Google SecOps: cos'è e come funziona

La risposta breve: Google SecOps, nome esteso Google Security Operations, è la piattaforma cloud-native di security operations di Google Cloud. In un'unica console mette il SIEM (raccolta, normalizzazione e correlazione dei log), il SOAR (automazione e gestione della risposta), la threat intelligence di Google e Mandiant e l'AI Gemini. Se ti suona familiare il nome Chronicle, sei nel posto giusto: Google SecOps è la sua evoluzione diretta.

Il termine sta crescendo nelle ricerche, ma in italiano lo spiega quasi nessuno. Qui trovi cos'è, come funziona passo per passo, cosa lo distingue come modello dagli altri SIEM, per chi ha senso nel mid-market e chi serve per farlo funzionare davvero.

Che cos'è Google SecOps (e che fine ha fatto Chronicle)?

Google SecOps nasce dalla convergenza di due prodotti che Google ha unito nel tempo.

• Chronicle, il SIEM cloud-native nato dentro Alphabet e poi entrato in Google Cloud: la parte che ingerisce i log, li normalizza e li rende ricercabili a grande velocità anche su volumi enormi.
• Siemplify, la piattaforma SOAR che Google ha acquisito nel 2022: la parte che gestisce i casi, orchestra gli strumenti e automatizza la risposta con i playbook.

Sempre nel 2022 Google ha comprato Mandiant, portando in casa una delle threat intelligence più rispettate del settore, quella che risponde in prima linea agli incidenti più grossi del mondo. Nel 2023 le console sono diventate una sola e dal 2024 il nome ufficiale della piattaforma è Google Security Operations, Google SecOps in breve.

"Chronicle" resta il nome storico: in giro trovi ancora documentazione, corsi e articoli con la vecchia etichetta, e molti lo cercano così. Ma il prodotto oggi è uno solo, e la definizione onesta è questa: un posto unico dove i dati di sicurezza arrivano, prendono una forma comune, generano detection e alimentano indagine e risposta, senza dover cucire insieme tre strumenti separati.

Come funziona Google SecOps, passo per passo?

Il modo più chiaro per capirlo è seguire il percorso che fa un log dentro la piattaforma.

1. Ingestion. I dati entrano da qualsiasi sorgente: firewall, EDR, identità, cloud, posta, applicazioni SaaS e gestionali. Ci sono centinaia di parser e connettori pronti per le tecnologie più diffuse, più la possibilità di scriverne di propri per gli applicativi interni.
2. Normalizzazione in UDM. Ogni evento viene tradotto nello Unified Data Model, il modello dati unico della piattaforma. È il passaggio che cambia tutto: un login sospetto ha la stessa forma sia che arrivi dal firewall, sia dall'EDR, sia da Google Workspace o Microsoft 365. Scrivi una ricerca una volta e vale ovunque.
3. Detection. Sui dati normalizzati lavorano le regole: i set curati e mantenuti da Google, gli abbinamenti automatici con la threat intelligence e le regole scritte in YARA-L, il linguaggio di detection della piattaforma, pensato per descrivere comportamenti che si sviluppano nel tempo, non solo firme puntuali.
4. Investigation. Quando scatta un alert, l'analista trova il contesto già ricostruito: le entità coinvolte, lo storico, gli eventi collegati. La ricerca lavora su dodici mesi di dati a caldo, e con Gemini si interroga la piattaforma in linguaggio naturale: descrivi cosa cerchi, la query la costruisce lei, e ti riassume il caso mentre indaghi.
5. Response. Il SOAR chiude il giro: playbook che automatizzano i passaggi ripetitivi (arricchimento degli indicatori, contenimento, notifiche), orchestrazione di centinaia di strumenti di terze parti e un case management che documenta da solo quello che è stato fatto.

Il punto architetturale da portarsi a casa: detection e risposta vivono nello stesso posto, sugli stessi dati. Niente console separate da tenere allineate, niente contesto che si perde nel passaggio.

Cosa distingue Google SecOps dagli altri SIEM?

Le funzioni elencate sopra esistono, in forme diverse, in molti SIEM moderni. Le differenze vere stanno nel modello.

