Azure managed services: cosa include e chi gestisce cosa

Gli Azure managed services comprendono due cose: i servizi che Microsoft gestisce per voi, come Azure SQL Managed Instance, Managed Disks e le Functions serverless, e le operazioni quotidiane che un managed service provider (MSP) svolge sopra di essi: monitoraggio, patching, sicurezza, test dei backup e controllo dei costi. La maggior parte degli ambienti di produzione richiede entrambi, perché Microsoft non gestisce mai i vostri dati, le vostre identità o la vostra configurazione.

Punti chiave

• "Gestito" in Azure funziona su tre livelli: servizi di piattaforma gestiti da Microsoft, contratti di supporto Microsoft e un partner che gestisce l'ambiente con uno SLA.
• I servizi di piattaforma eliminano il lavoro su host e sistema operativo, ma secondo il modello di responsabilità condivisa di Microsoft restano sempre vostri dati, endpoint, account e gestione degli accessi.
• Le funzionalità di base di un servizio Azure gestito sono monitoraggio 24/7, incident response, patching, backup testati, postura di sicurezza, governance delle identità, FinOps ed evidenze di conformità.
• Per le entità UE nel perimetro della NIS2, il vostro MSP fa parte della supply chain e deve supportare i passaggi di preallarme entro 24 ore e di notifica dell'incidente entro 72 ore.
• Ambienti piccoli e interamente serverless con un team di reperibilità possono non aver bisogno di un MSP esterno; ambienti ibridi, regolamentati o in rapida crescita di solito sì.

Che cosa sono gli Azure managed services?

Il termine indica due cose diverse, e confonderle è l'origine di disservizi, lacune di conformità e fatture a sorpresa. Nella pratica si applica a tre livelli.

Livello 1: servizi di piattaforma gestiti da Microsoft

Qui Microsoft si occupa di patching dell'host, disponibilità e infrastruttura sottostante. Voi configurate e usate il servizio, ma non accedete a un server per ripararlo. Esempi comuni:

• Azure SQL Managed Instance: un database PaaS con compatibilità quasi totale con SQL Server. Microsoft gestisce il patching del sistema operativo, i backup automatici e l'alta disponibilità. In cambio si ha meno controllo di basso livello rispetto a SQL Server su una VM propria.
• Managed Disks: block storage per le VM senza dover gestire direttamente gli storage account. Cifratura a riposo e snapshot sono integrati.
• Azure Managed Applications: un publisher distribuisce un'applicazione preconfezionata nella vostra subscription e mantiene il controllo operativo del relativo resource group gestito. Utile per piattaforme interne, ma definite con cura l'RBAC.
• Azure Functions: calcolo serverless. Codice, trigger e binding sono vostri; con il piano Premium sono vostre anche l'integrazione VNet e le istanze pre-riscaldate.

Livello 2: supporto e consulenza Microsoft

Microsoft vende contratti di supporto e assistenza all'onboarding come FastTrack per i carichi idonei. Sono servizi reattivi e consulenziali. Aiutano con i problemi da risolvere e con la pianificazione delle migrazioni, ma non sorvegliano il vostro ambiente 24 ore su 24, non rispondono a un allarme di sicurezza alle 03:00 e non ottimizzano la vostra spesa.

Livello 3: un managed service provider

Un MSP Azure si assume la responsabilità operativa del vostro ambiente con uno SLA definito: monitoraggio, instradamento degli alert, incident response, patching, validazione dei backup, postura di sicurezza, ottimizzazione dei costi e documentazione di conformità. Colma il divario tra ciò che gestisce Microsoft e ciò che il vostro team interno riesce a coprire.

L'errore più comune che vediamo nelle valutazioni di onboarding è credere che il Livello 1 elimini la necessità del Livello 3. Il PaaS toglie le incombenze infrastrutturali. Non toglie il monitoraggio applicativo, la configurazione della sicurezza, la governance dei costi né le evidenze per gli audit.

Che cosa gestisce Microsoft e che cosa resta a voi?

Microsoft gestisce datacenter fisico, rete e host in ogni modello; il resto cambia tra IaaS, PaaS e SaaS. Le linee guida sulla responsabilità condivisa di Microsoft sono esplicite: a prescindere dal tipo di distribuzione, il cliente mantiene sempre la responsabilità di dati, endpoint, account e gestione degli accessi. È il lavoro che un MSP prende in carico.

Funzionalità di base di un servizio Azure gestito

Un provider che si limita a rispondere ai ticket è un help desk, non un servizio gestito. Ecco le funzionalità da aspettarsi in un vero contratto di operations Azure.

