Salta al contenuto
Guida acquisto • Software · Sicurezza

MDR gestito o SOC interno: chi presidia la sicurezza fuori orario

Decision matrix su 11 criteri per capire se conviene affidare il presidio 24x7 a un servizio MDR gestito o costruirlo internamente sullo stack Microsoft.

Pubblicato il

Arctic Wolf

MDR gestito 24x7

Il presidio è un servizio: analisti esterni che guardano, qualificano e intervengono

— vs —

01 — Il contesto

Perché confrontarli

Quasi tutti i confronti di sicurezza mettono a paragone due prodotti. Questo mette a paragone due modelli di presidio, perché è lì che si decide davvero: gli strumenti di rilevamento di livello enterprise sono ormai accessibili anche a una PMI — Defender XDR è incluso in Microsoft 365 Business Premium a 22 €/utente/mese — mentre la risorsa scarsa è la persona che legge gli allarmi. Un EDR che segnala e nessuno che guarda produce esattamente lo stesso esito di un EDR assente, con la differenza che la fattura è già stata pagata.

La domanda operativa per una PMI italiana da 50 a 300 dipendenti quindi non è quale motore rilevi meglio, ma chi risponde alle due di notte di un sabato. Da un lato un servizio di Managed Detection and Response, che porta il presidio dall'esterno con un canone per utente. Dall'altro la costruzione interna: le licenze spesso già ci sono, ma servono competenze, turni e manutenzione continua del tuning.

02 — Confronto puntuale

Criteri di confronto

Ogni criterio confronta i due prodotti su un aspetto rilevante. I valori sono basati su informazioni pubblicamente disponibili sui siti dei vendor coinvolti.

Presidio operativo

  • Copertura fuori orario

    Arctic Wolf

    24x7 dichiarato dal fornitore. Notti, fine settimana e agosto sono coperti da un team che non appartiene all'organico aziendale e non va in ferie insieme.

    Microsoft (Defender XDR + Sentinel)

    Dipende dai turni che l'azienda riesce a coprire. Un presidio continuo non si regge su una persona sola: serve una rotazione, altrimenti le notti restano scoperte.

  • Chi qualifica un incidente

    Arctic Wolf

    Il team del fornitore analizza, distingue il falso positivo e coordina la risposta. In Arctic Wolf il riferimento nominale è il Concierge Security Team assegnato al singolo cliente.

    Microsoft (Defender XDR + Sentinel)

    L'IT interno. Funziona bene dove esiste competenza security dedicata; diventa fragile quando la stessa persona gestisce anche centralino, stampanti e backup.

Competenze e personale

  • Profili da avere in casa

    Arctic Wolf

    Nessun analista da assumere. Serve un referente interno che riceva le segnalazioni e autorizzi le azioni: una responsabilità, non un mestiere a tempo pieno.

    Microsoft (Defender XDR + Sentinel)

    Serve competenza SOC reale: triage degli alert, threat hunting, KQL su Defender XDR e Sentinel. È un profilo che il mercato italiano paga caro e cede con difficoltà.

  • Dipendenza da singola persona

    Arctic Wolf

    Bassa: la continuità è contrattuale prima che personale. Le dimissioni del referente interno non spengono il presidio.

    Microsoft (Defender XDR + Sentinel)

    Alta. Se il presidio poggia su una persona, il suo preavviso diventa il preavviso della vostra sicurezza operativa.

Perimetro coperto

  • Telemetria non-Microsoft

    Arctic Wolf

    Architettura open XDR: la piattaforma ingerisce anche segnali di firewall, rete e apparati di altri vendor senza cambiare fornitore del servizio.

    Microsoft (Defender XDR + Sentinel)

    Possibile via Microsoft Sentinel, che ha connettori nativi per firewall, Okta, CrowdStrike e altro. Configurazione, tuning e costo di ingestion restano però in carico all'azienda.

  • Aree oltre il rilevamento

    Arctic Wolf

    Un solo fornitore copre anche exposure management, formazione sulla consapevolezza e retainer di incident response. Meno contratti da governare.

