Di quale livello ha bisogno la tua azienda? Come scegliere l’EDR, l’XDR e l’MDR più adatti — Con una tabella comparativa e i criteri di acquisto per le PMI

Quando l’antivirus segnala un intervento riuscito, ma nessuno sa dire cosa sia realmente successo

Un tipico lunedì mattina in qualsiasi azienda: il software antivirus segnala di aver rimosso un file dannoso dal portatile del reparto contabilità. Stato: verde, segno di spunta, fatto. Due domande dopo, la situazione si fa scomoda. Come è finito quel file sul dispositivo? E magari era presente anche sugli altri undici dispositivi che hanno ricevuto la stessa e-mail nello stesso periodo di tempo?

È proprio qui che entrano in gioco i concetti rappresentati dai tre acronimi EDR, XDR e MDR. Non indicano tre prodotti concorrenti, ma piuttosto tre soluzioni complementari alla stessa lacuna di sicurezza. Questo articolo spiega cosa significano questi termini, dove si tracciano i confini tra loro, quale livello si adatta a quale punto di partenza e cosa bisogna cercare in un’offerta di prodotto per non ritrovarsi a pagare per funzionalità che non si possono utilizzare.

Perché i tradizionali software antivirus non sono in grado di dirvi cosa è successo dopo un attacco?

Perché non è progettato per farlo. Un prodotto di protezione degli endpoint — ovvero un software antivirus tradizionale dotato di analisi comportamentale, firewall e filtro web — è progettato per prevenire un attacco. Se ci riesce, dal suo punto di vista il caso è chiuso. Viene registrata una voce di log — data e ora, nome del file, azione — ma non la sequenza di eventi che ha portato a quel file.

La differenza si può riassumere in una frase: l’antivirus rileva; l’EDR ricostruisce. Dopo un incidente, non basta sapere che qualcosa è stato bloccato. È necessaria la catena di eventi che lo ha preceduto e che lo ha seguito. Quale processo ha creato il file? È stata eseguita una macro in precedenza? Il computer si è connesso a un indirizzo sconosciuto in seguito? E, cosa più importante: la stessa sequenza di eventi si è verificata anche su altri dispositivi, ma senza innescare un rilevamento perché il file era stato leggermente modificato?

Senza la registrazione degli eventi, a queste domande si risponderà con un «non lo sappiamo con certezza». È proprio in quel momento che molte aziende, per sicurezza, reinstallano tutti i propri dispositivi: non perché sia necessario, ma perché non possono escludere questa possibilità.

Cosa significa EDR e cosa registra effettivamente un agente EDR?

EDR sta per Endpoint Detection and Response. L’agente registra continuamente l’attività del sistema: quale processo ne ha avviato un altro, su quali file sono state effettuate operazioni di scrittura o rinominazione, quali chiavi di registro sono state modificate e quali connessioni di rete sono state stabilite. Questo registro viene archiviato nella console di gestione e rimane disponibile anche molto tempo dopo la conclusione dell’evento scatenante.

Ciò si traduce in tre funzioni fondamentali per le operazioni quotidiane. L’analisi della causa principale mostra la catena come un albero di processi: Outlook apre un documento, il documento avvia PowerShell e PowerShell carica un file. Kaspersky la chiama “analisi della causa principale”; Bitdefender la definisce “rilevamento e visualizzazione cross-device”; Sophos crea un “caso di minaccia” in Sophos Central.

La seconda funzionalità è la ricerca retroattiva su tutta l’infrastruttura. Se si dispone di un hash di file o di un dominio proveniente da un avviso, è possibile interrogare contemporaneamente tutti i dispositivi per verificare se tale elemento sia mai apparso in precedenza. In Kaspersky questa funzione è denominata “IoC Search”; in WithSecure, “Event Search”; mentre in ThreatDown, “Flight Recorder Search”. In caso di emergenza, questa ricerca sostituisce giorni di lavoro manuale.

La terza funzionalità è la risposta dalla console: isolare un dispositivo dalla rete, terminare un processo, spostare un file in quarantena o aprire una shell remota. In questo ambito, i prodotti differiscono in modo molto più significativo rispetto a quanto avviene nel rilevamento. ThreatDown offre inoltre la possibilità di ripristinare i danni causati dal ransomware fino a sette giorni prima, mentre ESET Inspect consente l’accesso remoto a PowerShell sui computer gestiti.

