🛡️ SIEM e EDR: perché oggi non basta più un semplice antivirus in azienda

Nel 2025 la sicurezza informatica è una priorità anche per le piccole realtà. Oggi anche una microimpresa con 5 postazioni o uno studio professionale può diventare bersaglio di un attacco ransomware, di una violazione dei dati o di un accesso non autorizzato.

Questo vale in modo ancora più marcato per le aziende della provincia di Torino, dove sono in forte crescita gli attacchi mirati alle PMI non dotate di una protezione informatica evoluta.

La realtà? Un semplice antivirus non basta più. È tempo di parlare seriamente di EDR e SIEM — due tecnologie alla base di qualsiasi sistema di cybersecurity moderno.

Molte imprese torinesi si affidano ancora a soluzioni antivirus tradizionali: economiche, semplici, apparentemente sufficienti. In realtà non lo sono — e i numeri lo dimostrano.

Gli antivirus classici funzionano con un approccio a firma: confrontano ogni file con un database di malware noti. Questo approccio era efficace quando i virus si diffondevano lentamente e i criminali usavano gli stessi strumenti per anni. Oggi i gruppi ransomware modificano il codice ogni 24-48 ore, creando varianti che nessun database di firme ha ancora catalogato. Un file Excel con macro malevola, un PDF che sfrutta una vulnerabilità zero-day, uno script PowerShell eseguito da un account legittimo: l'antivirus tradizionale non segnala nulla.

Quattro scenari reali che si verificano nelle PMI italiane ogni settimana. Un dipendente riceve un allegato da un indirizzo noto (compromesso) e lo apre: l'antivirus non rileva nulla perche il file usa una tecnica di obfuscation recente. Credenziali aziendali compaiono sul dark web dopo una violazione di un servizio SaaS: vengono usate per accedere al gestionale aziendale alle 3 di notte, nessun alert. Un attaccante si posiziona nella rete per 3 settimane, mappando i file critici prima di cifrare tutto con ransomware: l'antivirus non vede il movimento laterale. Un fornitore esterno porta un PC infetto in rete per un aggiornamento: la comunicazione verso un server C2 estero passa inosservata.

In tutti questi casi, l'antivirus classico non segnala nulla. Ci vogliono EDR e SIEM.

🛡️ EDR – Endpoint Detection & Response

L'EDR è l'evoluzione dell'antivirus: monitora costantemente ogni dispositivo e interviene in tempo reale su attività sospette.

• Blocca minacce ignote, anche senza aggiornamenti firma
• Analizza il comportamento anomalo di processi e utenti
• Interviene automaticamente: isola il dispositivo, segnala l'incidente
• È gestibile in cloud, senza reparto IT interno

📊 SIEM – Security Information and Event Management

Il SIEM raccoglie e analizza tutti i log di sicurezza della rete aziendale:

• Individua attacchi silenziosi o persistenti
• Analizza tentativi di accesso anomali e movimenti laterali
• Crea alert dettagliati per il responsabile IT
• Supporta la conformità normativa (GDPR, NIS2)

Per una microimpresa o uno studio professionale senza reparto IT interno, EDR e SIEM possono sembrare strumenti da grandi aziende. Non lo sono piu: le versioni cloud-managed accessibili oggi permettono di avere protezione enterprise a costi proporzionati.

Con EDR attivo: ogni PC aziendale esegue un agente leggero che monitora il comportamento di ogni processo in tempo reale. Quando un processo inizia a cifrare file rapidamente (pattern tipico di ransomware), l'agente lo blocca e isola il dispositivo dalla rete — automaticamente, in secondi, senza bisogno di un tecnico presente. Il tempo medio di contenimento di un incidente con EDR gestito è 4-8 minuti. Senza EDR, il ransomware si diffonde in media per 4-6 ore prima che qualcuno se ne accorga.

Con SIEM attivo: tutti i log di sicurezza — accessi a SharePoint, login VPN, query sui database, traffico di rete — vengono aggregati e correlati. Il SIEM rileva pattern anomali che nessun singolo tool individua: un account che scarica 2 GB di file alle 23:00, tre tentativi di login falliti seguiti da uno riuscito da un IP straniero, un processo che apre 500 file in 30 secondi. Ogni correlazione genera un alert prioritizzato che AscenSys gestisce proattivamente.

Conformità normativa: sia NIS2 che GDPR richiedono capacita di rilevamento delle minacce e di risposta agli incidenti documentata. EDR e SIEM, con il logging centralizzato, forniscono esattamente l'evidenza richiesta in caso di audit o di notifica di un data breach al Garante.

Sono due sigle che compaiono in quasi tutte le offerte di sicurezza, e che spesso vengono vendute come prodotti quando il valore sta quasi tutto nel servizio che ci gira intorno. Ecco cosa verificare prima di firmare.

Chi legge gli allarmi, e in quanto tempo

Uno strumento di rilevamento produce segnalazioni ventiquattro ore su ventiquattro. Se nessuno le guarda di notte e nel fine settimana — quando la maggior parte degli attacchi si muove — hai comprato un registratore, non una difesa. Chiedi orari di presidio e tempi di reazione scritti.

Chi può fermare la macchina, e senza chiedere permesso a chi

Quando un computer comincia a cifrare file, i minuti contano. Deve essere chiaro in anticipo chi ha l'autorità di isolarlo dalla rete e se può farlo senza attendere l'autorizzazione del titolare alle tre di notte. È una decisione organizzativa, non tecnica, e va presa prima.

Per quanto tempo restano i log

Serve a rispondere a una domanda molto concreta dopo un incidente: da dove sono entrati, e da quanto tempo erano dentro. Se i dati vengono conservati poche settimane, quella ricostruzione diventa impossibile proprio nei casi peggiori, che sono quelli che covano a lungo.

Che cosa succede quando parte un falso allarme

Un sistema che segnala troppo viene ignorato nel giro di un mese. La fase di taratura sulle abitudini reali della tua azienda è parte del lavoro, non un extra: chiedi quanto dura e chi la fa.

Che cosa vedi tu, che non sei un tecnico

Un rapporto periodico leggibile, con cosa è stato rilevato e cosa è stato fatto, è il modo in cui un titolare controlla di stare pagando per un servizio che esiste davvero.

Come lavoriamo noi

AscenSys non rivende una licenza e ti lascia solo: nei contratti FullCare365 il rilevamento comportamentale è affiancato da presidio 24/7, procedure di isolamento concordate in anticipo, SLA garantiti e un rapporto periodico leggibile. Per le microimprese e gli studi di Torino il check-up gratuito è il modo più rapido per capire se quello che hai oggi copre davvero queste sei cose.