Per vent’anni la sicurezza informatica di una piccola azienda è stata riassunta in una parola: antivirus. Si installava, si aggiornava, e la questione era considerata chiusa. Oggi quella parola non basta più — non perché l’antivirus sia diventato inutile, ma perché gli attacchi sono cambiati di natura: non si limitano a diffondere programmi malevoli, entrano con credenziali rubate, si muovono con strumenti legittimi e scelgono con cura i momenti in cui nessuno guarda.

In questo articolo spieghiamo, senza tecnicismi superflui, che cosa significa MDR — Managed Detection & Response — in cosa differisce da antivirus ed EDR, e perché un servizio di sorveglianza gestita 24/7 è diventato una scelta ragionevole anche per una PMI del Ticino o dei Grigioni, non solo per la grande impresa.

Le tre sigle, messe in fila

L’antivirus tradizionale lavora per riconoscimento: confronta i file con un elenco di minacce note e blocca ciò che corrisponde. Funziona bene contro il già visto; fatica contro il nuovo e contro chi non usa affatto file malevoli.

La tecnica che meglio racconta il cambiamento ha un nome eloquente: vivere della terra. Chi attacca usa sempre più spesso gli strumenti già presenti nei sistemi — utilità di amministrazione, accessi remoti legittimi — proprio perché nessun elenco di minacce li può contenere: sono strumenti di lavoro. Riconoscerli richiede di guardare il comportamento, non il nome del file.

L’EDR (Endpoint Detection & Response) fa un passo avanti: osserva il comportamento di computer e server, segnala le attività anomale — un programma che cifra centinaia di file, un accesso amministrativo insolito — e permette di intervenire. È uno strumento potente, con un dettaglio spesso taciuto: qualcuno deve leggere quegli avvisi, capirli e agire. Uno strumento che segnala nel vuoto protegge poco.

L’MDR (Managed Detection & Response) risolve esattamente questo punto: alla tecnologia aggiunge le persone. Un centro operativo di sicurezza — un SOC — sorveglia i segnali della tua infrastruttura ventiquattr’ore su ventiquattro, distingue i falsi allarmi dalle minacce vere e, quando serve, interviene: isola il dispositivo compromesso, blocca l’account, ferma l’attacco mentre accade. Non un software in più, ma un servizio: rilevamento e risposta, gestiti.

La famiglia degli strumenti si è nel frattempo allargata: si parla di XDR quando l’osservazione si estende oltre le postazioni — alla rete, alla posta, alle identità, al cloud — correlando segnali che, letti da soli, sembrerebbero innocui. È la direzione giusta; e rende ancora più evidente il punto: più segnali si raccolgono, più serve qualcuno che li interpreti.

Perché l’orario conta più di quanto sembri

C’è un dato che Sophos ripete da anni nei suoi rapporti e che l’esperienza conferma: la grande maggioranza degli attacchi ransomware scatta fuori dall’orario d’ufficio — di notte, nei fine settimana, sotto le feste. Non è un caso: chi attacca sceglie i momenti in cui gli avvisi restano non letti fino al mattino dopo. Per un’azienda con orari d’ufficio, questo significa una finestra scoperta di oltre cento ore alla settimana.

C’è anche una questione di compiti: rispondere a un incidente alle tre di notte non è il lavoro del bravo informatico interno, così come suturare una ferita non è il lavoro del medico di famiglia. Analisti di sicurezza, cacciatori di minacce, specialisti di risposta sono professioni a sé, che si affinano vedendo centinaia di casi — un’esperienza che nessuna singola PMI può accumulare in casa, e che il servizio condiviso mette a disposizione di tutte.

Coprirla internamente richiederebbe un team di specialisti su turni: una spesa fuori scala per qualunque PMI, ammesso di trovare i profili, che sul mercato del lavoro svizzero restano rari. Il servizio gestito ribalta l’equazione: il SOC è condiviso tra molte aziende, e ciascuna paga una frazione di ciò che costerebbe costruirlo da sola. È lo stesso principio per cui nessuna PMI gestisce in proprio una centrale d’allarme antincendio.

