Il mercato dei servizi gestiti sta vivendo una crescita sostenuta: quali fattori la stanno guidando e come si sta evolvendo la domanda da parte delle aziende italiane?

Per anni, la logica della sicurezza gestita è stata lineare: affidare all’esterno attività difficili o poco convenienti da gestire internamente. Un presidio 24/7 era costoso, le competenze specialistiche difficili da trovare e gli stack tecnologici complessi da gestire. Queste ragioni restano valide, ma non bastano più a spiegare l’evoluzione del mercato.

Il cambiamento più interessante è il passaggio dall’outsourcing di singole attività all’accesso a capacità operative. Le aziende non cercano semplicemente qualcuno che monitori l’infrastruttura: devono garantire continuità alle security operations tra cloud, identità, endpoint, reti, IT e OT, mentre minacce, tecnologie e priorità evolvono. AI e automazione cambiano a loro volta l’economia delle security operations e la distribuzione dei compiti.

In Italia, la NIS2 alza le aspettative su resilienza, governance e responsabilità del management. L’instabilità geopolitica aggiunge un’altra dimensione: dove risiedono le capacità critiche, chi le controlla e quali dipendenze esistono tra provider, tecnologie e giurisdizioni.

Quando un provider ha visibilità continua sui sistemi critici e partecipa a detection, investigation e response, diventa parte dell’infrastruttura di sicurezza. Dove opera, come gestisce i dati e quale controllo mantiene il cliente diventano quindi elementi della gestione del rischio cyber.

Cambia anche ciò che le aziende dovrebbero aspettarsi da un MSSP – Managed Security Service Provider. Alert monitorati, incidenti gestiti, ticket chiusi e tempi di risposta restano metriche utili, ma l’attività non equivale al risultato.

I risultati sono solo l’apice del processo e sono legati aquanto rapidamente vengono identificate e contenute le minacce, se si riducono le escalation non necessarie, se vulnerabilità ed esposizioni vengono valutate nel loro contesto, e se l’organizzazione diventa più resiliente.

IDC evidenzia proprio questa evoluzione: l’integrazione tra exposure management e detection and response porta vulnerabilità, superficie di attacco e criticità degli asset nei workflow di investigation, favorendo valutazioni più accurate, meno escalation e una riduzione continua del rischio.

Per farlo, il monitoraggio non basta. Le security operations devono integrare intelligence, engineering, incident response, exposure management e competenze specialistiche. AI e automazione possono assorbire attività ripetitive, ma non rendono meno importante l’expertise: cambiano dove genera valore.

Più le macchine diventano efficaci nell’elaborare segnali, più le persone diventano importanti nell’ingegnerizzare il sistema, comprendere il contesto, analizzare le ambiguità e stabilire ciò che conta davvero.

Questa è la logica alla base di HyperSOC® di HWG Sababa - l’unico provider italiano posizionato come Major Player nell’IDC MarketScape: Worldwide MDR Service for Midmarket 2026. HyperSOC®. Si tratta di un modello integrato che combina persone, tecnologia, intelligence e automazione negli ambienti IT, OT, IoT, cloud e ibridi. Al centro c’è PULSE™, piattaforma proprietaria, sviluppata sulla base di oltre 15 anni di esperienza operativa per orchestrare e automatizzare i processi di sicurezza.

L’obiettivo non è però creare un ecosistema chiuso. La maggior parte delle organizzazioni opera già in ambienti multi-vendor: la sfida è far lavorare insieme questi investimenti e adattare le security operations al contesto specifico di azione.

In questo scenario, come si distingue la vostra offerta e quale modello di partnership proponete a reseller e MSP per portarla sul mercato?

Con l’aumento della specializzazione, replicare internamente tutte le competenze diventa difficile e non sempre necessario. Reseller, system integrator e MSP portano punti di forza diversi, dalla prossimità al cliente all’integrazione e ai servizi gestiti.

Per HWG Sababa, questo si traduce in un modello basato sulla complementarità: le security operations si integrano con competenze di cybersecurity e system integration, mentre partner tecnologici e di canale contribuiscono dove la loro esperienza crea valore. L’obiettivo non è sovrapporre i ruoli, ma integrare competenze complementari intorno alle esigenze del cliente.

Lo stesso principio vale per la sovranità digitale. Sovranità non significa isolamento tecnologico né sviluppare tutto internamente. Significa conoscere le proprie dipendenze, compiere scelte consapevoli e mantenere il controllo su dati, processi e decisioni critiche.

È possibile affidarsi a servizi gestiti ed ecosistemi globali senza rinunciare al controllo. Ciò che non può essere delegato è l’accountability: sapere come opera la propria sicurezza, dove si trovano le dipendenze critiche e continuare a decidere consapevolmente mentre il rischio evolve.

È forse questa l’evoluzione più importante della sicurezza gestita: superare l’outsourcing delle singole attività per costruire un modello operativo che integri tecnologia, competenze e partner specializzati, preservando visibilità, controllo e responsabilità.