Prezzi dei servizi di sicurezza gestiti: modelli, voci di costo e come confrontare i preventivi
I prezzi dei servizi di sicurezza gestiti seguono di solito uno di quattro modelli: per utente, per dispositivo o endpoint, a volume di log oppure a pacchetti a livelli, a cui si aggiungono i costi una tantum di onboarding. Quanto pagate dipende da quanti utenti e fonti di log sono coperti, da se il fornitore si limita a segnalare o interviene anche 24/7, da quanto a lungo conserva i dati e dal reporting di conformità che vi serve.
Punti chiave
- Confrontate i preventivi sullo stesso perimetro: stessi utenti, endpoint, fonti di log, retention e livello di risposta. La maggior parte delle offerte "economiche" copre meno.
- Il volume di log è la voce di costo che la maggior parte degli acquirenti sottostima. Piattaforme SIEM come Microsoft Sentinel e servizi di threat detection come Amazon GuardDuty fatturano in base ai dati analizzati, e i fornitori li ribaltano sul cliente.
- Le differenze di prezzo più grandi dipendono dalla risposta: un servizio solo di allerta costa molto meno di un MDR che contiene le minacce anche di notte.
- Chiedete che cosa è escluso: incident response oltre un certo numero di ore, forensics, nuove integrazioni, penetration test e retention aggiuntiva sono extra frequenti.
- Confrontate il prezzo con il costo di un incidente. Secondo IBM, il costo medio globale di una violazione dei dati nel 2025 è di 4,44 milioni di USD.
Che cosa state pagando?
Un servizio di sicurezza gestito riunisce in un unico canone tre elementi: persone (un security operations centre attivo 24/7), piattaforme (SIEM, EDR/XDR, vulnerability scanning) e processi (runbook, reporting, service management). Il modo in cui il fornitore li suddivide e li fattura spiega gran parte delle differenze di prezzo che vedrete.
| Livello di servizio | Cosa comprende | Chi risponde | Costo relativo |
|---|---|---|---|
| Monitoraggio e alerting | Raccolta dei log, correlazione, triage degli alert, notifica | Il vostro team | Il più basso |
| SIEM gestito / SOC as a service | Il fornitore gestisce e ottimizza il vostro SIEM, analizza gli alert, produce i report | Condivisa | Medio |
| Managed detection and response (MDR) | Rilevamento 24/7, threat hunting, contenimento da remoto | Il fornitore, entro le regole concordate | Da medio ad alto |
| Sicurezza completamente gestita | MDR più vulnerability management, gestione dei dispositivi, reporting di conformità, service management | Il fornitore | Il più alto |
Modelli di prezzo più diffusi per i servizi di sicurezza gestiti
Per utente
Un canone mensile per ogni dipendente o account, che copre tutti i suoi dispositivi. È semplice e si adatta al lavoro ibrido, in cui ogni persona usa laptop, telefono e tablet. Verificate il limite di utilizzo equo sui dispositivi per utente e come vengono conteggiati postazioni condivise, chioschi e account di servizio.
Per dispositivo o endpoint
Un canone per ogni asset protetto, spesso con tariffe diverse per workstation, server, dispositivi di rete e workload cloud. Si adatta ad ambienti stabili con un buon inventario degli asset. È più difficile da applicare con il BYOD e con risorse cloud in autoscaling, ed è per questo che oggi sono meno i fornitori che usano un puro prezzo per dispositivo.
A volume di log
Diffuso nel SIEM gestito. Il canone cresce con i gigabyte al giorno (o gli eventi al secondo) che il SOC acquisisce. Le piattaforme sottostanti applicano lo stesso criterio: Microsoft offre Microsoft Sentinel a consumo oppure con livelli di impegno che riservano da 100 GB a 50.000 GB di ingestione giornaliera, e AWS fattura Amazon GuardDuty in base al volume di log, eventi e workload analizzati. Il prezzo a volume è equo, ma può sorprendere quando un nuovo firewall o un'applicazione molto verbosa raddoppia i log.
Pacchetti a livelli
Bundle in stile bronze/silver/gold con copertura e risposta crescenti. Rendono facile il confronto all'interno di un singolo fornitore e difficile quello tra fornitori diversi, perché il contenuto dei livelli cambia. Controllate il dettaglio di ogni livello rispetto all'elenco delle vostre esigenze.
