Che cos'è un managed service provider (MSP)? Come funzionano gli MSP

Un managed service provider (MSP) è un'azienda esterna che gestisce per voi una parte dell'IT con un contratto continuativo. Monitora, aggiorna, esegue il backup, protegge e ripara i sistemi in perimetro, di solito 24 ore su 24, nel rispetto di livelli di servizio concordati. Voi pagate un canone ricorrente; l'MSP si fa carico del lavoro operativo quotidiano.

Punti chiave

• Un MSP è pagato per mantenere i sistemi in funzione e farli migliorare, non per intervenire solo dopo i guasti.
• Il diritto UE ora definisce gli MSP: la direttiva NIS2 copre "l'installazione, la gestione, il funzionamento o la manutenzione" dell'ICT, in sede o da remoto.
• Un cloud provider come AWS o Azure possiede la piattaforma; un MSP gestisce i vostri workload su di essa. La maggior parte dei clienti cloud ha bisogno di entrambi.
• Il prezzo può essere per dispositivo, per utente, a livelli, una quota della spesa cloud o un canone fisso. Ogni modello crea incentivi diversi.
• Potete affidare le attività a un MSP, ma non la vostra responsabilità normativa. Mettete nel contratto la ripartizione dei compiti.
• Azure Expert MSP sarà ritirato entro la fine del 2027, quindi verificate quale validazione Microsoft o AWS un fornitore possieda oggi davvero.

Che cosa fa un MSP?

Un MSP assume la responsabilità operativa di una parte concordata del vostro ambiente. Può trattarsi dei vostri account AWS, del tenant Microsoft 365, della rete, dei laptop o del monitoraggio della sicurezza.

Il lavoro ricorrente tipico comprende:

• monitoraggio e alerting 24/7 su server, database, reti e servizi cloud
• gestione degli incidenti e interventi entro tempi di risposta e risoluzione concordati
• aggiornamento dei sistemi operativi e coerenza delle configurazioni
• backup, con test regolari che verificano che i ripristini funzionino davvero
• monitoraggio della sicurezza, gestione delle vulnerabilità e revisione degli accessi
• revisioni dei costi cloud: rightsizing, pianificazione e sconti su impegno
• report mensili su disponibilità, incidenti e spesa, oltre al lavoro di miglioramento pianificato

L'UE ha ora una definizione giuridica. La direttiva NIS2, articolo 6, punto 39, definisce l'MSP come un soggetto che fornisce "servizi connessi all'installazione, alla gestione, al funzionamento o alla manutenzione di prodotti, reti, infrastrutture, applicazioni TIC o di qualsiasi altro sistema informativo e di rete, mediante assistenza o amministrazione attiva effettuata nei locali dei clienti o a distanza". L'Allegato I della stessa direttiva elenca gli MSP e i fornitori di servizi di sicurezza gestiti come settore interessato.

Come funziona un MSP nella pratica

Un servizio MSP efficace poggia su tre livelli. Se ne manca uno, state comprando una dashboard con un numero di telefono.

Strumenti

L'MSP installa agent di monitoraggio e raccolta dei log e gestisce l'infrastruttura come codice (Terraform o CloudFormation). Usa strumenti di observability (CloudWatch, Azure Monitor, Datadog) e un sistema di ticketing. I buoni fornitori tengono questo codice nei vostri repository, non nei loro.

Processi

I runbook descrivono come si gestisce ogni tipo di alert, dal disco che si riempie a una sospetta violazione. Sopra di essi si collocano change management, revisioni della capacità e post-incident review. Chiedete di vedere esempi reali, resi anonimi.

Persone

Gli ingegneri di un network operations centre (NOC) e di un security operations centre (SOC) eseguono i runbook. Il loro vero valore è il riconoscimento dei pattern. Un team che ha visto lo stesso guasto in molti ambienti lo risolve più in fretta di uno che lo vede per la prima volta.

Tipi di managed service provider

Gli MSP si differenziano per ciò che gestiscono e per le piattaforme che conoscono. Abbinate il tipo al vostro ambiente prima di iniziare a confrontare i nomi.

Il confine tra MSP cloud e MSSP si sta facendo sempre più sfumato. Non si può gestire in modo responsabile un ambiente cloud senza un monitoraggio della sicurezza integrato, quindi molti fornitori vendono entrambi con un unico contratto. Il nostro confronto tra MSP, MSSP e MDR approfondisce il tema.

MSP, cloud provider e società di servizi IT a confronto

Sono i tre ruoli che gli acquirenti confondono più spesso. La differenza sta nella proprietà e nella responsabilità.