Che cosa vede un SOC in una notte qualunque

Per capire il valore del servizio aiuta guardare il lavoro da vicino. In una notte qualunque, gli analisti incontrano scene ricorrenti: un accesso riuscito da un Paese in cui l’azienda non ha nessuno, preceduto da decine di tentativi falliti. Una raffica di richieste di conferma MFA alle due di notte, sperando che l’utente assonnato ne approvi una pur di dormire. Un account di servizio che, per la prima volta in tre anni, si mette a leggere cartelle che non lo riguardano.

Nessuno di questi episodi, da solo, fermerebbe un’azienda. Ma sono i primi metri di quasi tutti gli incidenti seri: la differenza tra accorgersene alle due di notte e accorgersene al lunedì è la differenza tra un account bloccato e un ripristino da backup. Il mestiere del SOC è esattamente presidiare quei primi metri.

C’è un numero che riassume la posta in gioco: il tempo di permanenza — quanto un intruso resta nei sistemi prima di essere scoperto. Nei casi peggiori si misura in settimane: settimane passate a studiare l’azienda, individuare i backup, scegliere il momento. Ogni giorno tolto a quel tempo riduce il danno possibile; l’MDR esiste per portarlo da settimane a minuti.

C’è anche il lavoro che non aspetta gli allarmi: il threat hunting, la ricerca proattiva delle minacce silenziose — quelle costruite apposta per non far scattare nulla. È la parte del mestiere che nessun automatismo copre, e una delle ragioni per cui l’MDR è un servizio e non un prodotto.

Sophos MDR: come lavora, in concreto

In dpstudio proponiamo Sophos MDR, il servizio del produttore di cui siamo Global Partner Silver, adottato da decine di migliaia di organizzazioni nel mondo. In concreto, il servizio raccoglie i segnali da endpoint, server, rete, identità e posta; una piattaforma di analisi li correla e li filtra; gli analisti del SOC verificano ciò che merita attenzione e rispondono per conto tuo. Quando qualcosa di serio accade alle tre di notte, al mattino trovi il resoconto di ciò che è successo — e di ciò che è già stato fatto.

Due caratteristiche lo rendono adatto alle realtà come le nostre. La prima è che si integra con l’infrastruttura esistente: non impone di sostituire ciò che funziona, dai firewall alla protezione dei server e delle postazioni. La seconda è il ruolo del partner locale: il SOC sorveglia e risponde, noi conosciamo la tua azienda, la tua rete e le tue priorità, e traduciamo il servizio nella pratica quotidiana — configurazione iniziale, regole su misura, un interlocutore che parla la tua lingua quando serve capire un rapporto.

I costi, detti con onestà

Il servizio produce anche un sottoprodotto prezioso per chi guida l’azienda: la visibilità. Rapporti periodici in linguaggio comprensibile — che cosa è stato rilevato, che cosa è stato fatto, dove conviene rinforzare — trasformano la sicurezza da atto di fede a voce di gestione, con la stessa dignità del bilancio.

Parliamo di costi, perché è la domanda vera. Un servizio MDR per una PMI si paga a canone, in proporzione ai dispositivi protetti: una voce di budget prevedibile, dell’ordine di grandezza di altre assicurazioni aziendali. Il confronto corretto non è con il costo dell’antivirus, ma con le alternative reali: un presidio interno su turni, fuori portata; oppure il rischio nudo, il cui prezzo si conosce solo a incidente avvenuto — tra fermo operativo, ripristini e clienti da rassicurare.

Va detto con la stessa onestà che cosa il canone non compra: le fondamenta. Aggiornamenti puntuali, backup provati nel ripristino, MFA, ordine negli accessi restano compiti dell’azienda e del suo partner IT — l’MDR sorveglia la casa, non ne sostituisce i muri. Chi lo propone come rimedio universale sta vendendo, non consigliando.