Servizi di infrastruttura gestita

Cura quotidiana di VM, reti virtuali, storage, App Service plan e cluster AKS: patching del sistema operativo guest, aggiornamento delle immagini, upgrade di versione di AKS, regole di scaling, revisione dei network security group e stato di ExpressRoute o VPN. È ciò che la maggior parte delle persone intende con "servizi di infrastruttura gestita Azure".

Monitoraggio 24/7 e incident response

Azure Monitor e Log Analytics raccolgono la telemetria della piattaforma; gli alert sono instradati a un tecnico reperibile con runbook documentati e obiettivi di risposta P1–P4. Scoprite il nostro approccio al monitoraggio e supporto cloud.

Sicurezza e identità

Microsoft Defender for Cloud per postura e rilevamento delle minacce, Microsoft Sentinel come SIEM, Conditional Access e revisioni degli accessi privilegiati in Entra ID, e un percorso concordato verso il managed detection and response per gli eventi di sicurezza.

Backup e disaster recovery

Policy di Azure Backup e Site Recovery progettate attorno ai vostri obiettivi di ripristino, con test di restore programmati. Un backup che non è mai stato ripristinato è un'ipotesi, non un controllo. La pagina del nostro servizio di backup Azure descrive la cadenza di test che adottiamo.

Governance e landing zone

Azure Policy, management group, tagging e RBAC costruiti sul modello della landing zone del Cloud Adoption Framework, così le nuove subscription nascono già conformi invece di essere sistemate in seguito.

Accesso delegato e verificabile

I provider dovrebbero lavorare tramite Azure Lighthouse, che consente a un service provider di gestire risorse su più tenant dei clienti mentre il cliente controlla chi ha accesso e può revocarlo. Le password di amministrazione condivise sono un campanello d'allarme.

FinOps

Revisioni settimanali delle anomalie, rightsizing, Azure Hybrid Benefit e un portafoglio di reservation gestito. Microsoft afferma che le reserved VM instances possono costare fino al 72% in meno rispetto al pay-as-you-go, ma solo se qualcuno mantiene gli impegni allineati all'utilizzo reale.

Vantaggi che si vedono in produzione

• Meno lavoro operativo ripetitivo. Alert di Advisor, raccomandazioni di Defender, upgrade di AKS e audit degli NSG generano un flusso costante di attività che non rientra nella pianificazione degli sprint. Un MSP lo assorbe con un perimetro fisso.
• Rilevamento più rapido. Senza monitoraggio 24/7, gli incidenti emergono spesso quando un cliente si lamenta. Con alert instradati e un tecnico reperibile, il rilevamento passa da ore a minuti.
• Conformità come processo continuo. Le evidenze vengono raccolte di continuo anziché ricostruite prima di ogni audit.
• Controllo dei costi. Nel report State of the Cloud 2025 di Flexera, l'84% degli intervistati indicava la gestione della spesa cloud tra le sfide principali, e stimava che il 27% della spesa cloud fosse sprecato. Scoprite come lavoriamo su questo con il nostro servizio di ottimizzazione dei costi cloud.

Come aiutano gli Azure managed services con NIS2 e GDPR?

Supportano la conformità eseguendo i controlli e producendo le evidenze, ma la responsabilità resta vostra. La NIS2 copre 18 settori critici in tutta l'UE. Secondo le FAQ sulla NIS2 della Commissione europea, un'entità nel perimetro deve inviare un preallarme entro 24 ore da quando viene a conoscenza di un incidente significativo, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese.

Il vostro MSP deve avere un processo 24/7 che alimenti queste scadenze, ed è esso stesso parte della vostra supply chain. Ai sensi del GDPR agisce come responsabile del trattamento, quindi il contratto deve prevedere un accordo sul trattamento dei dati (articolo 28), un elenco dei sub-responsabili, tempi di notifica delle violazioni e diritti di audit. Se un provider non è in grado di mostrarli su richiesta, cambiate fornitore. Il DPDP Act 2023 indiano impone obblighi analoghi alle organizzazioni che trattano dati personali indiani. Maggiori dettagli sul perimetro nella nostra guida alla NIS2.

Scenari tipici

Sono schemi ricorrenti emersi nelle valutazioni di onboarding, non clienti con nome.

• Azienda SaaS UE in un settore NIS2. Produzione solo in regioni UE, imposta con una policy allowedLocations; SQL Managed Instance con chiavi gestite dal cliente in Key Vault; un processo di incident management 24/7 mappato sui passaggi di notifica al CSIRT.
• Fintech indiana. Produzione in Central India con DR in South India; AKS con upgrade gestiti; dashboard di conformità di Defender for Cloud mappate su DPDP Act e requisiti RBI; test di restore settimanali registrati per l'audit.
• Grande azienda multicloud. Azure per Entra ID, Microsoft 365 e carichi .NET, AWS per container o piattaforme dati. L'MSP gestisce un unico processo di monitoraggio e incident management su entrambi e riporta la spesa cloud complessiva, non due fatture separate. Il nostro confronto AWS vs Azure vs GCP spiega dove ciascuno si colloca meglio.

