Considera uno scenario che si verifica più spesso di quanto dovrebbe: un ransomware cripta i sistemi di un distretto scolastico a metà pomeriggio. Il loro provider di Managed Detection and Response (MDR) monitorava l’ambiente da mesi. La violazione comporta comunque settimane di recupero — non perché il rilevamento abbia fallito, ma perché il contratto non garantiva il contenimento.
Questa distinzione, tra un provider che si limita a notificare e uno che agisce, è il principio su cui si basa questa lista. La maggior parte dei provider MDR appare identica durante una presentazione commerciale. Le vere differenze risiedono nelle definizioni degli accordi sui livelli di servizio (SLA), nei modelli di staffing, nelle strutture di prezzo e nel livello di autorità che il provider detiene effettivamente durante un incidente attivo.
Queste 21 domande vanno oltre il linguaggio di marketing e mettono in luce ciò che determina realmente le prestazioni quando conta. Ognuna prende di mira uno specifico punto critico che abbiamo visto far fallire le relazioni MDR, e include una breve spiegazione di ciò che la risposta rivela sul provider che stai valutando.
I provider MDR hanno accesso privilegiato ai sistemi critici e prendono decisioni di contenimento in tempo reale, 24 ore su 24 — il che significa che scegliere quello sbagliato può essere più dannoso che non averne affatto. È proprio questo livello di accesso elevato a rendere insufficiente una valutazione standard di procurement. Dopo due decenni di lavoro a fianco di oltre 25.000 MSP e dei team IT che supportano, abbiamo osservato ripetersi sempre la stessa dinamica: un provider supera ogni demo, passa la checklist di selezione, e fallisce comunque quando un incidente reale mette alla prova la relazione.
21 domande e perché dovresti porle
Staffing e operatività del SOC
1. Quali certificazioni possiedono i vostri analisti SOC e qual è la loro anzianità media?
Un basso turnover e solide credenziali indicano un’operazione matura. Cerca analisti con certificazioni come:
- CISSP (Certified Information Systems Security Professional)
- GIAC (Global Information Assurance Certification)
- GCIH (GIAC Certified Incident Handler Certification)
Riferimenti vaghi ad “analisti esperti” senza dettagli specifici suggeriscono standard di selezione deboli.
2. Qual è il vostro rapporto clienti/analista?
Un provider con 50 analisti per 200 clienti offre un’esperienza diversa rispetto a uno con 10 analisti per 500. Questo numero influisce direttamente su quanta attenzione riceve il tuo ambiente.
3. Il vostro SOC è presidiato o reperibile fuori orario? E quale livello di analista copre il turno notturno?
Gli attaccanti colpiscono spesso fuori orario, quindi la reperibilità introduce ritardi nel rilevamento, mentre il monitoraggio attivo intercetta le minacce in pochi secondi. Ma non conta solo la presenza: conta anche il livello degli analisti. Analisti junior che gestiscono alert da soli alle 2 di notte non hanno le stesse capacità di analisti senior con potere di escalation.
4. Potete fornire referenze clienti attuali e organizzare un tour del SOC o una demo live di un incidente?
Le presentazioni commerciali mostrano il caso migliore. Le referenze e i tour del SOC mostrano la realtà operativa. Chiedi in particolare clienti che abbiano vissuto un incidente reale e come è avvenuto il recupero, non solo il rilevamento.
5. Potete descrivere un incidente reale dalla rilevazione al contenimento?
Questa richiesta va oltre una semplice referenza. Cerca integrazione tra rilevamento, risposta e forensics. Passaggi tra team separati indicano che la stessa frammentazione emergerà anche in un evento reale.
SLA e autorità di risposta
6. Quali sono i vostri MTTD e MTTR documentati negli ultimi 12 mesi, suddivisi per livello di gravità?
Il Mean Time to Detect (MTTD) e il Mean Time to Respond (MTTR) sono gli indicatori più chiari delle prestazioni. I provider che non possono condividere dati storici aggregati per gravità non hanno basi credibili per le loro promesse.