Un segnale di mercato aiuta a tarare il giudizio: le assicurazioni cyber, che quei sinistri li pagano, chiedono sempre più spesso proprio questo — sorveglianza continua, MFA, risposta documentata — come condizione per assicurare o per contenere il premio. Quando chi calcola il rischio di mestiere chiede un presidio, la proporzione è quella.

Il quadro svizzero: nLPD e NIS2

C’è infine una ragione normativa. La nLPD chiede alle aziende svizzere misure adeguate a proteggere i dati personali e la capacità di accorgersi delle violazioni e gestirle: una sorveglianza continua con risposta documentata è, molto concretamente, quella capacità. E chi lavora con clienti o gruppi nell’Unione europea incontra sempre più spesso i requisiti della direttiva NIS2, che i committenti ribaltano sui fornitori: poter dichiarare un presidio di rilevamento e risposta 24/7 sta diventando un requisito commerciale, prima ancora che tecnico.

Vale la pena dirlo con chiarezza, senza drammatizzare: l’MDR non rende invulnerabili — nella sicurezza nessuno può promettere l’assoluto — ma sposta in modo sostanziale le probabilità: riduce il tempo tra intrusione e reazione, che è la variabile che decide se un incidente resta un episodio o diventa un fermo operativo.

La direzione del quadro svizzero, del resto, è leggibile: dal 2025 le infrastrutture critiche hanno l’obbligo di annunciare i ciberattacchi alle autorità federali entro tempi stretti. L’obbligo non tocca la maggior parte delle PMI, ma indica dove si sta spostando l’asticella delle attese — e chi si organizza prima lo fa con calma, non sotto pressione.

Il discorso vale con particolare forza per chi tratta dati delicati per mestiere: studi medici e fiduciari, amministrazioni comunali, aziende con proprietà intellettuale da difendere. Ma l’esperienza insegna a diffidare del ragionamento opposto — «siamo troppo piccoli per interessare a qualcuno». Gli attacchi moderni sono in gran parte automatizzati: non scelgono i bersagli, li trovano. E l’azienda piccola, con difese leggere, è spesso il bersaglio più comodo, o il gradino per salire verso i suoi clienti più grandi.

Come capire se è il momento

Tre domande bastano per orientarsi. Chi guarda i nostri sistemi stanotte? Se la risposta è «nessuno», la finestra esiste. Quanto ci costerebbe un fermo di tre giorni? Se la cifra fa impressione, la proporzione tra rischio e presidio va rivista. E gli strumenti che già paghiamo: qualcuno ne legge gli avvisi? Se no, manca il pezzo che l’MDR aggiunge.

Per molte aziende del territorio, l’MDR è semplicemente il capitolo nuovo di un contratto che esiste già: come si è delegata la manutenzione dei server e della rete, si delega la sorveglianza — con la differenza che questa non dorme mai. È un’evoluzione, non una rivoluzione.

La valutazione, dal canto nostro, è un esercizio concreto: guardiamo insieme l’infrastruttura, ciò che è già coperto e ciò che resta scoperto, e stimiamo costi e alternative — compresa quella, legittima, di non fare nulla sapendo che cosa si accetta. Il nostro team accompagna in questo tipo di scelte aziende di ogni dimensione, con la stessa regola di sempre: proporzione, non paura.

Quanto ai tempi: l’adozione non è un cantiere. La distribuzione degli agenti, il collegamento delle fonti e la taratura iniziale si misurano in settimane; dopo il primo mese il servizio è a regime e il rumore dei falsi allarmi cala visibilmente. È un altro vantaggio del modello gestito: la curva di apprendimento l’ha già percorsa qualcun altro.

In sintesi

Sophos MDR porta anche nelle PMI ciò che finora era privilegio delle grandi organizzazioni: una sorveglianza umana e tecnologica continua, che rileva e risponde mentre l’attacco accade. Con il quadro normativo che alza le attese — nLPD in Svizzera, NIS2 per chi lavora con l’UE — la domanda giusta non è più «serve davvero?», ma «che cosa copriamo oggi, e che cosa vogliamo coprire da domani?».