La responsabilità per la sicurezza è suddivisa a livelli. AWS descrive il suo modello di responsabilità condivisa come sicurezza "del" cloud (AWS) rispetto alla sicurezza "nel" cloud (il cliente). Con un MSP i livelli sono tre:

• Cloud provider: data center fisici, hardware, hypervisor e disponibilità dei servizi gestiti.
• MSP: ciò che dice il contratto, come l'aggiornamento dei sistemi operativi, il monitoraggio, la risposta agli incidenti, i test di backup e la governance dei costi.
• Voi: codice applicativo, classificazione dei dati, decisioni sugli accessi e responsabilità normativa.

Le lacune compaiono ai margini. Chi aggiorna le immagini base dei container? Chi approva le modifiche IAM? Mettete le risposte in una matrice RACI allegata al contratto.

Che cos'è un managed service provider Azure o AWS?

È un MSP specializzato in un solo cloud che ha superato la validazione del vendor. Entrambi i programmi si avvalgono di auditor esterni, quindi i badge pesano più di un semplice elenco di rivenditori.

• AWS. L'AWS MSP Partner Program richiede ai partner di "completare un rigoroso audit di terze parti che valuta le competenze tecniche e la solidità aziendale". Potete verificare un partner in AWS Partner Solutions Finder.
• Azure. Azure Expert MSP di Microsoft prevede una valutazione preliminare e un audit di due giorni condotto da una terza parte. Microsoft ha annunciato che Azure Expert MSP "sarà ritirato entro la fine del 2027" e indirizza i partner alla specializzazione Frontier Partner. Se un fornitore si presenta con il badge Expert MSP, chiedete verso che cosa sta migrando.

Gli specialisti di un solo cloud vanno più in profondità; gli MSP multi-cloud coprono più terreno. Se lavorate al 95% su AWS con una sola sottoscrizione Azure residua, vi serve uno specialista AWS in grado di tenere d'occhio la parte Azure. Se un'acquisizione vi ha lasciato due piattaforme reali, verificate che l'MSP abbia ingegneri certificati su entrambe. Una presentazione non basta. Consultate le nostre pagine sui servizi gestiti AWS e sui servizi gestiti Azure per sapere che cosa copre ciascuno.

Quante aziende usano un MSP?

La maggior parte delle organizzazioni che usano il cloud pubblico si fa aiutare dall'esterno. Il State of the Cloud Report 2025 di Flexera ha rilevato che il 60% delle organizzazioni utilizzava MSP in qualche forma per gestire il cloud pubblico. Il report 2026 ha rilevato un aumento di 3 punti percentuali nell'uso degli MSP da parte delle grandi aziende, mentre quello delle PMI è sceso dal 48% al 39%, cosa che Flexera collega alla pressione sui budget.

Vantaggi di affidarsi a un MSP

• Competenze che non potreste assumere una per una. Networking cloud, Kubernetes, FinOps e analisi della sicurezza sono specializzazioni distinte. Un MSP distribuisce quelle persone su molti clienti.
• Una copertura 24/7 reale. Garantire da soli un turno h24 richiede più persone per ruolo, considerando ferie, malattie e turnover.
• Gestione più rapida degli incidenti. L'esperienza maturata su più clienti accorcia la diagnosi.
• Disciplina sui costi. Qualcuno è responsabile ogni mese della fattura cloud: rightsizing, eliminazione delle risorse inutilizzate, dimensionamento e rinnovo degli sconti su impegno come i Savings Plans.
• Supporto alla compliance. Ai sensi dell'articolo 21 della NIS2, le organizzazioni interessate devono gestire la sicurezza della catena di approvvigionamento, inclusi i rapporti con i propri fornitori di servizi. Un MSP con certificazione ISO 27001 e un chiaro accordo di trattamento dei dati GDPR rende più semplice produrre le evidenze.

Rischi e compromessi

Ogni guida onesta deve dire che cosa può andare storto. Questi sono i punti di rottura più comuni e come limitarli.

• Perdita di conoscenza interna. Dopo qualche anno le competenze pratiche del vostro team si affievoliscono. Rimedio: tenete documentazione, IaC e runbook nei vostri sistemi e pianificate sessioni di trasferimento delle conoscenze.
• SLA "aggirati". Un alert preso in carico in 30 secondi e analizzato 45 minuti dopo "rispetta" comunque uno SLA di risposta. Rimedio: misurate il tempo di risoluzione e il tempo per un aggiornamento utile, e chiedete le distribuzioni dell'MTTR, non le medie.
• Lock-in verso l'MSP. Strumenti proprietari e clausole di uscita severe rendono difficile andarsene. Rimedio: preferite strumenti aperti o cloud-native e concordate fin dall'inizio il supporto alla transizione.
• Incentivi di costo non allineati. Un canone basato su una quota della spesa cloud premia una fattura più alta. Un canone fisso premia l'impegno minore. Rimedio: aggiungete clausole di risparmio condiviso o revisioni trimestrali dei costi.
• Norme sui dati transfrontalieri. Se il SOC è fuori dall'UE e i vostri dati sono in regioni UE, si applicano le regole GDPR sui trasferimenti. Rimedio: verificate nel contratto le garanzie (come le clausole contrattuali tipo) e poi sottoponetele ad audit.