Quali sono i costi operativi ricorrenti dell’EDR che non sono indicati in nessun preventivo?

Il tempo di lavoro. Il software antivirus segnala “rimosso”, mentre l’EDR segnala “insolito – si prega di verificare”. Non si tratta di un difetto di progettazione, ma piuttosto dello scopo previsto: l’agente segnala attività che sembrano sospette ma non sono definitivamente dannose. Qualcuno deve leggere, valutare e risolvere questi avvisi.

Realisticamente, ci vogliono diverse ore alla settimana per configurare le politiche e le eccezioni per il proprio ambiente: il software specifico del settore che esegue script in fase di esecuzione genera inizialmente, in modo affidabile, falsi positivi. Dopodiché, sarà necessario dedicare una fascia oraria fissa ogni giorno. Se non siete in grado di ricoprire questo ruolo, state acquistando un log che è prezioso in caso di emergenza ma che non viene utilizzato nelle operazioni quotidiane. Per questo scenario, esistono le opzioni gestite descritte di seguito, che di solito sono più convenienti rispetto a un pacchetto di licenze più ampio che rimane inutilizzato.

Qual è la differenza tra EDR e XDR?

XDR sta per Extended Detection and Response (Rilevamento e risposta estesi). Non è la risposta ad essere ampliata, ma il set di dati. Oltre alla telemetria degli endpoint, altre fonti alimentano la stessa analisi: eventi di accesso dal servizio di directory, eventi relativi a e-mail e cloud da Microsoft 365, log del firewall e carichi di lavoro nel cloud.

Il motivo è pratico: gran parte degli incidenti odierni non ha origine da un malware, ma da una password valida. Chi accede con credenziali valide inizialmente non fa scattare alcun allarme sull’endpoint. È solo la combinazione di questi elementi a far scattare un allarme: un accesso da un paese insolito, seguito poco dopo da una nuova regola di inoltro nella casella di posta e poi dall’accesso all’archivio file. Ogni segnale, preso singolarmente, non è degno di nota. È solo quando questi segnali vengono collegati tra loro che si identifica un incidente, ed è esattamente ciò che fa l’XDR.

L’implementazione tecnica dell’XDR varia a seconda del fornitore. Bitdefender implementa sensori per l’identità, la rete e le applicazioni di produttività su Business Security Enterprise e definisce il risultato “Defense XDR”. Sophos consolida i dati relativi a endpoint, server, firewall, posta elettronica e cloud in un livello di licenza separato. Elements XDR di WithSecure copre endpoint, identità, Microsoft 365 e il cloud tramite un unico agente. Kaspersky offre l’XDR come edizione separata al di sopra dei livelli EDR. ESET posiziona Inspect come componente XDR con integrazione nei sistemi SIEM e di ticketing.

Vale la pena adottare l’XDR senza un proprio team di sicurezza?

Solo a una condizione: è necessario possedere effettivamente le fonti di dati aggiuntive e, attualmente, nessuno le sta analizzando in modo sistematico. Chi utilizza Microsoft 365, gestisce un firewall Sophos e finora ha monitorato entrambi separatamente vedrà benefici tangibili. Chi dispone solo di dispositivi on-premise e non utilizza servizi cloud sta pagando per sensori che non hanno nulla da fare.

Il secondo punto viene spesso trascurato: l’XDR aumenta il valore degli avvisi, ma anche il loro numero e la loro complessità. Senza un team dedicato, la combinazione di EDR e un servizio di monitoraggio di terze parti è generalmente più conveniente rispetto a una piattaforma XDR che nessuno analizza appieno.

Cosa sto acquistando esattamente quando scelgo un servizio MDR?

Persone e un cambiamento. MDR sta per Managed Detection and Response e non è una tecnologia, ma un servizio: gli analisti del fornitore monitorano i vostri avvisi 24 ore su 24, li esaminano e intervengono direttamente entro i limiti concordati contrattualmente.

Il vantaggio è in termini di tempo, non di funzionalità. Gli attacchi di crittografia vengono tipicamente sferrati di notte, nei fine settimana e nei giorni festivi, perché è in quei momenti che nessuno è davanti al proprio computer. Un avviso EDR alle 2:00 del mattino che viene letto solo alle 8:00 fa perdere sei ore: esattamente il tempo che in genere occorre a un attacco per diffondersi dal primo dispositivo al file server.

