Punti chiave
- Non c'è un listino unico: il canone dipende dal caso, mentre un team interno di 6 analisti attivo 24/7 costa 400-600K euro/anno di solo personale.
- Il canone dipende da numero di endpoint e utenti, volume di log, copertura 24/7 e se la piattaforma SIEM è inclusa o già tua.
- Due voci da non confondere: il costo della piattaforma e il costo del servizio gestito sopra.
- Il metro giusto non è il canone, ma quanto abbassa il tempo di scoperta e di risposta a un attacco.
La risposta breve: un SOC gestito non ha un listino unico. Il canone dipende da quanto è grande il tuo perimetro, da quanti log generi, dalla copertura (orario d'ufficio o 24/7) e da una voce che molti dimenticano: se la piattaforma SIEM è già tua o è inclusa nel servizio. Per un numero che valga davvero sul tuo caso serve una valutazione sul perimetro reale, non un prezzo preso da un listino.
Da cosa dipende il prezzo
Quattro fattori spostano il canone:
- Dimensione del perimetro: numero di endpoint, server, utenti e ambienti cloud da tenere sotto osservazione.
- Volume di log: quanti dati di telemetria si raccolgono e si analizzano. È spesso la voce che fa muovere di più il prezzo della piattaforma.
- Copertura: solo orario lavorativo oppure 24 ore su 24, 7 giorni su 7. La seconda costa di più, ed è quella che conta.
- Profondità del servizio: ci si ferma al monitoraggio e all'allerta, oppure si arriva fino al contenimento dell'attacco.
Le due voci da non confondere
Quando ricevi un'offerta, separa sempre due cose:
- La piattaforma (il SIEM, per esempio Google SecOps): è il motore che raccoglie e analizza i log. Ha un suo costo, legato al volume di dati.
- Il servizio gestito: le persone e gli agenti che lavorano sopra la piattaforma, fanno triage, indagano e rispondono.
Un'offerta che mette tutto in un numero solo non è per forza peggiore, ma devi sapere cosa stai pagando. Chiedere "la piattaforma è inclusa?" evita le sorprese al rinnovo.
Quanto costerebbe farlo in casa
Il confronto vero non è tra due fornitori, ma tra il modello gestito e il fai-da-te. Un SOC interno che copre le 24 ore richiede una rotazione di circa 6 analisti: parliamo di 400.000-600.000 euro l'anno di solo personale, a cui si aggiungono strumenti, formazione e il problema di trovare e trattenere figure rare. Per un'azienda mid-market è un costo fuori scala.
Il modello gestito esiste proprio per questo: trasforma un investimento da mezzo milione l'anno in un canone prevedibile, e ti dà una squadra già formata dal primo giorno.
Il prezzo giusto è quello che abbassa il tempo di scoperta
Un canone basso che ti avvisa con due giorni di ritardo non è un affare. Il valore di un SOC si misura su due numeri: il tempo per accorgersi di un attacco (MTTD) e il tempo per rispondere (MTTR). Oggi, in media, accorgersi di un'intrusione richiede mesi, mentre un attacco ransomware arriva al colpo in circa 5 giorni. La distanza tra questi due numeri è la finestra in cui un attaccante lavora indisturbato.
Abbiamo spiegato perché questa metrica conta più di tutto in quanto tempo serve per accorgersi di un attacco. Un buon SOC gestito esiste per comprimere quella finestra da mesi a minuti.
Le domande da fare prima di firmare
- Quali sono gli SLA di detection e response? In quanto tempo mi accorgo e in quanto reagisco?
- La copertura è davvero 24/7 con persone, o solo allerta automatica fuori orario?
- La piattaforma è aperta (i dati restano tuoi, niente lock-in) o proprietaria?
- Cosa succede quando scatta un incidente: ricevo un alert, o qualcuno lo gestisce fino in fondo?
C'è anche un risvolto di conformità: per chi rientra nella NIS2, avere detection e response continua è una delle misure attese, e la sua assenza ha un costo che va oltre il canone (vedi le sanzioni NIS2).
AmagisTech costruisce SOC gestiti su misura per il mid-market italiano, con canone trasparente e piattaforma aperta. Poiché non esiste un listino unico, il canone si costruisce sul tuo perimetro: se vuoi una stima sul tuo caso, dai un'occhiata ai servizi di observability e SecOps o di cybersecurity gestita.