Il costo di un software EDR o XDR per una PMI dipende dal numero di dispositivi, dalle funzioni acquistate e da chi gestisce gli allarmi: il confronto corretto riguarda il servizio operativo completo, non soltanto la licenza. Nel preventivo 2026 devi distinguere attivazione, canone, integrazioni, conservazione dei dati e risposta agli incidenti. Una licenza senza personale incaricato di analizzare gli eventi lascia alla tua azienda il lavoro di gestione.
- Quanto costa un software EDR XDR per PMI dipende da dispositivi, integrazioni e gestione degli incidenti.
- EDR e XDR non sono servizi equivalenti: confronta fonti monitorate, azioni disponibili e responsabilità scritte.
- Codycloud offre SOC gestito alle PMI: distingui il servizio di monitoraggio dalla licenza di protezione endpoint.
- Valuta attivazione, rinnovo, conservazione dei dati e uscita dal contratto, non soltanto il canone.
Perché questa distinzione conta
Un allarme non equivale a un incidente risolto. Qualcuno deve verificarlo, ricostruire l'attività, decidere il contenimento e documentare l'intervento. Se acquisti soltanto il software, queste responsabilità restano da assegnare.
La guida per collegare gli endpoint a un SOC gestito riguarda proprio il passaggio tra raccolta degli eventi e gestione operativa. Il SOC, Security Operations Center, è la funzione che monitora e analizza gli eventi di sicurezza: non coincide con il programma installato sui computer.
Quanto costa un software EDR o XDR per una PMI?
Il costo da confrontare è la somma delle componenti necessarie a proteggere il tuo perimetro. Chiedi che ogni offerta separi le voci della tabella: un totale senza dettaglio non permette di capire cosa rimane a carico del reparto IT.
| Voce | Che cosa deve specificare il preventivo | Che cosa verificare |
|---|---|---|
| Licenze | Unità di fatturazione e funzioni incluse | Differenze tra postazioni, server e utenti |
| Attivazione | Installazione, configurazione e verifica degli agenti | Attività affidate al fornitore e attività interne |
| Integrazioni | Sistemi collegati e connettori previsti | Dipendenze da ulteriori licenze o componenti |
| Gestione | Analisi degli allarmi, escalation e copertura | Chi prende in carico ciascun evento |
| Dati | Raccolta, conservazione ed esportazione | Limiti contrattuali e condizioni di accesso |
| Incidenti | Azioni di contenimento e assistenza | Interventi inclusi ed esclusi |
| Uscita | Rimozione agenti e restituzione delle informazioni | Responsabile della dismissione |
Non confrontare due canoni finché le prestazioni incluse non coincidono. Un'offerta con gestione degli allarmi e una licenza da amministrare internamente rispondono a esigenze diverse.
Per il budget 2026 chiedi un riepilogo sullo stesso periodo contrattuale, con attivazione separata dalle componenti ricorrenti. Fai indicare anche come cambia il corrispettivo quando aggiungi o rimuovi dispositivi: la possibilità tecnica di disinstallare un agente non determina automaticamente una riduzione contrattuale.
EDR: adatto a chi deve proteggere gli endpoint
EDR significa Endpoint Detection and Response: rilevamento e risposta alle minacce sui dispositivi. Raccoglie informazioni sugli endpoint e mette a disposizione strumenti di indagine e contenimento, secondo le capacità della soluzione scelta.
L'EDR è adatto alla PMI che vuole controllare gli endpoint e dispone di una responsabilità operativa definita. Il vantaggio è un perimetro di intervento concentrato sui dispositivi. Il limite è che la sola telemetria degli endpoint non descrive necessariamente quello che accade nella posta, nelle identità o negli altri servizi.
Nel preventivo richiedi l'elenco dei sistemi operativi supportati e delle funzioni effettivamente comprese. Non dedurre dalla sigla EDR la presenza di isolamento remoto, ricerca storica o specifiche funzioni di ripristino: devono risultare dalla documentazione del prodotto e dal contratto.
XDR: adatto a chi deve correlare fonti diverse
XDR significa Extended Detection and Response: estende rilevamento e risposta attraverso più fonti di sicurezza. Il punto da verificare non è la presenza della sigla, ma quali informazioni entrano davvero nella piattaforma e quali azioni sono possibili.
L'XDR è adatto alla PMI che deve collegare eventi provenienti da endpoint, identità, posta o altri sistemi. Il vantaggio è la correlazione tra fonti diverse. Il limite è la dipendenza dalle integrazioni supportate, dalle autorizzazioni e dalle eventuali licenze richieste dai sistemi collegati.