• La scala di Google. La piattaforma gira sull'infrastruttura di Google, la stessa che regge la ricerca e Gmail. In pratica: interrogazioni veloci anche su volumi molto grandi e su finestre temporali lunghe, senza dimensionare hardware, cluster o storage. Il capacity planning smette di essere un tuo problema.
• Retention di dodici mesi inclusa. I dati restano a caldo, cioè subito ricercabili, per circa un anno di default. Per le indagini è oro, perché un attaccante può essere entrato mesi prima di farsi notare. E non è una voce da aggiungere al contratto.
• Threat intelligence di Google e Mandiant. Indicatori e contesto arrivano da chi osserva il traffico di miliardi di utenti e dai team che gestiscono gli incident response più rilevanti al mondo. L'abbinamento con i tuoi log avviene in automatico.
• Gemini incluso nel pacchetto. L'AI non è un modulo da comprare a parte: ricerca in linguaggio naturale, riassunti degli incidenti, spiegazione e aiuto nella scrittura delle regole fanno parte della piattaforma.
• Modello a pacchetto. Il licensing non conta i gigabyte uno a uno: si sceglie un pacchetto con l'ingestion inclusa. La spesa resta prevedibile quando i log crescono, che è esattamente il momento in cui i modelli a consumo puro diventano difficili da governare.

Non a caso nel 2025 Gartner ha collocato Google tra i Leader del mercato SIEM. E se ti stai chiedendo come si confronta con l'alternativa più citata nel mid-market, abbiamo fatto il confronto onesto in Google SecOps vs Microsoft Sentinel.

Per chi ha senso Google SecOps?

Tre profili ricorrenti, visti sul campo nelle aziende italiane di mezza taglia.

• Chi sta lasciando un SIEM legacy. Installazioni on-prem arrivate a fine ciclo, roadmap di prodotto cambiate, appliance da rinnovare. Il caso più frequente è QRadar dopo il cambio di strategia di IBM: se è il tuo, parti da QRadar end of life: cosa fare e poi guarda il percorso concreto in come migrare da QRadar a Google SecOps.
• Chi parte da zero. Nessun SIEM, log sparsi tra le console dei singoli prodotti. Qui il modello cloud-native rende il salto meno ripido: niente hardware da comprare, tempi di avvio corti, retention lunga da subito. Si parte dalle sorgenti che contano e si cresce.
• Chi ha volumi di log alti o in crescita. Tante sorgenti eterogenee, ambienti cloud che producono dati a valanga: il modello a pacchetto e la scala della piattaforma sono nati per questo scenario.

E l'onestà di dire quando la risposta non è scontata: un'azienda piccola, tutta dentro l'ecosistema Microsoft, con volumi contenuti, fa bene a valutare anche Sentinel. La scelta giusta esce da uno scoping serio su volumi, sorgenti e requisiti di retention, non dal tifo.

Chi lo gestisce: basta la piattaforma?

Il punto che le schede prodotto non dicono mai abbastanza forte: Google SecOps è una piattaforma, non un servizio. Comprarla non ti dà un SOC. Perché produca valore, qualcuno deve:

• collegare le sorgenti e sistemare i parser che mancano, con una logica di priorità;
• scrivere e mantenere le detection YARA-L sul tuo contesto, e ridurre i falsi positivi nel tempo;
• costruire i playbook SOAR e decidere i confini: cosa si automatizza, cosa passa sempre da un umano;
• guardare gli alert 24 ore su 24, weekend e festivi compresi, e rispondere quando serve.

È il motivo per cui nel mid-market la piattaforma viaggia quasi sempre con un partner MSSP che la eroga come servizio gestito. AmagisTech è partner Google Cloud e ha costruito il proprio SOC proprio sopra Google SecOps: piattaforma di Google, detection engineering e presidio nostri, dati che restano tuoi e leggibili. Se vuoi vedere come funziona nella pratica, parti dai nostri servizi di observability e SecOps.

In sintesi: Google SecOps è il SIEM più SOAR cloud-native di Google, erede di Chronicle: log normalizzati in UDM, dodici mesi di retention inclusa, detection YARA-L, threat intelligence di Google e Mandiant e Gemini già dentro. Come modello ha senso per chi lascia un SIEM legacy, per chi parte da zero e per chi ha log in crescita e vuole una spesa prevedibile. La piattaforma da sola però non presidia niente: quella parte la fanno le persone, tue o di un partner che lo fa di mestiere.