    Microsoft (Defender XDR + Sentinel)

    Copertura molto forte sui workload Microsoft — endpoint, email, identità, cloud app — con Defender XDR già incluso in Business Premium. Fuori da quel perimetro serve integrare altro.

Operatività

  • Tempo per andare a regime

    Arctic Wolf

    Onboarding guidato dal fornitore: installazione dei sensori, connettori e baseline fanno parte del servizio, non del progetto interno.

    Microsoft (Defender XDR + Sentinel)

    1-2 settimane per 50 endpoint nel percorso tipico SynSphere: discovery, baseline policy, pilot, rollout, tuning degli alert e runbook di incident response.

  • Manutenzione del tuning

    Arctic Wolf

    In carico al fornitore. Ridurre i falsi positivi è un suo obiettivo di servizio, non un lavoro che si somma alla giornata di qualcun altro.

    Microsoft (Defender XDR + Sentinel)

    In carico all'azienda. È la voce sistematicamente sottostimata: un SIEM non tarato produce rumore, e il rumore che nessuno legge equivale a non averlo.

Costi

  • Struttura del costo

    Arctic Wolf

    Canone per utente/mese, prevedibile, senza consumo a volume e senza costo del personale. Nessun investimento iniziale in competenze.

    Microsoft (Defender XDR + Sentinel)

    Licenze + consumo + persone. Le licenze spesso sono già pagate (Defender XDR in Business Premium, 22 €/utente/mese); il costo dominante è il personale.

  • Costo indicativo per PMI 100 utenti

    Arctic Wolf

    Fascia indicativa ~15-25 €/utente/mese all-in per il presidio erogato da partner, licenze comprese. Una voce sola in bilancio.

    Microsoft (Defender XDR + Sentinel)

    Ingestion Sentinel su 30-60 GB/mese: ~85-170 €/mese. Cifra modesta, ma a cui va sommato il costo delle persone, che è l'ordine di grandezza che decide.

Compliance NIS2

  • Evidenze per il regolatore

    Arctic Wolf

    Report periodici e tracciamento degli incidenti sono parte del servizio: le evidenze esistono senza doverle costruire a posteriori.

    Microsoft (Defender XDR + Sentinel)

    Le evidenze esistono se qualcuno le produce. Sentinel le rende possibili, ma la responsabilità documentale resta interamente interna.

03 — Quando scegliere uno o l'altro

Scenari decisionali

Non esiste vincitore assoluto. La scelta giusta dipende dal vostro contesto: stack esistente, processi, dimensione, budget.

MDR gestito 24x7

Scegli il MDR gestito se non hai nessuno che guarda gli alert di notte

PMI 50-200 dipendenti, IT di una o due persone, Defender già attivo ma console guardata solo in orario d'ufficio. Qui il gestito non aggiunge rilevamento: aggiunge la sola cosa che manca, qualcuno che risponde. Pattern più frequente nelle PMI italiane.

Scegli il MDR gestito se sei in scope NIS2 con un organico IT sottile

Azienda in perimetro NIS2 che deve dimostrare gestione degli incidenti e tempi di reazione, senza poter assumere un team security. Il servizio porta insieme il presidio e le evidenze documentali, che sono due obblighi distinti spesso confusi in uno.

SOC interno su stack Microsoft

Costruisci internamente se hai già competenza security dedicata

Esiste almeno una persona dedicata alla sicurezza, con skill KQL e tempo effettivamente allocato, e lo stack è interamente Microsoft. In questo scenario Defender XDR e Sentinel coprono molto, il costo incrementale è basso e il controllo resta pieno.

Costruisci internamente se il vincolo è la sovranità del dato

Requisiti contrattuali o di settore che impongono di sapere esattamente dove risiedono i dati e chi vi accede. Con lo stack Microsoft esiste l'EU Data Boundary; con un fornitore MDR la regione dei dati e la provenienza degli analisti vanno verificate caso per caso.

