Un MSSP è un fornitore che si prende la responsabilità operativa della sicurezza, non che vende licenze e augura buona fortuna.
La differenza fra comprare un antivirus e avere la sicurezza gestita è chi guarda gli allarmi. Gli strumenti li vendono tutti; il punto è che alle tre di notte, quando l'EDR segnala una cifratura anomala su un file server, qualcosa la fermi davvero, e che al mattino ci sia qualcuno che va a vedere cos'era, invece di una console piena di segnalazioni che non apre nessuno.
Facciamo questo per PMI manifatturiere e di servizi fra Cittadella, Camposampiero, Castelfranco Veneto e Bassano del Grappa: aziende che hanno dati, macchinari e clienti da proteggere ma non hanno, e non avranno mai, un analista di sicurezza in organico.
Protezione degli endpoint che non si limita a riconoscere i virus noti ma osserva i comportamenti: un processo che comincia a cifrare file a raffica viene fermato anche se nessuno l'ha mai visto prima.
Firewall, VPN e segmentazione configurati e mantenuti nel tempo, con le regole riviste quando l'azienda cambia e non solo il giorno dell'installazione.
Scansioni periodiche di sistemi e servizi esposti, con un elenco di cosa correggere ordinato per rischio reale e non per punteggio teorico.
La posta è ancora il primo canale d'ingresso. Filtri, autenticazione del dominio e verifica periodica dei record che dicono al mondo chi può scrivere a nome vostro.
Un rivenditore vi vende il prodotto e vi lascia la console. Un MSSP tiene la console, guarda quello che ci passa dentro e risponde di quello che succede. È una differenza di responsabilità, non di catalogo: gli strumenti possono anche essere gli stessi.
In concreto significa che gli allarmi arrivano a noi, che qualcuno li qualifica invece di lasciarli accumulare, e che quando serve isolare una macchina lo facciamo senza aspettare l'autorizzazione scritta in tripla copia. Le regole di ingaggio si concordano prima, per iscritto, proprio perché in emergenza non c'è tempo di discuterle.
Se in azienda nessuno sa dire chi apre la console di sicurezza, e ogni quanto, quella console non la apre nessuno. È il punto da cui partire, prima di qualunque acquisto.
Molte delle misure che servono per non farsi bloccare la produzione sono le stesse che servono per stare in regola: controllo degli accessi, tracciamento dei log, gestione delle vulnerabilità, formazione del personale. Conviene affrontarle una volta sola, con un progetto che tiene insieme le due esigenze.
Se l'azienda rientra nel perimetro NIS2, o è nella filiera di fornitura di chi ci rientra, quelle misure smettono di essere buone pratiche e diventano obblighi con responsabilità in capo agli amministratori.
Un MSP (Managed Service Provider) gestisce l'infrastruttura: server, rete, postazioni, help desk. Un MSSP (Managed Security Service Provider) gestisce la sicurezza: rilevamento delle minacce, risposta agli incidenti, vulnerabilità, conformità.
Le due cose si sovrappongono e in una PMI conviene quasi sempre che le faccia lo stesso fornitore, perché la sicurezza applicata da qualcuno che non conosce l'infrastruttura produce regole che poi qualcun altro disattiva per far funzionare il gestionale. Noi facciamo entrambe le cose sullo stesso perimetro.
Un antivirus riconosce quello che è già stato catalogato come pericoloso. Gli attacchi che fermano le aziende oggi arrivano da credenziali rubate, accessi remoti lasciati aperti e allegati che nessun catalogo ha mai visto: nulla di tutto ciò assomiglia a un virus noto.
Serve un livello che guardi i comportamenti anziché le firme, e soprattutto serve qualcuno che legga quello che quel livello segnala. Un EDR con la console che non apre nessuno non protegge molto più di un antivirus.
Le misure che tolgono il rischio più grosso si mettono in piedi tipicamente nell'arco di poche settimane: copertura degli endpoint, backup verificato con un ripristino di prova, accessi remoti chiusi, autenticazione a due fattori sulla posta. Sono quelle che cambiano davvero la probabilità di fermarsi.
Il resto è un percorso: segmentazione della rete, gestione delle vulnerabilità, formazione delle persone. Diffidate di chi promette la sicurezza chiavi in mano in una settimana: quello che si installa in una settimana è un prodotto, non una postura.
Succede, ed è per questo che la parte di risposta conta quanto quella di prevenzione. Le regole di ingaggio si concordano prima: chi decide di isolare una macchina, chi avvisa la direzione, chi parla con i clienti, entro quando va fatta la notifica al Garante se ci sono dati personali coinvolti.
Abbiamo pubblicato il modello che usiamo come Piano di Risposta agli Incidenti: è scaricabile gratuitamente dal sito e potete adottarlo anche senza di noi.
Il primo passo è un assessment gratuito dell'infrastruttura: veniamo in azienda, guardiamo com'è messa e ti lasciamo un report scritto. Senza impegno, e il report resta tuo anche se poi non se ne fa nulla.