Quanto costa un MDR? Modelli di prezzo, esempi e fattori di costo

Il managed detection and response (MDR) è di solito prezzato per endpoint, utente o identità al mese. I prezzi di listino pubblicati per il rilevamento gestito sugli endpoint partono sotto i 10 $ per endpoint al mese, mentre i servizi a copertura completa che includono cloud, identità e log vengono quotati dopo lo scoping. Il totale dipende dal numero di asset, dalla copertura, dall'autorità di risposta e dagli strumenti che già possedete.

Punti chiave

• L'MDR è un abbonamento. La maggior parte dei provider fattura per endpoint, per utente o per identità, con costi aggiuntivi per le fonti di log o i dati del SIEM.
• I prezzi di listino pubblicati sono rari. Un esempio: Huntress indica l'EDR gestito a un MSRP di 8,99 $ per endpoint al mese.
• Il livello di servizio conta più del numero di dispositivi. Un monitoraggio che si limita a inviare allarmi costa molto meno di analisti 24/7 autorizzati a isolare host e disabilitare account.
• Riutilizzare strumenti già in licenza (Microsoft Defender, CrowdStrike, un SIEM) di solito abbassa il canone MDR.
• Un SOC interno 24/7 richiede circa cinque analisti per postazione solo per coprire tutte le ore della settimana, prima degli strumenti.
• Confrontate il canone annuo dell'MDR con il costo di un incidente: IBM stima in 4,99 milioni di $ la violazione media globale del 2026.

Che cos'è l'MDR?

L'MDR è un servizio gestito in cui un team di sicurezza esterno monitora il vostro ambiente h24, analizza gli allarmi e risponde alle minacce confermate. Si pagano persone e processi, non solo software.

Un tipico servizio MDR combina quattro elementi:

• Telemetria: agent di endpoint detection and response (EDR), log delle identità (per esempio Entra ID), log cloud (AWS CloudTrail, log di attività di Azure) e talvolta sensori di rete.
• Rilevamento: regole, analisi comportamentali e threat intelligence che trasformano gli eventi grezzi in allarmi.
• Analisti: un security operations center (SOC) che analizza gli allarmi, cerca le minacce che le regole non vedono e decide cosa è reale.
• Risposta: azioni di contenimento come isolare un portatile, terminare un processo, reimpostare le credenziali o bloccare un IP, seguite da un report scritto dell'incidente.

La differenza tra MDR e un servizio di solo monitoraggio sta nell'ultimo punto. Se il provider si limita a mandarvi un'email di allarme alle 03:00, state comprando rilevamento. Se contiene la minaccia e poi vi chiama, state comprando risposta. Se vi servono gli analisti ma volete gestire voi gli strumenti, un provider di SOC-as-a-service è la soluzione più vicina.

Come si prezza l'MDR?

L'MDR è prezzato come canone ricorrente mensile o annuo per unità protetta. L'unità varia da provider a provider, quindi chiedete subito quale usa un preventivo.

Molti preventivi mescolano questi modelli. Uno schema frequente è un canone per endpoint per la copertura EDR, un canone per identità per il rilevamento delle minacce sulle identità e un canone per fonte o per GB per il monitoraggio dei log del SIEM.

Quanto costano i servizi MDR? Esempi pubblicati

I grandi fornitori di MDR raramente pubblicano i prezzi, quindi considerate ogni singola cifra come un punto di partenza. Questi prezzi di listino erano pubblicati sulle pagine dei fornitori a ottobre 2026:

• Huntress indica l'EDR gestito a un MSRP di 8,99 $ per endpoint al mese e l'identity threat detection (ITDR) gestito a 4,80 $ per identità con licenza al mese. La pagina precisa che la tariffa unitaria scende al crescere dei volumi.
• CrowdStrike pubblica le licenze endpoint Falcon a 59,99 $, 99,99 $ e 184,99 $ per dispositivo all'anno (Go, Pro ed Enterprise). Il suo pacchetto MDR, Falcon Complete, è disponibile solo "contact sales".