Al momento della scelta, una domanda è fondamentale: il fornitore del servizio è autorizzato a intervenire o solo a chiamare? Questo si riflette nei livelli di servizio. Sophos distingue tra MDR Essentials e MDR Complete. ESET offre PROTECT MDR per le organizzazioni più piccole e MDR Ultimate con supporto forense. Bitdefender distingue tra MDR e MDR PLUS; il livello superiore include inoltre il monitoraggio del dark web. Con ThreatDown, il servizio di rilevamento e risposta gestito è incluso a partire dal pacchetto Elite.

ThreatDown Elite Corporate

Visualizza ThreatDown Elite Corporate ⧉

Elite corrisponde al pacchetto Advanced e lo integra con il servizio di rilevamento e risposta gestiti 24 ore su 24, 7 giorni su 7, da parte degli analisti di Malwarebytes. Per le aziende che non dispongono di un proprio team di sicurezza, è a questo punto che uno strumento diventa un servizio. Con ThreatDown, i server sono concessi in licenza separatamente.

Esiste una via di mezzo tra EDR e MDR?

Sì, e per le medie imprese spesso rappresenta la scelta giusta. Tra il «facciamo tutto da soli» e il «esternalizziamo tutto», esiste un’assistenza esperta a pagamento su richiesta, senza un contratto di servizio completo.

WithSecure ha distinto questi livelli in modo molto chiaro. Elevate offre agli utenti di Elements EDR l’accesso, quando necessario, ad analisti che valutano un incidente specifico e guidano la risposta. Il servizio di co-monitoraggio integra il vostro team con un monitoraggio 24 ore su 24, durante il quale i threat hunter esaminano gli avvisi ad alto rischio e segnalano gli incidenti confermati al vostro team. Solo al di sopra di quel livello si trova l’MDR completo con un proprio team di risposta. Un modello simile esiste presso ThreatDown, dove la ricerca gestita delle minacce è già inclusa nel pacchetto Advanced e segnala i risultati critici, mentre il servizio di risposta è incluso solo a partire dal livello Elite.

Servizio di co-monitoraggio WithSecure

Visualizza il servizio di co-monitoraggio WithSecure ⧉

Ideale per le organizzazioni che utilizzano una soluzione EDR ma non sono in grado di garantire la copertura notturna e nei fine settimana e desiderano comunque mantenere la risposta interna.

WithSecure Elevate

Visualizza WithSecure Elevate ⧉

L’opzione più snella: supporto di esperti per singoli casi complessi, gestito tramite il partner assegnato o direttamente dalla vostra azienda. È la soluzione ideale se il vostro team IT gestisce generalmente gli avvisi in autonomia e necessita di un secondo parere solo per incidenti complessi.

In che modo si differenziano antivirus, EDR, XDR e MDR se messi a confronto?

Criterio	Antivirus	EDR	XDR	MDR
Risponde alla domanda	È stato bloccato?	Come è entrato?	In quali altri luoghi?	Chi sta rispondendo adesso?
Registrazione in corso	✕	✓	✓	✓
Dati al di fuori dell'endpoint	✕	✕	✓	Dipende
Chi lo gestisce	Funziona su	Il vostro team	Il tuo team	Il fornitore
Copertura notturna e nei fine settimana	Solo automatica	Solo automatico	Solo automatico	✓
Il documento può essere utilizzato da terzi	Limitata	✓	✓	✓

Due campi sono stati lasciati intenzionalmente vuoti. Con MDR, la gestione dei soli dati degli endpoint o anche dei segnali relativi all’identità e al cloud dipende dall’ambito dell’abbonamento. Un registro di protezione antivirus ha un’utilità limitata come prova perché non descrive la sequenza degli eventi, ma si limita a elencare i singoli rilevamenti.

Quale livello è appropriato per quale situazione?

La decisione dipende meno dal numero di dipendenti che da chi esamina gli avvisi all’interno della vostra organizzazione e da quanto a lungo sarebbe tollerabile un’interruzione del sistema.