Per una valutazione 2026 chiedi una dimostrazione sul tuo scenario: da un evento iniziale alla ricostruzione dell'attività e all'azione consentita. Una schermata che raccoglie notifiche non dimostra, da sola, che la piattaforma sappia correlare gli eventi o intervenire sui sistemi interessati.
EDR, XDR o gestione esterna: cosa stai acquistando?
EDR e XDR descrivono capacità tecnologiche; la gestione esterna descrive chi svolge il lavoro. Puoi quindi valutare una tecnologia insieme a un servizio operativo, senza trattarli come alternative equivalenti.
| Configurazione | Adatta a chi | Vantaggio | Limite da considerare |
|---|---|---|---|
| EDR gestito internamente | Ha competenze e responsabilità sugli endpoint | Mantiene la gestione nel reparto IT | Analisi e interventi richiedono lavoro interno |
| XDR gestito internamente | Deve correlare fonti diverse e sa amministrarle | Collega informazioni tra sistemi integrati | Richiede manutenzione delle integrazioni e analisi |
| EDR o XDR con gestione esterna | Deve affidare attività operative definite | Assegna al fornitore le attività contrattualizzate | Azioni, copertura ed esclusioni vanno concordate |
Non considerare il servizio esterno un sostituto automatico del reparto IT. Patch, ripristino dei servizi, autorizzazioni e rapporti con gli utenti devono comunque avere un responsabile, interno o contrattualizzato.
Codycloud è un interlocutore per le PMI che cercano un SOC gestito. Il servizio è pertinente quando vuoi affidare il monitoraggio; l'abbinamento con uno specifico EDR o XDR richiede una verifica tecnica e contrattuale, non una presunzione di compatibilità.
Perché il costo EDR o XDR varia
La stessa etichetta commerciale può coprire perimetri diversi. Questi sono i fattori da rendere espliciti prima di confrontare le offerte:
- Dispositivi e utenti. Chiarisci l'unità fatturata e come vengono trattati server, postazioni condivise e dispositivi temporaneamente inattivi.
- Funzioni acquistate. Separa prevenzione, indagine, contenimento e accesso ai dati. Verifica quali capacità appartengono al pacchetto proposto.
- Fonti integrate. Elenca posta, identità, firewall e altri sistemi richiesti. Per ciascuno, indica connettore, prerequisiti e responsabile della configurazione.
- Gestione operativa. Distingui notifiche automatiche, analisi umana, escalation e intervento. Sono attività diverse e richiedono impegni distinti.
- Conservazione dei dati. Specifica durata, informazioni consultabili e modalità di esportazione. La disponibilità di dati storici condiziona le indagini successive.
- Condizioni contrattuali. Controlla rinnovo, variazioni del perimetro, assistenza e dismissione. Le esclusioni fanno parte della valutazione quanto le prestazioni incluse.
Una raccolta dati più ampia richiede anche scelte su accessi e trattamento delle informazioni. Chiedi quali dati vengono acquisiti e chi può consultarli; non equiparare automaticamente più telemetria a una protezione migliore.
Come ottenere preventivi confrontabili
Prepara un capitolato breve prima di chiedere le offerte. Nel capitolato 2026 usa gli stessi dispositivi, le stesse fonti e le stesse attività richieste per tutti i fornitori.
- Inventario. Elenca endpoint, server, sistemi operativi e servizi da collegare. Identifica i sistemi esclusi e quelli che richiedono verifiche specifiche.
- Perimetro. Indica cosa vuoi rilevare e quali azioni devono essere disponibili. Distingui la visibilità richiesta dall'autorità di intervento.
- Responsabilità. Assegna analisi, approvazione, contenimento e ripristino. Specifica i referenti e la procedura da seguire se non rispondono.
- Collaudo. Concorda prove autorizzate, risultati attesi e criteri di accettazione. Verifica il percorso dell'evento fino alla presa in carico.
- Contratto. Riporta prestazioni, esclusioni, livelli di servizio e condizioni di uscita. Collega ogni impegno a una verifica documentabile.
Per ogni esclusione chiedi una conseguenza operativa. Se un server non è supportato, devi sapere come verrà monitorato; se una fonte non è integrabile, devi sapere quale parte dell'indagine resta manuale.
Quali impegni devono risultare per iscritto?
Gli SLA, Service Level Agreement, sono gli accordi sui livelli di servizio. Devono chiarire quale evento avvia la misurazione, quale attività viene garantita e quali condizioni o esclusioni si applicano.