ASM vs ARM: perché se ne parla ancora

Azure Service Management (ASM) è il vecchio modello di distribuzione "classic"; Azure Resource Manager (ARM) è quello attuale. Le risorse classic non hanno resource group, RBAC, tag né Azure Policy. Microsoft ha ritirato i servizi classic per fasi, e Cloud Services (classic) è stato dichiarato obsoleto per tutti i clienti il 1° settembre 2024. Se una valutazione rileva ancora risorse classic, migrarle è un intervento di sicurezza e supportabilità, non un optional.

Strumenti usati tipicamente da un servizio Azure gestito

Errori comuni

• Dimensionamento lift-and-shift. Le VM mantengono le dimensioni on-premises. Se la CPU media resta intorno al 10-15%, scendere di una taglia è un risparmio facile.
• Defender for Cloud lasciato sul livello gratuito. Il livello gratuito offre solo la postura di base; i piani a pagamento aggiungono rilevamento delle minacce e valutazione delle vulnerabilità per server, SQL, container e storage.
• Reti piatte. Una VNet, una subnet, NSG permissivi. Adottate un'architettura hub-and-spoke, flow log e Azure Firewall o un NVA per il traffico est-ovest.
• Backup non testati. Azure Backup funziona in modo affidabile; ciò che conta è il ripristino.

Quando non serve un MSP

Potreste non averne bisogno se l'ambiente è piccolo e sorvegliato da un platform engineer capace, se i carichi sono interamente serverless e senza obblighi di conformità, o se avete già un turno di reperibilità 24/7. Probabilmente ne avete bisogno se l'ambiente ha superato il monitoraggio in orario d'ufficio, se gli obblighi di NIS2, GDPR, SOC 2 o DPDP Act richiedono controlli continui, se operate in ibrido o multicloud, o se la fattura Azure cresce più del fatturato e nessuno sa dire perché.

Come può aiutare Opsio

Opsio gestisce ambienti Azure per organizzazioni nordiche, UE e indiane da Karlstad e Bangalore: monitoraggio 24/7, patching, security operations, test dei backup e FinOps con un unico SLA. La pagina del nostro Azure managed service provider elenca il perimetro e i livelli di prezzo pubblicati; che cosa fa e quanto costa un MSP Azure spiega come confrontare i fornitori.

La stessa distinzione tra servizi gestiti dalla piattaforma e operations gestite da un partner emerge nel nostro caso Branäsgruppen, che è su AWS e non su Azure: server e database del gruppo di stazioni sciistiche sono passati a equivalenti gestiti, con backup incrementali giornalieri e completi settimanali conservati per 60 giorni nell'ambito del servizio gestito di Opsio. Il caso riporta una reattività media delle pagine migliore del 40%, un costo totale di proprietà inferiore del 40% e una disponibilità delle applicazioni del 99,9%+.

Domande frequenti

Qual è la differenza tra un servizio gestito Azure e un MSP Azure?

Un servizio gestito è un prodotto che Microsoft gestisce, come un database PaaS. Un MSP è un'azienda che gestisce l'intero ambiente, comprese le parti che Microsoft lascia a voi: configurazione, identità, protezione dei dati, costi e incident response.

Quali sono i cinque tipi di servizi gestiti?

Il raggruppamento abituale è: infrastruttura gestita (calcolo, rete, storage), sicurezza gestita (SOC, SIEM, detection and response), database gestiti, applicazioni gestite (distribuzione, scaling, patching) e operazioni finanziarie cloud gestite (FinOps).

Qual è la differenza tra ASM e ARM?

ASM era il modello di distribuzione classic originale di Azure, senza resource group, RBAC o policy. ARM lo ha sostituito ed è il modello supportato oggi, con template (JSON o Bicep), RBAC granulare, tag e Azure Policy. Le risorse classic rimaste vanno migrate.

Che cos'è un dispositivo gestito in Azure?

Un dispositivo gestito è un laptop, telefono o tablet registrato in Microsoft Intune. La registrazione consente di imporre regole di conformità come cifratura e versione del sistema operativo, applicare il Conditional Access e cancellare il dispositivo da remoto.

Come aiutano gli Azure managed services a essere conformi alla NIS2?

Un provider con monitoraggio di sicurezza 24/7, runbook di incident response documentati e reportistica pronta per gli audit supporta gli obblighi NIS2 di gestione del rischio e di notifica, purché sia vincolato contrattualmente come parte della vostra supply chain e possa dimostrare le proprie certificazioni.

Per l'implementazione pratica, consulta Opsio.