La vostra situazione	Livello appropriato	Motivazione
Nessun reparto IT interno, personale di supporto reperibile	Protezione antivirus con una console centrale	Le notifiche non lette non migliorano la sicurezza
Un solo tecnico informatico, molte mansioni	EDR più assistenza su richiesta	Gestione interna della registrazione, analisi in outsourcing
Piccolo team IT, operativo durante l’orario d’ufficio	EDR; XDR in caso di utilizzo del cloud	L'analisi è conveniente, ma il turno di notte non lo è
Produzione o logistica: i tempi di inattività comportano costi immediati	MDR	Il tempo di risposta è un parametro aziendale fondamentale in questo caso
Soggetto a obblighi di segnalazione o fornitore di un cliente importante	EDR con un lungo periodo di conservazione	È necessario documentare la sequenza degli eventi, non limitarsi a dichiararla
Fornitore di servizi IT con più clienti	EDR o XDR con console client	Senza isolamento del cliente, ogni cliente diventa un caso a sé stante

Quali aziende siano specificatamente soggette agli obblighi di segnalazione — e a partire da quale soglia i grandi clienti inizino a richiedere prove — dipende dal settore e dalle dimensioni dell’azienda, non dal livello di sicurezza scelto. Questa distinzione va oltre l’ambito di questo argomento.

Quali obblighi si applicano a partire da quale dimensione aziendale?
Stabilisci quando gli obblighi di segnalazione, i requisiti dei clienti e gli obblighi di documentazione entrano effettivamente in vigore per un’azienda.

Quali prodotti EDR sono comparabili e in cosa differiscono?

I pacchetti comparabili sono quelli che includono effettivamente una componente EDR e sono destinati alle aziende prive di un proprio centro di sicurezza. La tabella li mette a confronto. I pacchetti puramente preventivi come Sophos Intercept X Essentials o ThreatDown Core sono stati volutamente esclusi poiché non includono funzionalità di rilevamento e risposta; lo stesso vale per le piattaforme destinate a grandi reparti di sicurezza, come la Kaspersky Anti Targeted Attack Platform, che si rivolgono a un pubblico diverso.

Funzionalità	Kaspersky Next EDR Optimum	Bitdefender GravityZone Business Security Enterprise	ESET Inspect con PROTECT Elite	SOPHOS Intercept X Advanced con XDR	ThreatDown Advanced
Include componente EDR	✓	✓	✓	✓	✓
Dati al di fuori dell’endpoint	Disponibile solo in XDR Expert	Informazioni sui sensori	Vedi nota	✓	✕
La console può essere utilizzata in locale	✓	✓	✓	✕	✕
Gestione delle patch inclusa nel pacchetto	✓	Disponibile solo come componente aggiuntivo	Vedi nota	✕	✓
Gestione della crittografia inclusa	✓	Disponibile solo come componente aggiuntivo	Vedi nota	Separatamente	✕
Disponibile conservazione estesa	Vedi nota	90, 180, 365 giorni	Vedi nota	Vedi nota	Vedi nota
Ripristino dei danni causati dal ransomware	✓	✓	Vedi nota	✓	Fino a 7 giorni
Servizio gestito della stessa famiglia	✓	✓	✓	✓	✓
Il server deve essere concesso in licenza separatamente	Vedi nota	Vedi nota	Vedi nota	✓	✓

Per quanto riguarda i campi vuoti: con ESET, Inspect è un componente la cui portata dipende dal livello PROTECT selezionato; quali funzionalità aggiuntive siano incluse è quindi determinato dal livello e non da Inspect stesso. Solo Bitdefender indica il periodo di conservazione dei dati di telemetria come un modulo chiaramente definito; per gli altri fornitori, tale periodo dipende dal tipo di implementazione e dal contratto ed è quindi incluso nell’offerta. Anche la necessità di una licenza separata per i server varia: Sophos e ThreatDown indicano i server come voci separate, mentre per gli altri dipende dal pacchetto e dal rapporto tra server e postazioni di lavoro.

Quale prodotto si adatta a quale esigenza?

La raccomandazione si basa sulla situazione specifica, non sul marchio. Quattro scenari tipici:

Kaspersky Next EDR Optimum

Visualizza Kaspersky Next EDR Optimum ⧉

Il livello in cui è effettivamente inclusa la componente EDR, insieme alla gestione delle patch, alla gestione della crittografia, al rilevamento adattivo delle anomalie e alla protezione per Microsoft 365. Può essere gestito sia dal cloud che in locale. Una soluzione ideale per le aziende che desiderano raggruppare più moduli in un’unica console, anziché gestire tre prodotti separati in parallelo.

