EDR per PMI di Torino: la difesa endpoint che supera i vecchi antivirus

Nel 2026 la sicurezza informatica delle PMI di Torino non si gioca più sull'antivirus tradizionale. Si gioca sulla capacità di vedere in tempo reale cosa succede su ogni computer aziendale e di reagire prima che un attacco si propaghi. Questa è la promessa dell'EDR (Endpoint Detection and Response): una tecnologia di sicurezza endpoint che monitora continuamente i processi in esecuzione, rileva comportamenti sospetti — anche quando il codice malevolo non corrisponde a nessuna firma conosciuta — e permette al team IT di isolare il dispositivo compromesso in pochi secondi.

La differenza tra un antivirus tradizionale e un EDR è radicale. L'antivirus confronta i file presenti sul disco con un database di firme di malware noti: se non trova corrispondenze, lascia passare. L'EDR osserva il comportamento del sistema operativo: chi sta accedendo ai file, quali processi figli vengono generati, quali connessioni di rete vengono aperte, se PowerShell sta scrivendo codice cifrato in memoria. Un ransomware moderno può facilmente eludere un antivirus a firme; non può evitare di mostrare il proprio comportamento a un EDR ben configurato.

Secondo l'Agenzia per la Cybersicurezza Nazionale, oltre il 60% degli incidenti gravi rilevati nel 2025 contro PMI italiane è iniziato da un endpoint compromesso — laptop, desktop o server aziendale. AscenSys, società IT di Torino e partner ufficiale ESET, accompagna le PMI di Torino e del Piemonte nella transizione dalla sicurezza endpoint tradizionale a una protezione EDR gestita, attiva 24 ore su 24, integrata con il resto dell'infrastruttura aziendale.

Quando una PMI di Torino subisce un incidente di sicurezza, in larga parte dei casi un antivirus a firme era installato e funzionante. Eppure l'attacco è passato. Le ragioni sono note agli specialisti ma raramente discusse con gli imprenditori, che continuano a pensare di essere protetti perché vedono l'icona dell'antivirus nella system tray. Capire quali sono i limiti strutturali della protezione tradizionale è il primo passo per decidere se è il momento di passare a una difesa endpoint moderna.

Limite 1 — Il malware sconosciuto passa indisturbato

Un antivirus tradizionale confronta i file con un database di firme — milioni di varianti note di virus, trojan, ransomware. Ma ogni giorno nascono decine di migliaia di nuove varianti, spesso generate automaticamente da framework di attacco che modificano il codice per evadere le firme. Il malware che colpisce una PMI piemontese può essere stato compilato la mattina stessa: il database dell'antivirus non lo conosce ancora, quindi lo lascia eseguire. Un EDR non si basa sulla firma del file ma sul comportamento del processo — e un processo che cifra rapidamente migliaia di file è sospetto qualunque sia il suo nome.

Limite 2 — Gli attacchi fileless non lasciano traccia su disco

Gli attacchi moderni sempre più spesso non scrivono nessun file malevolo sul disco. Sfruttano strumenti legittimi già presenti su Windows — PowerShell, WMI, mshta — per eseguire codice direttamente in memoria. Un antivirus a firme non ha nulla da scansionare: il file dannoso semplicemente non esiste. Un EDR osserva la catena di processi e riconosce che PowerShell sta scaricando ed eseguendo codice da un dominio sconosciuto, oppure che Word ha appena lanciato cmd.exe per scrivere uno script — comportamenti che nessun uso legittimo dell'applicazione produrrebbe.

Limite 3 — Nessuna visibilità sulla catena dell'attacco

Quando un antivirus blocca una minaccia, mostra un messaggio con il nome del file e poi lo cancella. Ma cosa è successo prima? Da quale email è arrivato l'allegato? Quale utente lo ha aperto? Si è propagato ad altri computer della rete? L'antivirus non lo sa. Un EDR registra ogni evento di ogni endpoint per giorni o settimane, permettendo al team di sicurezza di ricostruire l'intera catena di attacco — pre-condizioni, vettore di ingresso, propagazione laterale, esfiltrazione dei dati — e di chiudere le falle che hanno permesso l'incidente.

Limite 4 — Tempo di risposta troppo alto

Anche quando l'antivirus rileva qualcosa, il messaggio di alert finisce nella console di un IT manager che spesso non lo vede prima di ore o giorni. Un ransomware moderno può cifrare l'intero file server di una PMI in 15-30 minuti. Un EDR gestito da un SOC esterno — come quello di AscenSys — garantisce risposta entro pochi minuti dall'evento sospetto: isolamento dell'endpoint dalla rete, blocco del processo, notifica al cliente, avvio dell'analisi forense.