7. Come definite il “tempo di risposta” nel vostro SLA: presa in carico, inizio dell’indagine o completamento del contenimento?
Ogni provider definisce il “tempo di risposta” in modo diverso. Una presa in carico in 15 minuti non serve a nulla se il contenimento richiede otto ore. Chiarisci questa definizione prima di firmare.
8. Quali azioni di contenimento potete eseguire automaticamente e quali richiedono la nostra approvazione?
Richiedere approvazione per ogni azione crea ritardi pericolosi durante un incidente. La vera domanda è se il provider offre remediation attiva o risposta guidata. Azioni urgenti (terminare processi, quarantena file) possono essere pre-autorizzate; interventi più invasivi (isolamento rete, revoca credenziali) dovrebbero richiedere approvazione.
Tecnologia e integrazione
9. Richiedete agent proprietari o potete lavorare con gli strumenti di sicurezza già in uso?
La sostituzione completa della tecnologia crea lock-in e rallenta il deployment. Un’architettura agnostica consente di mantenere ciò che già funziona.
10. La vostra piattaforma supporta la gestione multi-tenant con isolamento a livello cliente?
Per chi gestisce più ambienti, è indispensabile. Serve un portale centralizzato con separazione rigorosa dei dati.
11. Offrite integrazioni native con strumenti PSA e RMM o servono API personalizzate?
Le integrazioni native eliminano la creazione manuale dei ticket e sincronizzano automaticamente gli alert. Le API custom richiedono manutenzione continua e aumentano i punti di errore.
Rilevamento e threat hunting
12. Come utilizzate nello specifico AI e machine learning nel rilevamento, e quale supervisione umana esiste?
Affermazioni generiche sull’AI sono un segnale di rischio. I provider solidi spiegano casi concreti: analisi comportamentale, correlazione dei movimenti laterali, riduzione dei falsi positivi. Devono anche chiarire il ruolo umano.
13. In che modo il vostro programma di threat hunting è allineato al framework MITRE ATT&CK?
Il threat hunting proattivo intercetta minacce che l’automazione non vede. L’allineamento con MITRE ATT&CK indica un approccio strutturato.
Compliance e sicurezza dei dati
14. Quali certificazioni di compliance avete ottenuto tramite enti terzi?
È diverso “supportare” la compliance rispetto ad aver ottenuto certificazioni proprie (SOC 2 Type II, ISO 27001, HIPAA). Richiedi audit recenti (meno di 12 mesi) e il nome dell’ente certificatore.
15. Il vostro servizio include report di compliance o è fuori scope?
Molti provider lo escludono. Se operi in settori regolamentati, verifica la disponibilità di report pronti per audit (NIST, PCI DSS, HIPAA).
16. Dove vengono elaborati e archiviati i nostri dati di sicurezza?
La localizzazione dei dati è cruciale per GDPR e assicurazioni cyber. I provider affidabili mappano chiaramente i flussi e le sedi di archiviazione.
Prezzi e contratti
17. Qual è il massimo che potremmo pagare in un singolo mese?
Serve a far emergere costi nascosti: overage, picchi di consumo, costi legati agli incidenti.
18. Incident response e analisi forense sono inclusi o fatturati a parte?
Se sono extra, c’è un disallineamento di incentivi. Un prezzo basso per endpoint può diventare più alto nel tempo.
19. Quali sono le condizioni di recesso e cosa succede ai nostri dati?
Molti contratti sono sbilanciati. Verifica export dei dati, formato e facilità di migrazione.
Reporting e responsabilità
20. Offrite dashboard in tempo reale e report personalizzabili?
I soli report PDF mensili creano lacune informative. Servono report sia per il management sia per i team tecnici.