Bitdefender GravityZone Business Security Enterprise

Visualizza Bitdefender GravityZone Business Security Enterprise ⧉

Il livello che offre rilevamento su più dispositivi, analisi con risposta con un solo clic, ricerca proattiva delle minacce e la possibilità di estendere la conservazione dei dati a 90, 180 o 365 giorni. Può essere esteso a Defense XDR tramite sensori per identità, rete e applicazioni di produttività senza modificare l’agente.

SOPHOS Central Intercept X Advanced con XDR

Visualizza SOPHOS Central Intercept X Advanced con XDR ⧉

Consolida i dati relativi a endpoint, server, firewall, posta elettronica e cloud in Sophos Central. Offre il massimo valore aggiunto laddove siano già in uso un firewall Sophos e Microsoft 365, poiché la correlazione funziona senza necessità di ulteriori integrazioni.

ESET Inspect

Visualizza ESET Inspect ⧉

Il componente di rilevamento e risposta di ESET, dotato di integrazione API con sistemi SIEM, SOAR e di gestione dei ticket, oltre che di accesso remoto tramite PowerShell ai computer gestiti. La scelta giusta per gli ambienti che effettuano già un’analisi centralizzata dei log e desiderano raccogliere gli avvisi in tale ambiente anziché utilizzare un’altra interfaccia.

Per quanto tempo devono essere conservati i dati registrati?

Almeno per tutto il tempo in cui un attacco potrebbe realisticamente rimanere inosservato nel vostro ambiente. Questo è il fattore più comunemente trascurato al momento dell’acquisto. Se un incidente non viene rilevato fino a sessanta giorni dopo, ma i dati di telemetria vengono conservati solo per trenta giorni, avete pagato per l’EDR e non avete ancora alcuna risposta.

Come linea guida: trenta giorni coprono un tipico incidente di crittografia, che viene individuato rapidamente. Per accessi furtivi ai dati che nessuno nota immediatamente, sono appropriati novanta giorni o più. Con Bitdefender, l’estensione è un modulo a pagamento disponibile in incrementi di 90, 180 e 365 giorni, a partire dal piano Business Security Enterprise. Assicuratevi di richiedere espressamente questo dettaglio in ogni preventivo: raramente è incluso di default.

La console di gestione deve essere eseguita nel cloud e i server sono inclusi nella licenza?

Esistono differenze concrete in termini di dove viene ospitato il servizio. ThreatDown è gestito esclusivamente tramite le console cloud Nebula o OneView; l’installazione nel proprio data center non è supportata. Anche Sophos Central è un servizio esclusivamente cloud. Kaspersky Next EDR Optimum può essere gestito sia dal cloud che in locale, mentre Bitdefender ed ESET offrono l’installazione in locale oltre alle opzioni basate sul cloud. Per le organizzazioni con requisiti specifici relativi alla sede, questo è un fattore determinante, non solo un dettaglio secondario.

Per quanto riguarda i server, vale la pena esaminare più da vicino le descrizioni dei prodotti. Sophos e ThreatDown offrono licenze per server come prodotti separati che devono essere ordinati in aggiunta alle licenze per le workstation. Una soluzione EDR che esclude il file server tralascia proprio il dispositivo in cui si verifica il danno: in un attacco di crittografia, il server è l’obiettivo, mentre la workstation è semplicemente il mezzo per raggiungerlo.

SOPHOS Central Intercept X Advanced for Server con XDR

Visualizza SOPHOS Central Intercept X Advanced for Server con XDR ⧉

La versione per server dello stesso livello. Se proteggete le workstation con XDR, dovreste aggiornare i server allo stesso livello; altrimenti, la catena si spezza proprio dove conta di più.

ThreatDown Advanced Corporate

Visualizza ThreatDown Advanced Corporate ⧉

Soluzione EDR con ripristino dei danni causati dal ransomware per sette giorni, gestione delle patch e ricerca gestita delle minacce che segnala i risultati critici senza richiedere un contratto di assistenza completo. È disponibile una versione separata per i server.

Perché alcuni prodotti hanno “EDR” nel nome anche se non includono l’EDR?

Perché i nomi dei prodotti sono termini di marketing, non descrizioni delle funzionalità. Ecco tre esempi che portano regolarmente ad acquisti sbagliati.

