Come scegliere un SOC in outsourcing? Cosa valutare?

Un SOC in outsourcing va scelto valutando capacità di monitoraggio 24/7, trasparenza sui dati, risposta attiva agli incidenti, competenze umane, uso reale dell’AI, conformità normativa e sovranità dei log. La scelta migliore non è il fornitore più noto, ma quello più coerente con rischi, processi e obiettivi aziendali.

Che cos’è un SOC in outsourcing?

Un SOC in outsourcing è un Security Operations Center gestito da un fornitore esterno che monitora, analizza e supporta la risposta agli eventi di sicurezza informatica. Questa impostazione è coerente con le linee guida ENISA su CSIRT e SOC, che collegano le funzioni operative alla capacità di rilevare, gestire e migliorare la risposta agli incidenti. Il suo obiettivo è aiutare l’azienda a rilevare minacce, ridurre i tempi di intervento e contenere gli incidenti senza dover costruire internamente un centro operativo completo.

Nel 2026, un responsabile IT o un CISO si trova davanti a dashboard sempre più dense: infrastrutture cloud, email, endpoint, reti ibride, milioni di log e migliaia di avvisi. L'Osservatorio Cyberoo ha mostrato come nel 2025 il nostro I-SOC ha gestito 1,935 × 10¹² eventi di sicurezza (1,9 trilioni), pari a circa 5,3 miliardi di eventi al giorno, ovvero ~220,9 milioni all'ora e 61.358 al secondo, da cui la pipeline automatizzata ha isolato 1,8 milioni di allarmi, 154.760 case reali e 3.650 casi realmente rilevanti, con l'identità come primo vettore d'attacco dell'anno (BEC e bypass dell'MFA al 40%, davanti allo sfruttamento delle vulnerabilità al 35%). 

Il problema non è più soltanto vedere gli attacchi, ma distinguere rapidamente ciò che conta dal rumore di fondo e reagire prima che l’impatto diventi operativo.

Perché il tema del SOC in outsourcing è diventato centrale?

La crescita degli attacchi automatizzati, l’uso dell’AI da parte dei criminali informatici e la scarsità di competenze cyber hanno reso sempre più difficile presidiare la sicurezza con risorse interne limitate.

Nel 2026 l'Osservatorio Cyberoo ha rilevato che lo sfruttamento delle vulnerabilità ha pesato per il 35% dei principali vettori d'attacco, secondo solo a BEC e bypass dell'MFA (40%), e che il ransomware è stato il fenomeno dominante tra i principali threat actor dell'anno (Qilin, SafePay, Trinity of Chaos), con l'evoluzione verso la Triple Extortion (Osservatorio Cyberoo, 2026).

Rilevare un’intrusione non basta: serve una risposta rapida, documentabile e coerente con il rischio reale dell’organizzazione.

Per molte aziende, la domanda non è più se serva un SOC, ma quale modello sia sostenibile: costruire un SOC interno oppure affidarsi a un SOC in outsourcing capace di offrire continuità operativa, competenze specialistiche e capacità di risposta H24.

Il tema economico rafforza questa urgenza: Si stima che il costo medio globale di un data breach sia pari a 4,44 milioni di dollari nel 2025, con un ciclo medio di identificazione e contenimento di 241 giorni (Cost of a Data Breach Report 2025). Per questo il valore di un SOC in outsourcing non va misurato solo sul costo del servizio, ma sulla capacità di ridurre esposizione, tempi di risposta e impatto operativo.

Quali sono i limiti di un SOC interno?

Un SOC interno offre controllo diretto, conoscenza approfondita dei processi aziendali e maggiore prossimità ai dati sensibili e particolari. Tuttavia, richiede investimenti elevati in tecnologie, persone, formazione continua, turnazione e aggiornamento delle competenze. Il costo non riguarda solo le piattaforme, ma anche la capacità di mantenere analisti esperti disponibili 24/7/365. La pressione sulle competenze è concreta: il 95% dei professionisti intervistati da ISC2 segnala almeno un bisogno di competenze cyber e il 59% indica necessità critiche o significative (ISC2 Cybersecurity Workforce Study 2025).

Il rischio concreto, soprattutto per le medie imprese, è creare un SOC a copertura parziale: efficace negli orari d’ufficio, ma vulnerabile durante la notte, nei weekend o nei periodi festivi. Proprio quando molti attacchi cercano di sfruttare tempi di reazione più lenti.

A questo si aggiunge la barriera tecnologica dell’AI: addestrare modelli, integrarli con i dati aziendali e usarli per analisi predittiva richiede competenze e budget difficili da sostenere senza economie di scala. La stessa ISC2 rileva che il 69% dei professionisti cyber è già impegnato in attività di adozione dell’AI, tra integrazione, test o valutazione iniziale, segno che la competenza richiesta non è più opzionale (ISC2 Cybersecurity Workforce Study 2025).