I numeri di CrowdStrike ricordano bene che le licenze degli strumenti e il servizio gestito sono voci di costo separate. Se pagate già l'EDR, un provider che gestisce i vostri agent esistenti addebita soprattutto analisti e risposta.

Un esempio concreto: 300 endpoint e 50 server cloud

Prendete un'azienda con 300 portatili, 50 server su AWS e Azure e 320 utenti Microsoft 365. Ai prezzi di listino Huntress indicati sopra, la sola copertura degli endpoint sarebbe 350 × 8,99 $ = circa 3.150 $ al mese, e la copertura delle identità 320 × 4,80 $ = circa 1.540 $ al mese. Sono circa 4.700 $ al mese prima di sconti sui volumi, monitoraggio dei log o costi di onboarding.

Il senso dell'esempio è la struttura, non il totale. Il preventivo di un altro provider può essere più basso o più alto, ma si scomporrà quasi sempre nelle stesse voci: endpoint, identità, fonti di log, livello di servizio e onboarding una tantum.

Cosa fa salire o scendere il costo dell'MDR?

Cinque fattori spiegano gran parte della differenza tra due preventivi MDR per la stessa azienda.

1. Numero e tipo di asset. I portatili sono i più economici. Server, carichi di lavoro cloud, container e tecnologia operativa (OT) richiedono più messa a punto e costano di più.
2. Ambito di copertura. L'MDR solo endpoint è il punto d'ingresso. Aggiungere identità, email, control plane cloud e log dei firewall aumenta il prezzo e chiude le falle che gli attaccanti sfruttano di più.
3. Autorità di risposta. Chiedete se gli analisti possono isolare host e disabilitare account senza chiamarvi prima. Un contenimento preautorizzato costa di più, ma riduce il tempo a disposizione dell'attaccante.
4. Il vostro stack esistente. Un provider indipendente dal fornitore, che lavora con il vostro EDR e SIEM attuali, evita la doppia licenza. Un provider che richiede il proprio agent include la licenza nel canone.
5. Reporting di conformità. Le organizzazioni nell'ambito della NIS2 devono inviare un preallarme entro 24 ore da quando vengono a conoscenza di un incidente significativo e una notifica più completa entro 72 ore (Direttiva NIS2, articolo 23). Se volete che il provider prepari queste evidenze, mettetelo a budget.

L'onboarding è la voce nascosta. Distribuire gli agent, collegare le fonti di log e tarare i rilevamenti sul vostro ambiente richiede di solito alcune settimane ed è spesso fatturato una sola volta.

MDR o SOC interno

Per la maggior parte delle aziende di medie dimensioni, l'MDR costa meno di un SOC interno 24/7 perché il provider condivide analisti, strumenti e threat intelligence tra molti clienti.

Il calcolo sul personale è semplice. Una settimana ha 168 ore. Un analista ne lavora circa 40, quindi una singola postazione presidiata h24 richiede più di quattro persone a tempo pieno, e più vicino a cinque se si aggiungono ferie, malattia e formazione. Aggiungete un responsabile SOC, competenze di detection engineering e di incident response, oltre alle licenze SIEM e SOAR.

Il secondo problema è assumere. ISC2 ha stimato una carenza globale di 4,8 milioni di professionisti della cybersecurity nel suo Cybersecurity Workforce Study 2024, il che rende difficile coprire e mantenere coperti i turni notturni e festivi.

È frequente anche un modello ibrido: un responsabile della sicurezza interno gestisce policy e rischio, e il provider MDR copre notti, fine settimana e prima risposta.

L'MDR vale la spesa?

L'MDR vale la spesa quando il canone annuo è modesto rispetto al costo di un incidente grave che altrimenti scoprireste in ritardo. Per la maggior parte delle aziende il confronto non lascia dubbi.