Nella panoramica ufficiale delle edizioni di Kaspersky, la funzionalità Endpoint Detection and Response è elencata solo per Next EDR Optimum. Next EDR Foundations include l’analisi delle cause alla radice — ovvero l’identificazione della causa — ma non il componente EDR completo con ricerca degli IoC e risposta guidata. Sono inoltre disponibili, a partire dall’edizione Optimum: gestione delle patch, gestione della crittografia, rilevamento adattivo delle anomalie e protezione per Microsoft 365.

Kaspersky Next EDR Foundations

Visualizza Kaspersky Next EDR Foundations ⧉

Ciononostante, si tratta di un pacchetto utile, ma per uno scopo diverso: protezione robusta con gestione centralizzata, valutazione delle vulnerabilità, controllo dei dispositivi e delle applicazioni e analisi delle cause alla radice. Se state deliberatamente scegliendo di non utilizzare ancora l’analisi EDR, questa è la scelta giusta per voi. Se state cercando un EDR nel senso più stretto del termine, optate per Optimum.

Il secondo caso è Bitdefender: “Premium” sembra il livello più alto, ma secondo il confronto del produttore, non include né il rilevamento cross-device né la ricerca delle minacce. Entrambe le funzionalità sono disponibili solo a partire da Business Security Enterprise. “Premium” è il livello di prevenzione avanzato con sandbox e analisi forense, non il livello di rilevamento e risposta.

Bitdefender GravityZone Business Security Premium

Visualizza Bitdefender GravityZone Business Security Premium ⧉

La scelta giusta quando sono richieste la prevenzione e l’analisi in sandbox, ma nessuno all’interno dell’azienda valuterà gli avvisi. Se in seguito avrete bisogno dell’EDR, potrete passare al livello Enterprise all’interno della stessa console.

Il terzo scenario riguarda Sophos: senza la dicitura “con XDR”, riceverete il livello di prevenzione. La precedente versione “with EDR” è stata riclassificata come livello XDR, motivo per cui i preventivi precedenti e i nomi attuali dei prodotti non corrispondono più. Quando si confrontano due offerte, assicurarsi che nel calcolo sia stato effettivamente utilizzato lo stesso livello.

Inoltre, vi sono semplici cambiamenti di denominazione senza alcuna modifica funzionale: ESET Inspect era precedentemente noto come ESET Enterprise Inspector, mentre la linea di prodotti per clienti aziendali di Malwarebytes viene commercializzata con il nome ThreatDown dal novembre 2023. Se cercate i vecchi nomi, spesso non troverete i prodotti attuali.

Posso aggiungere l’EDR alla mia protezione antivirus esistente?

All’interno della stessa famiglia di fornitori, di solito sì; tra fornitori diversi, praticamente mai. Avere due agenti di fornitori diversi sullo stesso dispositivo comporta problemi di prestazioni e interferenze reciproche e, in caso di problemi, ogni team di assistenza vi indirizzerà all’altro.

All’interno della stessa famiglia di prodotti di un unico fornitore, ci sono due opzioni: passare a un pacchetto di livello superiore o aggiungere un modulo aggiuntivo. Bitdefender offre la funzionalità Detection and Response sia come parte di Business Security Enterprise sia come prodotto autonomo. Oltre alle sue edizioni Next, Kaspersky offre anche prodotti EDR separati, alcuni dei quali sono componenti aggiuntivi che richiedono un prodotto di base compatibile. La combinazione consentita per la vostra licenza esistente dipende dal pacchetto di base: è necessario chiarirlo prima di effettuare l’ordine, altrimenti finirete per acquistare un modulo che non potrà essere attivato.

Come regola generale: passare a un livello superiore dello stesso fornitore è quasi sempre più conveniente e più facile da gestire rispetto all’utilizzo di due fornitori diversi in parallelo.

La possibilità di attivare un articolo ordinato dipende dalla sua denominazione nel negozio. Quale di questi richieda una licenza esistente è una questione a sé stante.

Base, Base Plus, Add-On o Rinnovo: cosa significano questi termini
Spiega come interpretare i nomi dei pacchetti nel negozio e quali di essi richiedono una licenza esistente.

Quale licenza base richiede un servizio MDR?

Quasi sempre una specifica, e questo cambia significativamente il calcolo dei costi. Secondo la propria descrizione del servizio, Sophos richiede che Sophos XDR o l’XDR Sensor siano in esecuzione sui dispositivi gestiti. ESET richiede i livelli PROTECT Elite o Enterprise per PROTECT MDR e MDR Ultimate. Bitdefender basa i propri servizi gestiti su GravityZone Business Security Enterprise.