Prezzi ibridi e componenti aggiuntive
La maggior parte dei contratti reali combina un canone base (per utente o per dispositivo) con costi a volume per i log, più componenti aggiuntive: retainer di incident response a ore, penetration test, formazione sulla security awareness e reporting di conformità.
| Modello | Ideale per | Vantaggi | Da tenere d'occhio |
|---|---|---|---|
| Per utente | Organici d'ufficio e ibridi | Prevedibile, facile da budgetizzare, cresce con il personale | Limiti sui dispositivi; server e cloud spesso hanno un prezzo a parte |
| Per dispositivo | Ambienti stabili e ben inventariati | Costo trasparente per asset | BYOD, autoscaling e IoT sono difficili da contare |
| Volume di log | SIEM gestito, ambienti molto cloud | Si paga ciò che viene monitorato | I costi salgono con le fonti rumorose; serve filtrare i log |
| Pacchetto a livelli | Aziende più piccole che vogliono un bundle | Semplice da acquistare, percorso di upgrade chiaro | Si rischia di pagare servizi non necessari |
| Ibrido | Medie e grandi imprese | Adatto a ambienti complessi | Più difficile da confrontare; chiedete un totale sui vostri volumi |
Cosa fa salire o scendere il prezzo?
- Perimetro: numero di utenti, endpoint, server, account cloud, tenant SaaS e dispositivi di rete.
- Fonti e volume di log: i log di identità, endpoint e control plane cloud danno più valore per GB; i log di rete e applicativi più verbosi costano di più.
- Retention: per quanto tempo i log restano ricercabili e archiviati. Indagini e audit possono richiedere da mesi ad anni.
- Orari di copertura e risposta: orario d'ufficio contro 24/7, solo alert contro contenimento, e tempi di risposta contrattuali.
- Strumenti: se le licenze EDR, SIEM e dello scanner sono incluse o se usate le vostre.
- Reporting di conformità: i pacchetti di evidenze per NIS2, ISO/IEC 27001, SOC 2, PCI DSS o normative di settore richiedono tempo degli analisti.
- Lingua, sede e residenza dei dati: analisti madrelingua o trattamento dei dati solo in UE possono costare di più.
- Durata del contratto: i contratti pluriennali di solito abbassano il canone mensile ma riducono la flessibilità.
Costi facili da trascurare
Onboarding e integrazione
Distribuire gli agent, collegare le fonti di log, ottimizzare le regole di rilevamento e scrivere i runbook richiede di solito settimane ed è spesso una commissione una tantum separata. Chiedete che cosa è incluso e come si svolge un onboarding tipico per un ambiente delle vostre dimensioni.
Incident response
Molti servizi includono triage e contenimento da remoto, ma fanno pagare a parte l'incident response completa, la forensics o gli interventi in sede. Verificate se è incluso un retainer e quante ore copre.
Modifiche e nuove integrazioni
Aggiungere un nuovo account cloud, un'applicazione SaaS o un firewall può essere fatturato come servizi professionali. Chiedete il listino tariffario e la procedura.
Il vostro impegno interno
Qualcuno nel vostro team deve comunque gestire il fornitore, approvare le azioni e correggere le cause radice. Prevedete nel budget il tempo interno, soprattutto in un modello co-gestito.
Formazione e test
Formazione sulla security awareness, simulazioni di phishing e penetration test hanno spesso un prezzo separato. Vale la pena averli, quindi inseriteli nel confronto invece di aggiungerli in un secondo momento.
Come confrontare i preventivi di sicurezza gestita
Inviate a ogni fornitore la stessa scheda di perimetro e chiedete di quotare su quella. Poi confrontate a parità di condizioni:
| Voce | Cosa chiedere a ogni fornitore |
|---|---|
| Copertura | Quali tra i nostri utenti, dispositivi, account cloud e fonti di log elencati sono inclusi? |
| Volume di dati | Quale volume giornaliero di log è ipotizzato e quanto costa ogni GB aggiuntivo? |
| Retention | Per quanto tempo i log restano ricercabili e archiviati, e a che costo si può estendere? |
| Risposta | Tempi contrattuali di triage e risposta per livello di gravità; quali azioni di contenimento sono incluse? |
| Incident response | Ore di retainer incluse; tariffa oraria oltre tale soglia |
| Licenze | Quali licenze degli strumenti sono incluse e a chi appartengono all'uscita? |
| Onboarding | Costo una tantum, durata e deliverable |
| Reporting | Contenuto del report mensile; evidenze di conformità incluse |
| Durata e uscita | Durata del contratto, variazioni di prezzo, restituzione dei dati all'uscita |
Chiedete il costo totale su tre anni per i vostri volumi, inclusa la crescita prevista. È questo numero, non il canone mensile in evidenza, che va confrontato.
