4 Novembre 2026, di Teresa Barone – PMI.it
Per le PMI senza personale dedicato alla sicurezza informatica, i servizi MDR (Managed Detection and Response) affidano a un provider esterno il monitoraggio continuo dei sistemi, il rilevamento degli attacchi e il loro contenimento. La cybersecurity gestita alleggerisce i team IT e accorcia i tempi di reazione agli incidenti, compresi quelli legati al fattore umano, che le aziende considerano il primo rischio secondo una recente indagine Kaspersky.
Con il Voucher MIMIT Cloud & Cybersecurity, richiedibile dal 10 novembre, parte della spesa è rimborsabile, a condizioni che vincolano l’impresa allo stesso fornitore per almeno due anni.
Servizi MDR: sicurezza aziendale gestita
I servizi MDR sono gestiti da remoto e si distinguono dagli altri servizi di sicurezza in outsourcing per la risposta: oltre a segnalare l’anomalia, il provider interviene per contenerla.
Come spiega Samuele Zaniboni, Manager of Sales Engineering di ESET Italia, si tratta di un modello collaborativo: il provider mette a disposizione tecnologie, competenze e analisti e contribuisce a individuare, analizzare e contenere le minacce, mentre l’azienda conserva la responsabilità del proprio ambiente IT e delle principali decisioni di sicurezza. Il contratto stabilisce quali sistemi e dati sono coperti, quali azioni il provider può eseguire e quali responsabilità sono del cliente.
Backup, aggiornamenti, autenticazione a più fattori e gestione degli accessi sono a carico dell’azienda, e il servizio protegge solo i sistemi che il contratto gli affida.
Dal monitoraggio h24 al ripristino dei sistemi
Lo schema tipico descritto da ESET prevede sei fasi:
- monitoraggio continuo dei sistemi coperti;
- rilevamento degli eventi sospetti e classificazione per gravità;
- analisi di utenti, dispositivi, orari e indicatori per ricostruire l’accaduto;
- contenimento, se previsto dal contratto, con l’isolamento del dispositivo o il blocco della minaccia;
- notifica al cliente delle azioni svolte e dei passi successivi;
- ripristino dei sistemi e correzione delle vulnerabilità.
Differenza tra EDR, MDR e XDR
L’EDR è un software e l’MDR il servizio gestito da specialisti che lo usa per rispondere agli attacchi; le altre sigle frequenti nelle offerte dei provider indicano funzioni diverse:
| Sigla | Cosa fa |
|---|---|
| EDR (Endpoint Detection and Response) | rileva attività sospette su pc, server e workstation |
| XDR (Extended Detection and Response) | correla i dati di endpoint, identità, email, cloud e rete |
| SIEM (Security Information and Event Management) | raccoglie e analizza log ed eventi di sicurezza |
| SOC as a Service | affida in outsourcing un centro di monitoraggio della sicurezza (Security Operations Center) |
| MSSP (Managed Security Service Provider) | fornitore di sicurezza gestita in senso ampio, non sempre con risposta agli incidenti |
IA nei servizi MDR: automazione e controllo
L’intelligenza artificiale accelera rilevamento e contenimento e rende scalabile il lavoro dei SOC; le azioni di risposta però possono fermare sistemi in uso e vanno autorizzate, per cui l’approccio più efficace lascia alle macchine la velocità e agli analisti le decisioni più delicate. L’AI allarga anche la superficie d’attacco: la Shadow AI, cioè l’uso di strumenti di intelligenza artificiale non autorizzati, e gli agenti autonomi producono attività che il servizio deve distinguere da quelle di un attaccante.
SLA del servizio MDR: clausole per iscritto
Lo SLA (Service Level Agreement) fissa cosa il provider può fare da solo e cosa richiede l’autorizzazione dell’azienda. Per Zaniboni «la semplice dicitura “risposta agli incidenti inclusa” non è sufficiente»: il provider può avere i mezzi per isolare un computer e l’obbligo contrattuale di chiedere prima il permesso al cliente.
Le clausole dello SLA MDR da verificare prima della firma:
| Clausola | Cosa deve chiarire |
|---|---|
| sistemi e dati coperti | quali pc, server, caselle di posta, account cloud e applicazioni SaaS sono sorvegliati |
| azioni autonome | se il provider può isolare un dispositivo o sospendere un account senza attendere il via libera |
| notifica al cliente | entro quanti minuti, con quale canale e a quale referente arriva l’avviso |
| account compromessi e cloud | chi reimposta le credenziali e revoca le sessioni attive |
| incidenti fuori copertura | cosa accade, e con quali costi, se l’attacco coinvolge sistemi non inclusi |
| notte e festivi | se la copertura comprende il contenimento o il solo rilevamento |
| durata e uscita | recesso, penali sui livelli di servizio e restituzione di log e dati |
Il test della prima ora di un incidente
Per mettere alla prova lo SLA si può chiedere al provider di descrivere la prima ora di gestione di un incidente realistico, per esempio un account di posta compromesso alle 23 di un venerdì: chi riceve l’allarme, chi decide l’isolamento, quali azioni sono già autorizzate, quando il provider avvisa l’azienda e cosa succede dopo il contenimento.
Notifica incidenti NIS2: 24 ore, 72 ore, un mese
Per le imprese soggette alla NIS2, l’art. 25, comma 5, del D.Lgs. n. 138/2024 impone la pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell’incidente significativo, la notifica con la valutazione iniziale entro 72 ore e la relazione finale entro un mese. L’obbligo è dell’impresa, che però dipende dai dati raccolti dal provider: lo SLA deve prevederne la consegna in tempo utile per la pre-notifica.
Voucher MIMIT Cybersecurity: spese MDR ammesse
Il voucher copre il 50% della spesa, fino a 20.000 euro, su piani da almeno 4.000 euro, e non prevede gli MDR come voce a sé. Nelle categorie dell’art. 4, comma 2, del decreto direttoriale MIMIT 4 agosto 2026 la parte software del servizio è riconducibile al software di sicurezza (lettera b), il lavoro degli analisti ai servizi di monitoraggio e supporto continuativo (lettera e), ammessi fino al 30% del piano e solo se collegati a un prodotto agevolato. In entrambi i casi il fornitore deve essere nell’elenco ministeriale.
Su un abbonamento da 1.000 euro al mese per 24 mesi, la durata minima, il piano vale 24.000 euro: i servizi di monitoraggio possono arrivarci per 7.200 euro, il resto deve riguardare il software, e il contributo è di 12.000 euro. Sono escluse l’estensione di licenze già possedute e l’aumento delle postazioni (art. 4, comma 3).
Durante l’abbonamento il recesso anticipato o il cambio di fornitore fanno perdere il contributo residuo (art. 8, comma 2): livelli di servizio e penali vanno scritti prima della domanda, che si presenta dalle ore 12 del 10 novembre 2026. I casi dubbi sono chiariti nelle FAQ del MIMIT sul voucher.