Detection and response tra cloud, AI e sovranità del dato

Coi servizi gestiti di sicurezza la telemetria, la sua correlazione e una parte crescente delle decisioni si spostano all’esterno. Più il presidio diventa esteso e affidato a terzi, più conta sapere dove quei dati vengono trattati e secondo quali regole. Sono soprattutto il cloud e l’AI a porre la questione, perché spostano fuori dall’azienda l’elaborazione dei dati e parte delle decisioni, con domande nuove su controllo, sovranità e affidabilità.

La sovranità del dato come ulteriore criterio di scelta

Il cloud è oggi la modalità di erogazione prevalente della detection and response. Circa due terzi delle installazioni EDR sono gestite in modalità “cloud-native” (fonte: Mordor Intelligence).

Affidare a una piattaforma esterna la correlazione di eventi che arrivano da identità, posta ed endpoint vuol dire però consegnare informazioni sensibili sulla propria protezione. Dove e secondo quali leggi quei dati vengono trattati pesa, quindi, sulla valutazione del rischio, perché in gioco ci sono normative come GDPR, NIS2, DORA, Cyber Resilience Act.

Con i servizi gestiti il problema si acuisce, perché all’esterno non finiscono solo i dati ma anche il SOC che li analizza. La sovranità del dato diventa così un criterio di scelta, accanto all’efficacia di rilevamento, e alimenta l’interesse per le architetture ibride, che tengono in locale i dati più critici e affidano al cloud la sola scalabilità analitica.

L’AI nel SOC, tra efficienza e rischio

L’AI è un ulteriore motore di trasformazione. Si afferma un modello di agentic SOC, in cui agenti dotati di autonomia crescente classificano e arricchiscono le segnalazioni ed, entro limiti definiti, avviano il contenimento.

Gartner misura questa evoluzione su una scala di autonomia progressiva e stima un guadagno di efficienza del SOC intorno al 40% evidenziando soprattutto l’impatto dell’uso degli agenti AI nella gestione dei falsi positivi.

I vantaggi hanno però un rovescio. Più sale l’autonomia, meno prevedibili sono gli esiti e minore è il controllo umano. Le decisioni opache degli agenti complicano conformità e verificabilità e questo è un problema che si aggrava quando a prenderle è un fornitore esterno.

L’AI, inoltre, agevola anche gli attaccanti nell’automatizzare fasi manuali e nel costruire campagne di phishing e social engineering più credibili. I sistemi basati su AI portano anche vulnerabilità proprie: dal data poisoning al model evasion, fino al prompt injection sugli agenti. Per questo la supervisione umana resta un requisito irrinunciabile e le azioni più impattanti devono prevedere la validazione di un analista.

Delegare la gestione, non la sicurezza

In questo scenario di attacchi in crescita, normative che premono e scenari che mutano sotto la spinta dell’AI delegare la gestione operativa a servizi di MDR e MxDR non equivale a mettere al sicuro l’azienda. La sicurezza non si delega con un contratto, perché i temi in gioco sono più ampi e legati tra loro.

Il ricorso ai servizi gestiti va quindi inquadrato come un tassello di un approccio integrato alla protezione, non come la soluzione in sé. In altre parole, la gestione della detection and response può stare all’esterno, ma la governance deve restare dentro la strategia dell’azienda, perché solo così è possibile tenere insieme le diverse misure e garantire la continuità del business. È il passaggio a un modello più ampio, quello della cyber resilienza.

In questa prospettiva, azienda sicura non vuol dire inattaccabile né impenetrabile. Vuol dire sufficientemente protetta da attacchi e minacce, capace di assorbire gli attacchi andati a buon fine senza frantumarsi e di tornare operativa nel minor tempo possibile. È il senso della cyber resilienza ed è in questo contesto che dovrebbero convergere anche EDR, XDR e MDR.

I “MODI” DEL SOC SECONDO GARTNER

• Modo 0: lavoro prevalentemente manuale, con intervento umano su quasi ogni passaggio.
• Modo 1: SOC semi-automatizzato, quello adottato oggi dalla maggior parte dei team, con SOAR, XDR e playbook che guidano smistamento, arricchimento e risposta.
• Modo 2: lavoro aumentato, con assistenti AI che riassumono gli alert, rispondono a interrogazioni in linguaggio naturale e suggeriscono azioni, mentre la persona mantiene il controllo.
• Modo 3: flussi autonomi, con agenti AI che gestiscono caccia alle minacce, rilevamento, indagine e remediation senza intervento umano, con la massima efficienza ma anche con esiti meno prevedibili.

Fonte: Gartner Security Summit 2026, via Conifers. CLICCA QUI