Come funziona il mercato dei SOC in outsourcing?

Chi valuta un SOC in outsourcing incontra spesso sigle simili, ma non equivalenti: MSSP, XDR e MDR. Comprendere la differenza è essenziale, perché ogni modello risponde a un bisogno diverso. Confonderli può portare ad acquistare un servizio non allineato alla reale esposizione al rischio dell’azienda.

Che cos’è un MSSP?

Un MSSP, Managed Security Service Provider, è un fornitore che gestisce e monitora strumenti di sicurezza come firewall, VPN e log di sistema. Il suo approccio è spesso orientato alla sorveglianza e alla notifica: rileva un’anomalia e avvisa il cliente, lasciando però al team interno molte decisioni operative. È utile per la gestione continuativa dell’infrastruttura, ma può risultare insufficiente quando serve contenere rapidamente una minaccia attiva.

Che cos’è l’XDR?

XDR, Extended Detection and Response, è una tecnologia che raccoglie e correla dati da più fonti, come endpoint, rete, cloud, identità e log. Il suo valore sta nell’unificare segnali frammentati e trasformarli in incidenti più chiari, contestualizzati e gestibili.

Attraverso analisi avanzate, automazione e playbook di risposta, una piattaforma XDR riduce il numero di allarmi isolati e aiuta i team di sicurezza a concentrarsi sugli eventi davvero rilevanti. Questa capacità è importante perché il tempo medio globale per identificare e contenere un data breach nel 2025 è pari a 241 giorni, il valore più basso degli ultimi nove anni ma ancora molto elevato rispetto alla velocità operativa degli attaccanti (Cost of a Data Breach Report 2025). Tuttavia, l’XDR resta una piattaforma: per funzionare al meglio richiede competenze, processi e capacità decisionale.

Che cos’è l’MDR e perché è rilevante per un SOC in outsourcing?

MDR, Managed Detection and Response, è un servizio gestito che combina tecnologia, analisti e processi di risposta per rilevare, investigare e contenere minacce informatiche. A differenza di un modello basato solo sulla notifica, l’MDR è orientato al risultato: ridurre l’impatto dell’attacco.

Secondo Gartner, i servizi MDR forniscono funzioni SOC moderne, remote, guidate da analisti umani e pensate per disruption e containment delle minacce (Gartner, Market Guide for Managed Detection and Response Services). In pratica, il provider non si limita a osservare: analizza l’evento, lo qualifica e può supportare o avviare azioni di contenimento concordate.

Esempio concreto: se un endpoint mostra comportamento compatibile con ransomware, un servizio MDR può correlare i segnali, verificare la criticità dell’asset e, se previsto dal playbook, isolare la macchina dalla rete prima che l’attacco si propaghi. È un caso rilevante perché, nel 2025, il ransomware si è confermato tra i fenomeni a maggiore impatto tra i principali threat actor monitorati dal nostro Osservatorio 

Quali rischi deve valutare un CISO prima di scegliere un SOC in outsourcing?

Delegare alcune attività operative a un SOC in outsourcing non significa eliminare il rischio. Significa spostare il focus sulla governance del servizio: accesso ai dati, responsabilità, capacità di risposta, qualità dell’automazione, reportistica e localizzazione della telemetria.

Un SOC in outsourcing non dovrebbe impedire all’azienda di vedere ciò che accade. L’effetto “scatola nera” nasce quando il provider controlla console, log e informazioni operative senza offrire accesso diretto e tempestivo al cliente. In caso di incidente o audit, questa dipendenza può rallentare l’analisi e indebolire la capacità di dimostrare le decisioni prese. Il tema è ancora più delicato se si considera che il coinvolgimento di terze parti nei breach è raddoppiato, passando al 30% secondo le ultime statistiche (Data Breach Investigations Report 2025).

Come gestire il rischio di falsi positivi critici?

La mitigazione attiva è utile solo se governata da regole chiare. Isolare automaticamente un sistema può fermare un attacco, ma anche bloccare un ERP, una linea produttiva o un ambiente OT se il playbook non distingue tra asset ordinari e asset critici. Per questo servono una matrice RACI, soglie di intervento e procedure approvate prima dell’incidente.

Un esempio pratico: se un sistema industriale genera un alert anomalo, l’automazione non dovrebbe trattarlo come un normale endpoint aziendale. Prima di isolare l’asset, il SOC deve considerare criticità del processo, finestra operativa, impatti sulla produzione e responsabilità autorizzative. È qui che metriche, playbook e contesto business diventano più importanti della semplice velocità di reazione.

Come distinguere AI reale e cyber-washing?

Molti fornitori presentano l’AI come elemento differenziante, ma non sempre chiariscono come venga usata. Un SOC maturo deve spiegare dove interviene l’automazione: triage, correlazione degli eventi, prioritizzazione, suggerimento di risposta o contenimento.