Il Cost of a Data Breach Report 2026 di IBM indica in 4,99 milioni di $ la violazione media globale. Lo stesso report ha rilevato che le organizzazioni che fanno largo uso di IA e automazione per la sicurezza hanno risparmiato 1,93 milioni di $ per violazione rispetto a quelle che non ne usano. Rilevamento e contenimento più rapidi sono esattamente ciò che vende l'MDR.

Costruite il business case su tre numeri che potete difendere: il preventivo annuo dell'MDR, il tempo del personale interno che sostituisce e la vostra stima del costo di fermo al giorno per i sistemi più importanti.

Domande da porre prima di firmare

• Su quale unità fatturate e che cosa conta come endpoint o identità?
• Quali fonti di dati sono incluse: endpoint, identità, email, cloud, firewall?
• Che cosa possono fare i vostri analisti senza chiamarci e qual è l'obiettivo sul tempo di risposta?
• Potete usare le nostre licenze EDR e SIEM esistenti?
• Dove vengono archiviati ed elaborati i nostri dati di sicurezza (UE, India, USA)?
• Quanto costa l'onboarding e quanto dura?
• Fornite report sugli incidenti in un formato che supporti le notifiche NIS2 o GDPR?

Come vi aiuta Opsio

Opsio gestisce un SOC 24/7 e offre un servizio di managed detection and response che lavora con gli strumenti di sicurezza che già usate on-premises, in Microsoft 365, AWS e Azure. Quotiamo sul vostro ambiente reale dopo una breve call di scoping, così ricevete un unico preventivo con endpoint, identità e fonti di log elencati separatamente.

Per Opus Bilprovning, che gestisce quasi 100 stazioni di revisione e controlla circa due milioni di veicoli l'anno, Opsio fornisce operazioni gestite 24/7 su AWS, comprese monitoraggio proattivo e hardening continuo della sicurezza. Leggete il caso Opus Bilprovning. Se state valutando invece un modello SOC completo, consulta i nostri servizi SOC e la guida correlata su quanto costa un MSSP.

Domande frequenti

Quanto costa l'MDR al mese?

Aspettatevi un canone mensile per unità. I prezzi di listino pubblicati partono sotto i 10 $ per endpoint al mese per il rilevamento gestito sugli endpoint, per esempio Huntress a 8,99 $ di MSRP. I servizi più ampi che aggiungono identità, cloud e monitoraggio dei log sono di solito quotati dopo lo scoping. A quei prezzi di listino, un'azienda con circa 300 utenti e dispositivi pagherebbe alcune migliaia di dollari al mese.

L'MDR si paga per endpoint o per utente?

Entrambi i modelli sono diffusi. Il prezzo per endpoint si adatta a infrastrutture con molti dispositivi, quello per utente o per identità al personale d'ufficio con più dispositivi. Molti provider combinano i due e aggiungono un canone per fonte o per GB per i log del SIEM.

L'MDR costa meno di un SOC interno?

Per la maggior parte delle piccole e medie imprese, sì. Una singola postazione di analista 24/7 richiede circa cinque dipendenti a tempo pieno per coprire 168 ore a settimana, oltre alle licenze SIEM e SOAR. L'MDR distribuisce questi costi su molti clienti.

Qual è la differenza tra i prezzi di MDR e MSSP?

I contratti MSSP spesso coprono la gestione dei dispositivi, come firewall e VPN, prezzata per dispositivo o a canone. L'MDR è focalizzato su rilevamento e risposta ed è prezzato per endpoint, utente o volume di dati. Alcuni provider vendono entrambi.

Quanto dura l'onboarding dell'MDR?

Le implementazioni standard richiedono in genere alcune settimane: installazione o collegamento degli agent, onboarding dei log di identità e cloud e messa a punto dei rilevamenti. Gli ambienti grandi o molto regolamentati richiedono più tempo.