Google SecOps vs Microsoft Sentinel: quale scegliere

La risposta breve: non esiste un vincitore assoluto tra Google SecOps e Microsoft Sentinel, esiste quello giusto per la tua situazione. La differenza vera non è nella lista delle funzioni, è nel modello di licensing: Sentinel storicamente segue un modello a consumo, legato ai dati che ingerisci, Google SecOps lavora a pacchetto con l'ingestion inclusa. Da qui discende quasi tutto il resto, a partire dalla prevedibilità della spesa.

Per un'azienda mid-market italiana la domanda pratica è una sola: dove sei già oggi e quanti log produci? Chi vive dentro l'ecosistema Microsoft 365 parte con un vantaggio su Sentinel. Chi ha volumi di log alti, o li vede crescere, di solito trova più prevedibile il modello a pacchetto di Google SecOps. Sotto trovi il confronto onesto, senza tifoserie.

Prima di entrare nei dettagli, una premessa di metodo: la scelta della piattaforma viene dopo lo scoping, non prima. Se stai valutando una migrazione, il punto di partenza è capire volumi, sorgenti e detection da riscrivere. Ne parliamo in quanto costa e quanto dura una migrazione SIEM.

Come sono fatti dentro: due architetture diverse

Microsoft Sentinel è un servizio nativo di Azure, cloud dalla nascita, pensato per stare al centro dell'ecosistema Microsoft. Si integra in modo nativo con Microsoft 365, Entra ID, Defender e il resto della famiglia, e questo è il suo punto di forza: se il tuo mondo è già Microsoft, i dati arrivano con poco attrito.

Google SecOps (l'ex Chronicle) nasce dall'infrastruttura di Google e ha una logica diversa: prende tutti i log, da qualsiasi sorgente, e li normalizza in un modello dati unico, l'UDM (Unified Data Model). Il vantaggio è che una volta dentro, i dati sono confrontabili e ricercabili allo stesso modo, indipendentemente da chi li ha generati. In più porta dentro la threat intelligence di Mandiant. Nel 2025 Gartner lo ha spostato tra i Leader del mercato SIEM, citando proprio l'integrazione AI e la scala di ingestion.

Come cambia il modello tra Google SecOps e Sentinel

Qui sta il cuore della decisione, e va spiegato bene perché è il punto dove più aziende sbagliano previsione. Non è tanto una questione di importo, quanto di come è costruita la spesa e di quanto è prevedibile.

• Microsoft Sentinel: modello a consumo. La spesa segue i dati che ingerisci ogni giorno, misurati per volume. Esistono tier di impegno (commitment) che migliorano le condizioni se prenoti capacità in anticipo, e chi ha licenze Microsoft 365 E5 riceve una quota di ingestion inclusa per le sorgenti Microsoft. La dinamica è nota: quando i volumi di log crescono, cresce la spesa, a volte in modo difficile da prevedere.
• Google SecOps: modello a pacchetto. La spesa è legata al pacchetto scelto e include un volume di ingestion molto ampio, senza un contatore separato per volume. Questo rende la spesa più prevedibile quando i dati aumentano, ed è il motivo per cui, in ambienti con tanti log per dipendente, il modello tende a lavorare a favore dell'azienda.

La regola pratica: più è alto il rapporto tra volume di log e dimensione dell'azienda, più il modello a pacchetto di Google SecOps lavora a tuo favore. Al contrario, un'azienda piccola con poche sorgenti, tutte Microsoft, può trovare in Sentinel un modello più leggero. Non entriamo nei numeri di proposito: cambiano spesso e dipendono dal singolo contratto. Quello che non cambia è la logica dei due modelli e la loro prevedibilità.

Retention: quanti dati tieni a portata di mano

La retention sembra un dettaglio tecnico, invece pesa sulla prevedibilità della spesa e sulla capacità di indagare. Quando succede qualcosa, i dati vecchi servono: un attaccante può essere entrato mesi prima di farsi vedere.

Google SecOps include di default circa 12 mesi di dati a caldo, cioè immediatamente ricercabili, senza voci extra per tenerli. Microsoft Sentinel ne mantiene 90 giorni a caldo di default, e per andare oltre lo storico va gestito a parte (con opzioni di archiviazione più leggere ma con dati meno immediati da interrogare). Per chi ha requisiti di compliance che chiedono storici lunghi, o per chi vuole poter guardare indietro un anno intero senza pensarci, è una differenza concreta.

Gemini o Copilot: l'AI nel SOC

Entrambe le piattaforme hanno messo l'AI generativa al centro, ma con due filosofie diverse.

In Google SecOps c'è Gemini, incluso nel pacchetto: consente ricerche in linguaggio naturale (scrivi cosa cerchi, la query se la costruisce lei), aiuta a riassumere gli incidenti e a indagare più in fretta. Lavorando sui dati già normalizzati in UDM, ha un contesto uniforme su cui ragionare.

In Microsoft Sentinel c'è Copilot for Security: molto forte dentro il mondo Microsoft, perché attinge al contesto di Defender, Entra e del resto dell'ecosistema. La differenza pratica è di modello: Copilot è tipicamente una licenza aggiuntiva rispetto al Sentinel di base, mentre in Google SecOps l'AI è già dentro il pacchetto. Non è una questione di "chi è più intelligente", ma di dove il valore si concentra e di come è confezionato.

La domanda che conta: dove sei già?

Alla fine la scelta dipende meno dalla scheda tecnica e più dall'ecosistema in cui vivi. Un modo semplice per orientarsi:

1. Sei tutto Microsoft 365, Defender, Entra, con volumi di log contenuti? Sentinel parte avvantaggiato: integrazione nativa, meno attrito, e con licenze E5 una quota di ingestion inclusa. Verifica solo che i volumi non facciano lievitare il consumo.
2. Hai volumi di log alti, tante sorgenti eterogenee, o li vedi crescere? Google SecOps tende a essere più prevedibile sui costi e ti dà retention lunga inclusa. Se sei o stai andando su Google Cloud, l'allineamento è ancora più naturale.
3. Stai lasciando un SIEM legacy tipo QRadar o Splunk? È il momento giusto per ripensare il modello da zero invece di replicare il vecchio. Abbiamo raccontato un percorso concreto in come migrare da QRadar a Google SecOps.

Perché noi puntiamo su Google SecOps (senza nascondertelo)

Va detto con onestà: AmagisTech costruisce il servizio di detection e response sopra Google SecOps. Non perché Sentinel sia una cattiva scelta, ma perché per il mid-market italiano il modello a pacchetto, la retention lunga inclusa e la normalizzazione in UDM riducono le sorprese e rendono il SOC più semplice da gestire nel tempo. Per un'azienda che non ha un team di sicurezza numeroso, la prevedibilità vale quanto la potenza.

Detto questo, la scelta giusta resta la tua, e dipende dallo scoping. Un progetto serio non parte dal nome della piattaforma, parte dai numeri: volume di log, sorgenti, detection da portare, retention richiesta.

In sintesi: Sentinel dà il meglio dentro un mondo tutto Microsoft con volumi gestibili, Google SecOps quando i log crescono e la prevedibilità conta. Se vuoi capire quale ha senso per la tua situazione, e con quale modello di spesa, guarda come lavoriamo sul servizio di observability e SecOps: partiamo dai tuoi numeri, non da un listino.