Pertanto, il prezzo MDR per dispositivo non corrisponde mai al prezzo totale. È necessario calcolare sempre la licenza di base più il servizio e solo successivamente confrontare con le offerte di altri fornitori. In caso contrario, un’offerta che presuppone tacitamente la licenza di base potrebbe sembrare conveniente.

ESET PROTECT Elite

Visualizza ESET PROTECT Elite ⧉

Il piano che include già ESET Inspect e funge anche da base per il servizio gestito. Se si intende utilizzare entrambi, questa opzione è più conveniente rispetto all’acquisto separato di Inspect e della protezione di base.

In che modo l’EDR aiuta ad adempiere all’obbligo di segnalazione in Svizzera?

Dal 1° aprile 2025, in Svizzera vige l’obbligo di segnalazione degli attacchi informatici alle infrastrutture critiche. La base giuridica è costituita dalla revisione della Legge sulla sicurezza dell’informazione, unitamente all’Ordinanza sulla sicurezza informatica. Ciò si applica alle agenzie governative e alle organizzazioni definite nell’art. 74b della Legge sulla sicurezza dell’informazione (ISG), tra cui i servizi di energia e acqua potabile, le aziende di trasporto, gli ospedali designati, i fornitori di servizi cloud e i data center, nonché le amministrazioni cantonali e comunali. L’ordinanza prevede eccezioni per le organizzazioni di dimensioni più ridotte e per gli attacchi con impatti minori.

Il termine è breve: una segnalazione iniziale deve essere presentata all’Ufficio federale per la sicurezza informatica entro 24 ore dalla scoperta; le informazioni mancanti possono essere fornite entro 14 giorni. Nella segnalazione iniziale è necessario includere dettagli sull’ora della scoperta, il tipo di attacco e l’area interessata. In assenza di dati telemetrici registrati, sarà necessario fornire le proprie stime più attendibili; in presenza di dati registrati, occorrerà indicare i timestamp, i sistemi colpiti e una descrizione dettagliata della sequenza degli eventi. Il periodo di 14 giorni previsto per il completamento della segnalazione è proprio il lasso di tempo in cui una ricerca retrospettiva sull’intero inventario dei dispositivi si rivela più utile.

Cosa non possono fare questi prodotti: non possono determinare se la vostra organizzazione sia soggetta a obblighi di segnalazione, non compilano alcun modulo e non sostituiscono un responsabile designato né una procedura di risposta alle emergenze ben collaudata. Un EDR senza responsabilità definite e senza una catena di segnalazione collaudata non soddisfa alcun requisito organizzativo.

Cosa richiede la direttiva NIS 2 e quali aspetti di essa copre l’EDR?

Per le organizzazioni con sedi o clienti nell’Unione Europea, la Direttiva NIS 2 rappresenta lo standard di riferimento. Nessun prodotto da solo garantisce la conformità, poiché la direttiva richiede categorie di misure piuttosto che un software specifico. Queste includono l’analisi dei rischi e le politiche di sicurezza, la risposta agli incidenti, la continuità operativa e la gestione dei backup, la sicurezza della catena di approvvigionamento, la gestione delle vulnerabilità, i quadri di valutazione dell’efficacia, la formazione, nonché il controllo degli accessi e l’autenticazione a più fattori.

Ciò supporta la risposta agli incidenti, la gestione delle vulnerabilità (a condizione che siano incluse la valutazione delle vulnerabilità e la gestione delle patch) e il controllo degli accessi a livello di dispositivo. Il sistema di segnalazione a più livelli previsto dalla linea guida — un allarme preventivo entro 24 ore, una segnalazione entro 72 ore e un rapporto finale entro un mese — si basa sugli stessi requisiti di conservazione dei dati previsti dall’obbligo di segnalazione svizzero.

Non sono contemplati il backup e il ripristino, la gestione dei fornitori, la formazione dei dipendenti, l’autovalutazione dell’efficacia e la responsabilità del management. Chiunque intenda affrontare questi aspetti tramite software per endpoint non soddisferà tali requisiti.

Le aziende con sede in Svizzera e con clienti nell’UE devono conformarsi contemporaneamente a entrambe le normative. Un confronto completo esula dall’ambito del presente articolo ed è disponibile separatamente.

