quando l’ufficio è vuoto.

Sophos MDR: la sicurezza gestita alla portata delle PMI

In dpstudio siamo Global Partner Silver di Sophos, e proponiamo Sophos MDR alle aziende che vogliono un presidio continuo senza dover creare una struttura interna. Il servizio si appoggia su un SOC che sorveglia gli ambienti dei clienti in tutto il mondo e che, di fronte a una minaccia, agisce secondo modalità concordate con l’azienda: dalla semplice notifica fino all’intervento diretto di contenimento.

Per una PMI questo significa poter contare su competenze e su una capacità di analisi che il mercato del lavoro rende difficili da assumere e trattenere, senza gli oneri di un team dedicato. Il nostro ruolo, come partner locale, è fare da ponte: configurare il servizio sulla realtà specifica dell’azienda, fare da riferimento diretto e assicurare che la protezione IT sia coerente con l’intera infrastruttura, non un elemento isolato.

Un vantaggio pratico del modello gestito è la rapidità di attivazione. Non richiede di assumere, formare e organizzare un team: una volta collegati gli strumenti già presenti in azienda, la sorveglianza può partire in tempi brevi. Per una PMI che si accorge di essere scoperta proprio a ridosso dell’estate, è una differenza che conta.

MDR, SOC interno o niente: cosa scelgono le PMI

Di fronte al tema della sorveglianza continua, un’azienda ha di fatto tre strade. La prima è non fare nulla di strutturato, affidandosi agli strumenti automatici e a controlli saltuari: è la situazione più diffusa e anche la più esposta. La seconda è costruire internamente un centro di sicurezza, con personale dedicato su turni: una scelta sensata per una grande organizzazione, ma fuori scala per la maggior parte delle PMI, sia per i costi sia per la difficoltà a reperire e trattenere gli specialisti.

La terza via è il servizio gestito, che colma questo divario. Dà accesso a competenze e a un presidio 24 ore su 24 senza il costo fisso di un team interno, con una spesa ricorrente prevedibile. Per una PMI della Svizzera italiana è quasi sempre l’equilibrio migliore tra livello di protezione e sostenibilità economica e organizzativa.

Va detto con onestà: nessun servizio azzera del tutto il rischio, ed è bene diffidare di chi promette «sicurezza al 100%». L’obiettivo realistico è ridurre drasticamente la finestra in cui un attacco può agire indisturbato e avere qualcuno pronto a reagire quando serve.

Come capire se serve alla tua azienda

Un servizio MDR non è per tutti allo stesso modo. Alcune domande aiutano a capire se è il momento di valutarlo:

• Chi controlla i segnali di sicurezza fuori dagli orari d’ufficio, la notte e nei fine settimana?
• Se un attacco partisse durante le ferie, quanto tempo passerebbe prima che qualcuno se ne accorga?
• L’azienda gestisce dati sensibili o è soggetta a obblighi (per esempio ai sensi della nLPD) che rendono un incidente particolarmente costoso?
• Le competenze di sicurezza dipendono da una sola persona, che se manca lascia scoperto tutto?

Se più di una risposta lascia a disagio, vale la pena approfondire: la protezione dovrebbe essere all’altezza del valore di ciò che custodisce.

In sintesi

Un servizio MDR aggiunge un controllo specifico quando in azienda non c’è nessuno: un SOC che rileva, analizza e risponde 24 ore su 24, anche a Ferragosto. Per molte PMI è il modo più sostenibile di avere una sicurezza all’altezza delle minacce di oggi.

In dpstudio affianchiamo le aziende nella scelta e nella gestione delle soluzioni di sicurezza, con Sophos MDR e con un supporto locale che conosce il territorio.