AscenSys eroga un servizio EDR gestito basato su ESET PROTECT Enterprise e ESET Inspect, due tecnologie integrate che combinano protezione endpoint avanzata e analisi comportamentale dei processi in tempo reale. La gestione è completa: non vendiamo licenze e ce ne andiamo, ma seguiamo l'intero ciclo — configurazione, monitoraggio quotidiano, risposta agli incidenti, reporting periodico al cliente.

Il percorso operativo si articola in cinque fasi:

1. Assessment endpoint iniziale — Mappiamo tutti gli endpoint aziendali (PC, laptop, server, terminali RealWear, dispositivi di stampa critici), valutiamo le protezioni in essere, identifichiamo gli endpoint scoperti o con software obsoleto. Questa fase produce un report di rischio che evidenzia le priorità di intervento.
2. Deploy della piattaforma EDR — Installiamo gli agenti ESET su tutti gli endpoint, configuriamo la console centralizzata e le policy di sicurezza adattate al settore della PMI (manifatturiero, studi professionali, distribuzione). Le policy seguono il principio del minimo privilegio: ogni processo può fare solo ciò che il suo ruolo legittimo richiede.
3. Tuning delle regole comportamentali — Le prime due settimane sono dedicate al fine-tuning: riconosciamo i comportamenti normali degli applicativi aziendali (gestionale, software CAD, ERP Odoo, Microsoft 365) per evitare falsi positivi, e calibriamo le soglie di alert sulle minacce reali del settore. Senza questa fase un EDR diventa una sorgente di rumore.
4. Monitoraggio 24/7 dal nostro SOC — Gli alert vengono ricevuti e analizzati dal team di sicurezza AscenSys e dal SOC ESET. Sospetti veri vengono escalati al cliente con una proposta di risposta entro 15 minuti. In caso di compromissione confermata, isoliamo l'endpoint dalla rete in tempo reale per bloccare la propagazione.
5. Reporting mensile e ottimizzazione continua — Ogni mese il cliente riceve un report dettagliato con eventi rilevati, tempo medio di risposta, endpoint a rischio e raccomandazioni di hardening. Le regole vengono raffinate sulla base degli eventi reali della rete del cliente, non su scenari teorici.

Il team AscenSys è basato a Torino e supporta le PMI piemontesi sia da remoto sia in presenza nelle aziende di tutta la provincia. Per un assessment endpoint gratuito chiama il 011 800 1449 o scrivi a generale@ascensys.it.

Per dare misura concreta della differenza tra una protezione endpoint moderna e un antivirus a firme, analizziamo cinque dimensioni tecniche che distinguono i due approcci. Questa comparazione aiuta gli imprenditori e i responsabili IT a capire se la protezione attualmente in uso è ancora adeguata al panorama di minacce del 2026.

1. Logica di rilevamento

L'antivirus tradizionale rileva minacce note tramite firme digitali — se il file corrisponde a una variante conosciuta, viene bloccato. L'EDR analizza il comportamento: una catena di eventi sospetta (esempio: Outlook lancia PowerShell che si connette a un IP sconosciuto e scarica codice cifrato) viene rilevata anche se nessun singolo file è classificato come malevolo. Questo approccio cattura il malware zero-day e gli attacchi fileless.

2. Visibilità e telemetria

L'antivirus produce un log essenziale: rilevamenti e quarantene. L'EDR raccoglie telemetria completa di ogni endpoint — processi avviati, file aperti, modifiche al registro, connessioni di rete, accessi privilegiati — e conserva i dati per settimane. In caso di incidente, questa telemetria permette di rispondere alla domanda fondamentale: cosa è successo realmente, dove e quando.

3. Capacità di risposta

L'antivirus può cancellare un file o metterlo in quarantena. L'EDR può isolare un endpoint dalla rete con un click, terminare processi sospetti, ripristinare file alterati, raccogliere un'immagine forense del sistema per analisi successiva. La risposta è chirurgica e rapida, e può essere automatizzata su criteri predefiniti.

4. Integrazione con altre difese

Gli antivirus operano in isolamento sul singolo endpoint. Le piattaforme EDR moderne si integrano con firewall, gateway email, identity provider (Microsoft Entra ID) e SIEM. Una correlazione di eventi tra firewall, email e endpoint può rivelare un attacco multi-vettore invisibile a ogni singola difesa.

5. Costo totale di un incidente

Secondo dati Clusit, il costo medio di un incidente ransomware su una PMI italiana di 30-50 dipendenti supera ampiamente i 100.000 euro tra riscatto, downtime, recupero dati e perdita reputazionale. Un servizio EDR gestito di livello professionale ha un costo ricorrente molto inferiore a una frazione di quel rischio, e in genere si ripaga al primo incidente bloccato — incidente che senza EDR sarebbe diventato fermo operativo e potenziale violazione GDPR.