21. Offrite una garanzia in caso di violazione e quali esclusioni si applicano?
Le garanzie finanziarie sono rare. Se presenti, analizza bene le esclusioni (negligenza, mancato patching, violazioni di policy) e il processo di richiesta.
Come queste domande si inseriscono in una strategia di sicurezza più ampia
Nessun provider MDR opera in isolamento.
Le domande sopra valutano ciò che accade durante un attacco in corso, ma una solida postura di sicurezza dipende anche da ciò che avviene prima e dopo.
Prima di un attacco, N-able N-central riduce la superficie di attacco automatizzando la distribuzione delle patch su Microsoft e oltre 100 applicazioni di terze parti, eseguendo una gestione continua delle vulnerabilità, applicando policy di sicurezza sugli endpoint su larga scala e fornendo protezione endpoint tramite EDR integrato basato su SentinelOne.
Durante un attacco, Adlumin MDR/XDR garantisce un monitoraggio 24/7 con intelligenza artificiale comportamentale che mitiga autonomamente il 90% delle minacce, mentre analisti SOC umani gestiscono le indagini attive e assicurano piena trasparenza. Adlumin Security Operation si estende anche alla fase “prima”, includendo gestione delle vulnerabilità, protezione delle identità, monitoraggio del dark web e prevenzione ransomware.
Dopo un attacco, Cove Data Protection mantiene operativa l’azienda grazie a backup immutabili nativi cloud, test automatizzati di ripristino e opzioni flessibili di recovery, che vanno dal recupero di singoli file fino al ripristino completo bare-metal. Cove opera anche durante un attacco, con rilevamento delle anomalie, honeypot e notifiche di modifiche critiche alla configurazione, per individuare le minacce prima che sia necessario il ripristino.
Questa copertura è efficace solo quanto il provider che scegli per implementarla. In sintesi: le 21 domande sopra rivelano se un provider è davvero in grado di operare quando conta di più. Affianca alla valutazione MDR un’analisi onesta delle tue capacità di prevenzione e ripristino, e colmerai le lacune su cui fanno leva gli attaccanti. Contattaci per scoprire come un approccio alla cybersecurity end-to-end di N-able integra tutti questi elementi.
Domande frequenti
Quanti provider MDR dovremmo valutare prima di prendere una decisione?
Valutare da tre a cinque provider offre sufficiente varietà per confrontare le risposte tra loro. Meno di tre rende difficile distinguere tra risposte standard e realmente differenzianti.
Qual è una tempistica ragionevole per la valutazione e l’implementazione di un MDR?
La maggior parte delle valutazioni richiede da quattro a otto settimane se strutturata attorno a un set definito di domande. I tempi di implementazione variano in base al provider, ma piattaforme come Adlumin sono progettate per iniziare rapidamente il monitoraggio, raccogliendo log e generando insight senza lunghi cicli di onboarding.
Un provider MDR può sostituire la necessità di personale interno per la sicurezza?
L’MDR elimina la necessità di costruire e gestire un SOC interno completo, ma il tuo team deve comunque gestire il rapporto con il fornitore, analizzare i report e prendere decisioni sul rischio. Il monitoraggio viene esternalizzato; la responsabilità no.
Qual è la differenza tra guided response e active remediation?
La guided response significa che il provider fornisce raccomandazioni e si aspetta che il tuo team agisca. L’active remediation significa che il provider interviene direttamente: isola gli endpoint, disabilita account compromessi e blocca le minacce, fornendo una risoluzione invece di una semplice notifica.
Ogni quanto dovremmo rivalutare il nostro provider MDR dopo la firma?
Revisioni annuali basate sui criteri di valutazione iniziali mantengono il provider responsabile. Monitora trimestralmente i dati di performance degli SLA, i trend di MTTD e MTTR e gli esiti degli incidenti, così che la revisione annuale sia basata su dati concreti e non su impressioni.
Articolo: 21 Questions to Ask Before Choosing an MDR Provider
Autore: N-able blog