La prova non è la promessa commerciale, ma la capacità di ridurre falsi positivi, tempi di analisi senza perdere controllo umano. Si stima che le organizzazioni con uso esteso di AI e automazione nella sicurezza abbiano ottenuto un risparmio medio di 1,9 milioni di dollari per violazione rispetto a chi non usa queste soluzioni (Cost of a Data Breach Report 2025).

Perché la reportistica deve essere collegata ai framework?

Un report mensile generico non basta. Un SOC in outsourcing dovrebbe mappare gli eventi su framework riconosciuti, come MITRE ATT&CK, che descrive tattiche e tecniche degli avversari e aiuta a rendere leggibile il comportamento dell’attaccante.

Questo permette di spiegare quali tattiche e tecniche sono state osservate, quali controlli hanno funzionato e dove rimangono rischi residui. La sicurezza diventa così più comprensibile anche per il Board.

Perché la sovranità dei dati è un criterio di scelta?

La telemetria di sicurezza può contenere informazioni particolari e sensibili su utenti, sistemi, applicazioni e processi aziendali. Per questo è essenziale sapere dove vengono conservati ed elaborati i log, quali subfornitori sono coinvolti e quali giurisdizioni si applicano. In ambito europeo, GDPR, NIS2 e DORA rendono questo punto parte integrante della governance.

La rilevanza economica è evidente: il costo medio globale di un data breach nel 2025 è pari a 4,44 milioni di dollari, mentre gli incidenti ransomware o estorsivi raggiungono in media 5,08 milioni di dollari (Cost of a Data Breach Report 2025).

Quali criteri usare per scegliere un SOC in outsourcing?

La scelta di un SOC in outsourcing dovrebbe seguire un framework pratico. I criteri più importanti sono trasparenza, capacità di contenimento, qualità dell’automazione, integrazione con framework riconosciuti e conformità normativa.

1. Trasparenza operativa: il cliente deve poter accedere a dashboard, log, telemetria e stato degli incidenti senza dipendere da passaggi intermedi;
2. Playbook di risposta condivisi: le azioni automatiche o semi-automatiche devono essere concordate e testate;
3. AI verificabile: l’automazione deve produrre effetti misurabili su triage, correlazione, priorità e riduzione;
4. Reportistica utile alla governance: gli incidenti devono essere collegati a rischi, controlli, MITRE ATT&CK, NIST o framework equivalenti, così da trasformare i dati tecnici in evidenze utilizzabili per audit, miglioramento continuo e decisioni manageriali;
5. Sovranità e compliance dei dati: localizzazione dei log, subfornitori, retention, accessi e responsabilità devono essere chiariti contrattualmente.

Che impatto hanno NIS2 e DORA sulla scelta del SOC?

NIS2 e DORA rafforzano l’idea che la cybersecurity non sia solo un tema tecnico, ma una responsabilità di governance. La Commissione Europea evidenzia che la NIS2 introduce misure di gestione del rischio e obblighi di segnalazione per più settori critici, mentre DORA rafforza la resilienza operativa digitale del settore finanziario. Esternalizzare un SOC non trasferisce automaticamente la responsabilità legale: l’azienda resta chiamata a dimostrare misure adeguate, controllo sui fornitori, gestione degli incidenti e tracciabilità delle decisioni. Questo punto è coerente anche con i dati a disposizione, secondo cui le violazioni con coinvolgimento di terze parti sono raddoppiate al 30% nel 2025 (Data Breach Investigations Report 2025).

La Direttiva NIS2, all’articolo 21, richiede misure tecniche, operative e organizzative proporzionate al rischio, inclusi incident handling, business continuity, supply chain security, vulnerability management, formazione e controllo degli accessi. DORA, per il settore finanziario, introduce requisiti specifici su resilienza operativa digitale, gestione del rischio ICT, incident reporting, testing e controllo dei fornitori terzi ICT.

Luca Benatti

Product Manager, Cyberoo

LinkedIn

Fonti di riferimento

• ENISA, How to set up CSIRT and SOC, guida pratica per la creazione e il miglioramento di CSIRT e SOC.
• Osservatorio Cyberoo 2026
• Commissione Europea, pagina ufficiale sulla Direttiva NIS2 e sui requisiti di cybersecurity risk management.
• EUR-Lex, Direttiva (UE) 2022/2555 e Regolamento di esecuzione (UE) 2024/2690.
• European Banking Authority ed EIOPA, risorse ufficiali sul Digital Operational Resilience Act.
• MITRE ATT&CK, framework ufficiale per tattiche e tecniche degli avversari.
• Gartner, Market Guide for Managed Detection and Response Services.
• IBM, Cost of a Data Breach Report 2025.
• Verizon, 2025 Data Breach Investigations Report.
• Microsoft, Digital Defense Report 2025.
• ISC2, Cybersecurity Workforce Study 2025.