Di fronte ad attacchi sempre più rapidi e a infrastrutture distribuite tra cloud, filiali e lavoro da remoto, SIEM di nuova generazione e SASE convergono per unificare visibilità, controllo e risposta agli incidenti.

La sicurezza informatica delle aziende si trova oggi stretta tra due problemi. Da una parte, i Security Operation Center (SOC), incaricati di monitorare le minacce e gestire gli incidenti, ricevono migliaia di alert da endpoint, reti, cloud, identità digitali e posta elettronica. Dall’altra, il perimetro da proteggere non coincide più con quello fisico dell’impresa: persone, applicazioni e dati si muovono tra sedi, lavoro da remoto, piattaforme SaaS e cloud pubblici.

Le organizzazioni raccolgono così più informazioni che in passato, ma faticano a distinguere quelle davvero rilevanti. Gli analisti devono orientarsi tra segnalazioni spesso scollegate, mentre un attacco può produrre danni in poche ore. Non di rado, i primi segnali erano stati registrati, ma erano rimasti nascosti nel rumore o privi del contesto necessario per essere riconosciuti.

Anche le architetture tradizionali mostrano i loro limiti: costruite intorno al data center, impongono percorsi inefficienti e non garantiscono un controllo uniforme su utenti e applicazioni distribuiti. Per rispondere a questa doppia esigenza stanno convergendo i SIEM di nuova generazione e le architetture SASE: i primi ricompongono e interpretano i segnali dell’intera infrastruttura digitale, le seconde portano i controlli di sicurezza dove si trovano utenti, dati e applicazioni. La sfida è integrarli senza aggiungere nuova complessità.

Il SIEM reinventato

Per anni il SIEM ha raccolto i log, li ha correlati attraverso regole definite a mano e ha generato alert. Un modello efficace quando i volumi erano gestibili e gli attacchi seguivano schemi conosciuti. Oggi le regole statiche non bastano più e tempi di risposta misurati in giorni non possono competere con minacce che si muovono in poche ore. Le piattaforme di nuova generazione riuniscono in un unico modello dati la telemetria proveniente da endpoint, rete, cloud, identità, email e applicazioni. Gli algoritmi ricostruiscono sequenze di comportamento: un accesso anomalo, un processo insolito e un trasferimento verso un dominio mai osservato, collegati tra loro, descrivono un possibile attacco.

Il sistema presenta agli analisti un numero ridotto di incidenti, già arricchiti di contesto e ordinati per impatto. L’automazione può estendersi alla risposta, tuttavia il beneficio non è sostituire l’analista, ma liberarlo dal triage ripetitivo e permettergli di concentrarsi sulle minacce reali.

SASE: la sicurezza raggiunge gli utenti

Il SASE affronta l’altra metà del problema: connettere in modo sicuro persone e sedi ad applicazioni distribuite. Invece di riportare tutto il traffico verso il data center, eroga connettività e sicurezza come servizi cloud attraverso una rete di punti di presenza. L’architettura integra la componente SD-WAN, che seleziona il percorso migliore per ogni applicazione, con funzioni come Secure Web Gateway, CASB e Zero Trust Network Access. Le stesse policy possono così essere applicate a ogni utente, indipendentemente dal luogo e dalla destinazione. Anche lo Zero Trust si evolve. Non basta verificare l’identità al momento dell’accesso: la sessione deve essere controllata nel tempo e i privilegi possono essere ridotti o revocati quando il comportamento cambia. Per le organizzazioni con lavoro ibrido e sedi distribuite, questo significa superare le VPN tradizionali, ridurre i colli di bottiglia e attivare più rapidamente nuove filiali.

Perché insieme valgono di più

SIEM di nuova generazione e SASE non sono due progetti indipendenti. Il SASE presidia le connessioni tra utenti, sedi e applicazioni e produce telemetria su identità, accessi e traffico. Integrati nel SIEM, questi dati consentono di osservare l’intera catena di un attacco: chi si è autenticato, da quale dispositivo, verso quale applicazione e con quale comportamento.

La convergenza completa anche il ciclo di risposta. Un incidente individuato dalla piattaforma di detection può tradursi immediatamente in un’azione applicata dal SASE, come la revoca di una sessione o la limitazione di un accesso. È questa continuità tra osservazione, analisi e intervento a distinguere un’architettura moderna da una semplice somma di strumenti.

Dalla tecnologia al risultato

Molti progetti SIEM e SASE non falliscono per i limiti delle piattaforme, ma per il modo in cui vengono adottati. Sistemi potenti restano sottoutilizzati se non sono calibrati sull’ambiente reale, mentre migrazioni prive di un disegno coerente rischiano di sostituire una complessità con un’altra. A questo si aggiunge la carenza di competenze specialistiche, che rende difficile per molte organizzazioni mantenere un SOC operativo 24 ore su 24.

Sielte accompagna imprese, pubbliche amministrazioni e operatori di servizi essenziali lungo l’intero percorso: assessment di asset, flussi e rischi, roadmap, progettazione, migrazione e gestione continuativa. Il Global Operation Center integra in un unico hub attivo 24/7 le capacità del Network Operation Center (NOC), dedicato alla continuità di reti e infrastrutture, e quelle del Security Operation Center (SOC), concentrato sulla prevenzione e gestione degli incidenti informatici. Il centro presidia le piattaforme e affina i modelli di detection sulle caratteristiche di ciascun cliente.

Il valore del partner consiste nel trasformare una piattaforma acquistata in una protezione effettiva, integrando tecnologie diverse e misurando i risultati. Un’esigenza resa ancora più urgente da NIS2 e DORA, che rafforzano gli obblighi di monitoraggio, gestione degli incidenti e controllo degli accessi. Un’architettura che combina detection intelligente e accesso Zero Trust può produrre in modo continuativo le evidenze necessarie per audit e verifiche, evitando che la compliance resti separata dalla sicurezza reale.

La direzione del mercato è chiara: meno strumenti isolati, più piattaforme integrate; meno analisi manuale, più automazione; meno dipendenza dal perimetro fisico, più controllo su identità, dati e comportamenti. Adottare questo modello significa ridurre i tempi di risposta, proteggere la continuità operativa e rendere l’investimento verificabile. La domanda non è soltanto quale tecnologia scegliere, ma chi è in grado di farla funzionare.

Vai al sito di Cybersecurity Italia.

L'articolo L’AI attacca in ore, i SOC rispondono in giorni: la corsa che le aziende non possono più perdere sembra essere il primo su CyberSecurity Italia.