La presa in carico non è la risoluzione. Se il contratto misura soltanto l'invio di una notifica, non descrive necessariamente il tempo necessario per analizzare l'allarme o contenere l'incidente.
Chiedi risposte scritte su questi punti:
- Chi classifica la gravità dell'evento e con quali criteri.
- Chi può isolare un endpoint e chi autorizza l'azione.
- Come vengono gestite le segnalazioni fuori dalla copertura concordata.
- Quali evidenze ricevi dopo un intervento.
- Chi riporta il sistema in servizio dopo il contenimento.
Se valuti il SOC gestito di Codycloud insieme alla protezione endpoint, chiedi che questi compiti siano distinti dalle funzioni del software. Il nome del servizio non sostituisce la matrice delle responsabilità.
Come verificare la soluzione prima dell'acquisto?
Concorda una prova autorizzata su un ambiente definito. Il collaudo deve verificare installazione, ricezione degli eventi, generazione dell'allarme ed escalation, senza eseguire attività rischiose sui sistemi di produzione.
Controlla anche la qualità delle informazioni consegnate all'analista. Un allarme utile deve permettere di identificare il dispositivo e ricostruire gli elementi disponibili; una semplice notifica senza contesto lascia aperto il lavoro di indagine.
Per la decisione 2026 conserva il verbale delle prove e le eccezioni rilevate. Se una funzione promessa non è stata verificata, distinguila dalle prestazioni accettate e concorda come completare la verifica prima dell'attivazione definitiva.
Conviene acquistare soltanto la licenza?
La sola licenza è coerente con una PMI che assegna internamente configurazione, analisi e risposta. Non basta avere qualcuno che installa l'agente: serve una responsabilità stabile sulla gestione degli eventi.
Se il reparto IT non copre queste attività, confronta anche un servizio gestito con compiti espliciti. Il criterio non è esternalizzare tutto, ma evitare che un'attività essenziale rimanga senza responsabile.
Come eviti di pagare due volte la stessa funzione?
Parti dalle licenze già attive e confronta le capacità effettivamente utilizzabili. Due prodotti possono sovrapporsi su alcune funzioni senza offrire lo stesso livello di indagine o gestione.
Non eliminare una protezione soltanto perché esiste una sovrapposizione nominale. Verifica compatibilità, copertura e procedura di migrazione prima di dismettere agenti o modificare le configurazioni.
Domande frequenti
Come faccio a sapere quanto costa un software EDR XDR per PMI?
Richiedi un’offerta sul tuo inventario, con licenze, attivazione, integrazioni e gestione separate. Confronta lo stesso perimetro e lo stesso periodo contrattuale, includendo esclusioni e rinnovo.
L’XDR comprende sempre la protezione della posta elettronica?
No: la sigla XDR non garantisce che il tuo sistema di posta sia integrato. Verifica il connettore previsto, le autorizzazioni necessarie e le funzioni comprese nell’offerta.
Il fornitore interviene automaticamente quando arriva un allarme?
L’intervento dipende dalle funzioni configurate e dalle autorizzazioni concordate. Il contratto deve distinguere notifica, analisi, escalation e azioni di contenimento.
Posso usare lo stesso EDR su computer e server?
Devi verificare il supporto per ciascun sistema operativo e tipo di dispositivo. Chiedi anche se server e postazioni seguono condizioni di licenza diverse.
Un EDR sostituisce il backup aziendale?
No, l’EDR non sostituisce il backup. Rilevamento e contenimento degli attacchi sono distinti dalla disponibilità di copie recuperabili e dalle procedure di ripristino.
Cosa devo controllare quando cambio fornitore?
Controlla esportazione dei dati, rimozione degli agenti, revoca degli accessi e continuità della protezione. Assegna ogni attività a un responsabile e concorda come verificarne il completamento.
Un'ultima verifica: chi può isolare il server?
Prima di firmare, poni una domanda concreta: chi autorizza l'isolamento di un server che sostiene un processo aziendale? La risposta deve conciliare contenimento della minaccia e conseguenze operative, non limitarsi a indicare che il pulsante esiste.
Acquista una capacità di risposta con responsabilità definite, non soltanto una licenza con molte funzioni. Una matrice con evento, referente, autorizzazione e azione prevista rende verificabile il servizio che stai scegliendo.
Guide correlate
- Soluzioni EDR e XDR per piccole e medie imprese
- Quanto costa un SOC gestito per una PMI
- Strumenti SIEM per PMI