Modelli di prezzo degli MSP a confronto

I prezzi variano troppo in base al perimetro per citare una media attendibile. Confrontate prima il modello, poi la cifra.

Confrontate sempre il canone dell'MSP più la fattura cloud con il costo pieno di svolgere lo stesso lavoro internamente.

Come scegliere un MSP

1. Definite prima il perimetro. Elencate quali workload e ambienti sono inclusi, quali attività passano all'MSP e quali framework di compliance si applicano.
2. Verificate le validazioni, poi guardate oltre. AWS MSP, le designazioni Microsoft e ISO 27001 sono il biglietto d'ingresso. Chiedete una post-incident review resa anonima: dice più di qualsiasi badge.
3. Fate un test tabletop. Proponete uno scenario come "venerdì ore 23:00 CET, CloudTrail mostra un accesso root alla console da un IP sconosciuto" e chiedete ogni passaggio, dal rilevamento alla soluzione.
4. Leggete l'orologio dello SLA. Verificate 24/7 o orario d'ufficio, definizioni di severità, crediti di servizio ed esclusioni.
5. Concordate l'uscita. Prevedete esportazione di dati e configurazioni, un periodo di transizione, accesso per un successore e la proprietà dell'automazione costruita per voi.

La nostra guida più ampia su come scegliere una società MSP include una struttura di RFP.

Quando un MSP è la scelta sbagliata

• L'infrastruttura è il vostro prodotto. Se la latenza o l'hardware su misura è il vostro vantaggio, vi servono ingegneri interni.
• Avete la scala. Con una spesa cloud molto alta, un team di piattaforma interno può costare meno del canone dell'MSP e mantiene le conoscenze in azienda.
• Le regole vietano l'accesso di terzi. Alcuni workload della difesa e classificati non possono essere gestiti da un operatore esterno.
• Nessuno conosce il vostro stack. Per HPC di nicchia o hardware personalizzato, il bacino di talenti degli MSP può essere troppo piccolo.

Esempio: operations gestite 24/7 su AWS

Opus Bilprovning è una delle maggiori società svedesi di revisione dei veicoli, con quasi 100 stazioni e circa due milioni di revisioni all'anno. Voleva un unico partner responsabile per l'intero ambiente AWS, tra CloudOps, DevOps e SecOps. Oggi Opsio gestisce quell'ambiente con supporto operativo 24/7, monitoraggio proattivo, change management e hardening continuo della sicurezza. Il team interno resta concentrato sulle revisioni. Leggete il caso di studio Opus Bilprovning.

Domande frequenti

Qual è un esempio di MSP?

Un esempio tipico è un MSP cloud che, per un canone mensile, esegue monitoraggio 24/7, patching, risposta agli incidenti e controllo dei costi sugli account AWS e Azure di un'azienda. Opsio, l'editore di questo articolo, è uno di questi; consultate la nostra panoramica dei servizi gestiti. Anche grandi società di servizi IT e molte aziende regionali di supporto IT vendono servizi gestiti.

Qual è la differenza tra un MSP e un cloud provider?

Un cloud provider come AWS, Azure o Google Cloud possiede e gestisce la piattaforma. Un MSP gestisce i vostri workload su quella piattaforma: monitoraggio, patching, sicurezza e costi. La fattura della piattaforma va al cloud provider; il canone di gestione va all'MSP.

Un MSP è la stessa cosa di un fornitore di servizi IT?

Un MSP è un tipo di fornitore di servizi IT. Le società di servizi IT possono vendere progetti, consulenza o assistenza break-fix. Un MSP si assume in modo specifico la responsabilità continuativa della gestione dei sistemi sulla base di uno SLA.

Quanto costa un MSP?

Dipende da perimetro, dimensione dell'ambiente e livello di SLA, quindi le medie pubblicate sono una guida poco affidabile. I modelli più comuni sono per dispositivo, per utente, pacchetti a livelli, una quota della spesa cloud e canoni fissi con risparmio condiviso. Chiedete un preventivo basato sul vostro inventario e confrontatelo con il costo pieno del personale interno.

Gli MSP rientrano nella NIS2?

Sì. La NIS2 elenca nell'Allegato I i managed service provider e i fornitori di servizi di sicurezza gestiti, quindi gli MSP in ambito hanno obblighi di sicurezza propri. Anche i loro clienti devono gestire la sicurezza della catena di approvvigionamento ai sensi dell'articolo 21.

Leggi anche: Cos'è un Application Service Provider (ASP).

Per l'implementazione pratica, consulta Opsio come fornitore di servizi cloud gestiti.

Letture correlate

• The Purpose of a Managed Service Provider (MSP)
• Why Every Business Owner Should Consider SOC Managed Services – Opsio
• Che cos'è un analista SOC e perché il ruolo è cruciale?