04 — La nostra raccomandazione

Il consiglio SynSphere

Per la maggioranza delle PMI italiane sotto i 300 dipendenti la risposta è il presidio gestito, per tre ragioni: (1) la scarsità non è tecnologica ma umana — il rilevamento è già comprato, quello che manca è chi lo guarda; (2) il costo è prevedibile e sostituisce una posizione che non si riesce ad assumere, non si somma a essa; (3) il turno di notte non si improvvisa e un presidio a intermittenza vale poco più di nessun presidio.

La costruzione interna ha un suo posto in tre scenari precisi: quando esiste già una persona dedicata alla sicurezza con tempo reale allocato; quando lo stack è interamente Microsoft e Defender XDR copre di fatto il perimetro; quando vincoli di sovranità impongono di controllare direttamente dati e accessi.

Nota operativa: prima di scegliere il modello vale la pena rispondere a una domanda più semplice — serve davvero un SIEM? Per molte PMI su Business Premium la risposta è no, e il confronto Sentinel vs Splunk lo argomenta. Sul livello sottostante, la scelta dell'EDR è trattata in Defender vs CrowdStrike. Il presidio gestito SynSphere è descritto in assistenza cybersecurity gestita.

05 — Domande frequenti

FAQ

  • Il MDR gestito sostituisce il mio antivirus o il mio EDR?

    No, ci si appoggia sopra. Il MDR è il presidio umano e di processo che consuma la telemetria prodotta dagli strumenti: l'EDR resta necessario. In molti casi l'EDR è già pagato dentro Microsoft 365 Business Premium, e il servizio gestito si limita a dargli qualcuno che lo guardi.

  • Se ho già Microsoft 365 Business Premium sto buttando via qualcosa?

    No. Defender XDR incluso in Business Premium resta la fonte di segnale, e un buon servizio MDR la usa invece di sostituirla. Il rischio opposto è più comune: pagare Business Premium e non guardare mai la console, che è lo spreco più diffuso nelle PMI italiane.

  • Quante persone servirebbero per un presidio interno 24x7?

    Più di una, e questo è il punto strutturale. Una copertura continua richiede una rotazione su turni, con sostituzioni per ferie e malattia. È la ragione per cui quasi nessuna azienda sotto i 300 dipendenti costruisce un presidio notturno interno: non è una questione di licenze ma di organico.

  • Con un servizio esterno perdo il controllo delle decisioni?

    Dipende dal contratto, e va negoziato prima. Le azioni invasive — isolare una macchina, bloccare un account — possono richiedere autorizzazione preventiva oppure essere delegate. Va deciso in fase di attivazione e messo per iscritto, non scoperto durante il primo incidente reale.

  • Il presidio gestito basta per essere conformi a NIS2?

    Aiuta ma non basta da solo. NIS2 chiede misure tecniche e organizzative, gestione del rischio e notifica degli incidenti: il presidio copre rilevamento, risposta e tracciamento, non la governance né l'analisi del rischio. Verifica con SynSphere quale parte del perimetro resta scoperta.

Nota metodologica. Il confronto è basato su informazioni pubblicamente disponibili sui siti dei vendor coinvolti, listini e documentazione tecnica ufficiale. Nomi, marchi e logo citati sono dei rispettivi proprietari. Per una valutazione personalizzata sul tuo specifico scenario aziendale (utenti, stack esistente, budget, requisiti compliance), contattaci: discovery iniziale gratuita, senza impegno.

  • MDR
  • Arctic Wolf
  • Microsoft Defender
  • NIS2
  • Sicurezza
  • PMI

Potrebbe interessarti anche

Confronti correlati per argomento, sezione e categoria di catalogo.

Devi scegliere fra le due soluzioni?

Parla con un nostro consulente: ti aiutiamo a tradurre il confronto teorico in una scelta concreta sul tuo scenario aziendale (utenti, stack, budget, tempi). Discovery iniziale gratuita.

Contattaci