Negli ultimi anni il Managed Detection & Response si è affermato come uno dei principali modelli di erogazione dei servizi di cyber security.

L’aumento degli attacchi ransomware, la crescente complessità delle infrastrutture IT e la difficoltà di reperire competenze specialistiche hanno spinto molte organizzazioni ad affidarsi a servizi gestiti di monitoraggio e risposta agli incidenti.

L’MDR entra in una nuova fase: dalla standardizzazione alla personalizzazione

Tuttavia, con l’evoluzione delle minacce e l’introduzione di normative come DORA e NIS2, emerge un nuovo interrogativo: un servizio MDR standardizzato è ancora sufficiente per organizzazioni caratterizzate da elevati requisiti di resilienza operativa?

Il progetto che verrà presentato ai Cybersecurity360 Awards e realizzato da Certego per un primario gruppo bancario italiano parte proprio da questa domanda. L’obiettivo non era semplicemente sostituire una piattaforma di endpoint protection, ma costruire un modello di Managed Detection & Response capace di adattarsi al profilo di rischio della banca, integrando tecnologie globali, competenze SecOps e conoscenza del contesto regolamentare italiano.

Perché la detection “one size fits all” mostra i suoi limiti

Le moderne piattaforme EDR e XDR generano ogni giorno enormi quantità di dati telemetrici.

Il problema, tuttavia, non è raccogliere più informazioni, bensì trasformarle in conoscenza utile per gli analisti.

Molti servizi MDR operano, infatti, secondo logiche relativamente standardizzate: ricevono gli alert prodotti dalla piattaforma, li classificano e avviano le attività di analisi. Questo modello presenta però alcuni limiti, soprattutto in settori altamente regolamentati come quello bancario, dove il profilo di rischio è strettamente legato al contesto operativo dell’organizzazione.

La qualità della detection conta più del numero di alert

La conseguenza è nota ai Security Operation Center: un volume elevato di falsi positivi, rumore operativo e difficoltà nel distinguere rapidamente gli eventi realmente critici.

Da qui nasce l’esigenza di un approccio differente, nel quale la detection non sia semplicemente erogata dalla piattaforma, ma costruita sulle caratteristiche specifiche dell’organizzazione.

Detection engineering: trasformare la telemetria in intelligence operativa

L’elemento più innovativo del progetto è rappresentato dall’introduzione di Halo, la piattaforma proprietaria di Detection Engineering sviluppata da Certego e integrata con TrendAI Vision One.

Il principio è semplice ma significativo.

Invece di limitarsi a gestire gli alert prodotti dalla piattaforma EDR, Halo consente di accedere direttamente alla telemetria degli endpoint, analizzarla, correlarla con altri eventi e costruire regole di detection personalizzate.

In questo modo il dato grezzo diventa intelligence operativa.

La possibilità di verificare il comportamento dei sistemi, correlare eventi multipli e contestualizzare gli indicatori di compromissione permette infatti di ridurre il rumore operativo e di concentrare l’attenzione degli analisti sugli eventi realmente rilevanti.

Secondo quanto riportato nella documentazione progettuale, l’approccio consente di ridurre fino al 94% i falsi positivi, lasciando agli specialisti SecOps più tempo per attività ad alto valore come investigazione, threat hunting e analisi forense.

Un ecosistema integrato per il settore finanziario

Il progetto si fonda sull’integrazione di tre componenti complementari.

TrendAI Vision One™ rappresenta la piattaforma di raccolta e correlazione della telemetria proveniente da endpoint, server, identità, cloud, rete ed e-mail.

Halo introduce il livello di Detection Engineering, consentendo di personalizzare le logiche di analisi in funzione del contesto operativo del cliente.

PanOptikon, infine, centralizza investigazioni, workflow, escalation, risposta agli incidenti e reporting in un unico ambiente operativo, supportando l’intero ciclo di vita dell’incidente.

L’aspetto interessante non è la presenza delle singole tecnologie, ma il modo in cui vengono orchestrate per trasformare una piattaforma globale in un servizio MDR realmente aderente alle esigenze di una banca italiana.

Cyber resilience e trasformazione infrastrutturale

Il progetto evidenzia anche un principio spesso sottovalutato.

Le fasi di rinnovamento dell’infrastruttura IT rappresentano momenti particolarmente delicati dal punto di vista della sicurezza.

Nuovi sistemi, migrazioni, sostituzioni di piattaforme e modifiche architetturali possono infatti introdurre temporanee aree di esposizione o ridurre la visibilità sugli asset.

Per questo motivo il gruppo bancario ha scelto di attivare il presidio MDR prima dell’avvio dello swap infrastrutturale, consentendo agli specialisti di conoscere progressivamente l’ambiente, individuare le aree critiche e accompagnare il cambiamento con un monitoraggio già operativo.

Si tratta di una scelta metodologica interessante: la sicurezza non viene introdotta al termine della trasformazione, ma diventa parte integrante del percorso di cambiamento.

Compliance come conseguenza di una migliore governance

Il progetto nasce anche per rispondere ai requisiti di DORA e NIS2, ma la conformità normativa appare più come un effetto di un modello operativo maturo che come il suo obiettivo esclusivo.

Una detection più accurata, processi documentati, migliore ricostruzione degli incidenti, workflow strutturati e reporting centralizzato consentono infatti di supportare in modo più efficace le esigenze di audit, continuità operativa e gestione del rischio richieste dal settore finanziario.

Questo rappresenta un messaggio importante: la compliance non nasce dall’accumulo di documentazione, ma dalla capacità di costruire processi di sicurezza solidi, misurabili e ripetibili.

Un modello che può andare oltre il settore bancario

Sebbene il progetto sia stato sviluppato per un primario gruppo bancario italiano, molti degli elementi introdotti risultano applicabili anche in altri contesti ad alta criticità.

La personalizzazione della detection, l’accesso approfondito alla telemetria, la riduzione dei falsi positivi e l’integrazione tra tecnologie, threat intelligence e processi SecOps rappresentano esigenze sempre più comuni anche nei settori delle utilities, dell’industria, della sanità e della pubblica amministrazione.

In un contesto in cui le superfici di attacco continuano ad ampliarsi e le risorse specialistiche rimangono limitate, la capacità di rendere più efficace il lavoro degli analisti diventa un fattore strategico, indipendentemente dal settore di appartenenza.

Dalla tecnologia alla strategia

Il progetto sviluppato da Certego suggerisce una riflessione che va oltre il caso specifico. Per anni il mercato ha misurato l’efficacia delle piattaforme di sicurezza sulla quantità di funzionalità o sulla capacità di raccogliere dati. Oggi il vero elemento differenziante sembra spostarsi sulla qualità della detection e sulla capacità di adattarla al contesto operativo dell’organizzazione.

Per i responsabili della sicurezza questo significa che il valore di un servizio MDR non dipende soltanto dalla tecnologia impiegata, ma anche dalla possibilità di trasformare la telemetria in conoscenza, ridurre il rumore operativo e costruire processi di risposta coerenti con il profilo di rischio dell’impresa.

In questo senso, il progetto mostra come l’evoluzione della cyber resilience passi sempre meno dall’adozione di nuovi strumenti e sempre più dalla loro integrazione in un modello di governance capace di coniugare tecnologia, competenze e conoscenza del contesto.