Ne vale la pena? Misurare il valore
Confrontate il costo annuo del servizio con quello di un SOC 24/7 interno (almeno diversi analisti per coprire turni, ferie e avvicendamento, più gli strumenti) e con il costo degli incidenti. Secondo il Cost of a Data Breach Report 2025 di IBM, la violazione media globale è costata 4,44 milioni di USD e ha richiesto 241 giorni per essere identificata e contenuta, mentre le organizzazioni che usano in modo esteso AI e automazione per la sicurezza hanno risparmiato in media 1,9 milioni di USD per violazione. Il Data Breach Investigations Report 2025 di Verizon ha rilevato il ransomware nel 44% delle violazioni, con un riscatto mediano pagato di 115.000 USD.
Una volta avviato il servizio, monitorate queste metriche:
- Tempo medio di rilevamento e tempo medio di risposta, per livello di gravità.
- Quota delle fonti di log critiche effettivamente collegate.
- Tasso di falsi positivi e numero di escalation verso il vostro team.
- Tempo per chiudere le vulnerabilità critiche.
- Rilievi di audit relativi a monitoraggio e gestione degli incidenti.
Consigli per la negoziazione
- Filtrate i log di scarso valore prima che raggiungano il SIEM: riduce i costi a volume senza perdere capacità di rilevamento.
- Usate le vostre licenze se possedete già capacità EDR o SIEM, e chiedete il prezzo senza di esse.
- Scambiate durata del contratto contro prezzo, ma mantenete il diritto di recesso se gli SLA vengono mancati ripetutamente.
- Concordate le regole di revisione del prezzo in caso di crescita, così che aggiungere 20 utenti non avvii una nuova trattativa.
- Inserite nel contratto crediti di servizio per i tempi di risposta non rispettati.
Come vi aiuta Opsio
Opsio offre servizi di sicurezza gestiti e managed detection and response per ambienti AWS e Azure, inclusa la gestione di Microsoft Sentinel. Inviateci la scheda di perimetro qui sopra e quoteremo su quella, così potrete confrontare a parità di condizioni. Per le domande tipiche sui costi, leggete la nostra risposta breve su quanto costa un MSSP.
Per Opus Bilprovning, una delle maggiori società svedesi di revisione dei veicoli con quasi 100 stazioni, il team di sicurezza gestita di Opsio si occupa di monitoraggio proattivo, change management e hardening continuo della sicurezza nell'ambito di operazioni gestite 24/7 su AWS. Leggete il caso Opus Bilprovning.
Domande frequenti
Quanto costano i servizi di sicurezza gestiti?
Dipende da utenti, dispositivi, volume di log, orari di copertura, livello di risposta ed esigenze di conformità, quindi i listini pubblicati variano molto. Ottenete preventivi sullo stesso perimetro scritto e confrontate i totali su tre anni invece dei canoni mensili in evidenza.
Qual è il modello di prezzo più comune per un MSSP?
Il prezzo per utente e i pacchetti a livelli sono frequenti nelle piccole e medie imprese; gli ambienti più grandi ottengono di solito un modello ibrido, con un canone base più costi per volume di log e componenti aggiuntive come i retainer di incident response.
Quali costi nascosti cercare in un contratto MSSP?
Costi di onboarding, incident response oltre le ore incluse, forensics, volume di log o retention extra, nuove integrazioni, licenze degli strumenti e costi di uscita come l'esportazione dei dati.
Come incidono i requisiti di conformità sui prezzi dei servizi di sicurezza gestiti?
Framework come NIS2, ISO/IEC 27001, SOC 2 e PCI DSS comportano una retention dei log più lunga, più fonti di log e reporting delle evidenze, e tutto ciò aggiunge tempo degli analisti e costi di storage.
Un MSSP costa meno di un SOC interno?
Per la maggior parte delle piccole e medie imprese sì, perché la copertura 24/7 richiede diversi analisti oltre agli strumenti. Le grandi aziende spesso adottano un modello ibrido: un team interno per strategia e risposta e un MSSP per il monitoraggio h24.
Sull'autore
Group COO & CISO
Fredrik è il COO e CISO del gruppo presso Opsio. Si concentra sull'eccellenza operativa, sulla governance e sulla sicurezza delle informazioni, lavorando a stretto contatto con i team di delivery e di leadership per allineare tecnologia, rischio e risultati di business in ambienti IT complessi. Guida la pratica di sicurezza di Opsio, inclusi i servizi SOC, i test di penetrazione e i framework di conformità.
Standard editoriali: Questo articolo è stato scritto da un professionista certificato, indicato sopra come autore. Lo aggiorniamo quando cambiano la tecnologia o la normativa di cui tratta; le date qui sopra indicano l'ultimo aggiornamento. Opsio è editorialmente indipendente: consigliamo soluzioni in base al merito tecnico, non a rapporti commerciali.