Confronto tra gli obblighi in materia di sicurezza informatica in Svizzera e nell’UE
Questo articolo mette a confronto l’obbligo di segnalazione svizzero con i requisiti della direttiva NIS 2 ed evidenzia i punti di divergenza.

Cosa devono sapere gli acquirenti in merito alle valutazioni normative relative a Kaspersky?

Poiché in questo articolo si fa riferimento ai prodotti Kaspersky, questo punto è rilevante per l’argomento trattato. Dal 15 marzo 2022, l’Ufficio federale tedesco per la sicurezza informatica mette in guardia contro l’uso di software antivirus di Kaspersky e raccomanda di sostituire tali applicazioni con prodotti alternativi. La motivazione addotta è la necessità di poter contare sull’affidabilità e sulla capacità di agire del produttore, aspetti essenziali dati gli ampi diritti di accesso concessi da tale software. L’avvertimento rimane in vigore ed è stato regolamentato in Germania a partire dal 6 dicembre 2025, ai sensi dell’articolo 13 della BSIG. Negli Stati Uniti, il Dipartimento del Commercio ha emanato un divieto nel giugno 2024: a partire dal 20 luglio 2024 è stato vietato stipulare nuovi contratti; inoltre, a partire dal 29 settembre 2024, in quel Paese non potranno più essere forniti aggiornamenti delle firme e del codice sorgente, e il Kaspersky Security Network non potrà più essere gestito.

Kaspersky contesta questa valutazione. L’azienda sottolinea di essere gestita come impresa privata attiva a livello internazionale; che, secondo la propria dichiarazione, non è obbligata a divulgare dati alle agenzie governative; e che da anni le sue misure di trasparenza sono sottoposte a revisione esterna. Sta intraprendendo un’azione legale contro l’avviso.

In termini pratici, ciò significa che in Svizzera non esiste un corrispondente avviso ufficiale né una restrizione alla vendita. Tuttavia, la questione diventa rilevante in tre scenari: appalti del settore pubblico, politiche aziendali delle società madri internazionali e questionari dei fornitori da parte di clienti importanti che richiedono informazioni sull’origine e l’ubicazione del software di sicurezza utilizzato. Chiunque si trovi in una di queste situazioni dovrebbe chiarire i requisiti prima di prendere una decisione. Chi non lo fa dovrebbe decidere, come per qualsiasi altro appalto, in base alla funzionalità, ai costi operativi e al prezzo.

Chiunque abbia bisogno di una cronologia di tutte le dichiarazioni ufficiali — ad esempio, come base per una giustificazione interna o una risposta a un questionario per i fornitori — può trovare un resoconto dettagliato altrove.

Panoramica delle avvertenze normative relative a Kaspersky:
riassume quali agenzie hanno rilasciato dichiarazioni e quando, quali normative rimangono in vigore e per quali acquirenti ciò è rilevante.

Cosa non coprono EDR, XDR e MDR?

Una parte significativa di ciò che conta in caso di emergenza. Nessuno di questi livelli sostituisce un backup dei dati funzionante con un ripristino testato — ed è il ripristino a determinare la durata del tempo di inattività, non il rilevamento. Né sostituiscono la protezione della posta elettronica a livello di casella di posta in arrivo, la corretta gestione dei diritti di accesso, l’autenticazione a più fattori o la formazione di sensibilizzazione dei dipendenti.

Ha quindi senso invertire l’ordine: prima il backup dei dati con un test di ripristino, l’autenticazione a più fattori e il software aggiornato; poi l’EDR. Chiunque acquisti un sistema EDR mentre il proprio backup giace non testato su un disco rigido accessibile tramite un'unità di rete ha implementato il prodotto più costoso nel posto sbagliato: il software di crittografia individuerà in modo affidabile quell'unità.

Come posso decidere in definitiva?

Il software antivirus vi dice se qualcosa è stato bloccato. L’EDR vi dice come è entrato e dove altro potrebbe trovarsi. L’XDR risponde alla stessa domanda anche se l’attacco è iniziato con una password valida anziché con un file. L’MDR vi dice chi interviene alle tre del mattino. Pertanto, non chiedetevi quale sia la tecnologia migliore, ma piuttosto a quali domande dovrete rispondere in caso di emergenza e chi, all’interno della vostra organizzazione, sia in grado di rispondere. È questo che determina il livello di protezione — e solo allora il fornitore.

 

 

---