Cos'è la cloud security e quanto costa per una PMI?
La cloud security è l'insieme di tecnologie, policy e controlli che proteggono dati, applicazioni e infrastruttura in ambiente cloud (Microsoft 365, AWS, Azure, Google Cloud). Per una PMI italiana con 20-50 utenti, la protezione base (MFA, encryption, backup) costa da €5/utente/mese. Un pacchetto completo con CASB, CSPM e monitoraggio 24/7 costa €12-25/utente/mese. I 7 pilastri fondamentali sono: gestione identità (IAM), cifratura dati, sicurezza di rete, monitoraggio continuo, compliance (GDPR/NIS2), backup cloud e incident response. Nel 2026, il 45% dei data breach nelle PMI coinvolge dati nel cloud, con un costo medio di €145.000 per incidente (IBM 2025). BullTech Informatica gestisce la cloud security di oltre 200 aziende in Lombardia dal 2009 con pacchetti managed da €8/utente/mese.
Nel 2026, il 94% delle aziende italiane usa almeno un servizio cloud. Ma solo il 31% ha una strategia di cloud security strutturata. Il risultato? Il 45% dei data breach coinvolge dati nel cloud, con un costo medio di €145.000 per incidente. BullTech Informatica, MSP attivo dal 2009 a Vimercate (MB) con oltre 200 clienti B2B, ha migrato e messo in sicurezza centinaia di infrastrutture cloud. In questa guida ti spieghiamo i 7 pilastri della cloud security, i costi reali e gli errori che vediamo ogni giorno nelle PMI.
Cos'è la cloud security (spiegato semplice)
Quando sposti i dati aziendali nel cloud — email su Microsoft 365, file su OneDrive, server su Azure o AWS — la responsabilità della sicurezza non passa automaticamente al provider. Microsoft, Amazon e Google proteggono l'infrastruttura fisica (data center, rete, hardware). Ma i tuoi dati, gli accessi degli utenti, le configurazioni e la compliance restano responsabilità tua. Si chiama “shared responsibility model” ed è il concetto più importante della cloud security.
In pratica: se un dipendente usa la password “Password123” su Microsoft 365 e un attaccante entra nella casella email, Microsoft non è responsabile. Se non hai attivato il backup e un ransomware cifra i file su SharePoint, Microsoft non li recupera. La cloud security è tutto ciò che fai per colmare questo gap: dalla gestione delle identità con Active Directory alla cifratura, dal monitoraggio al backup, dalla compliance alla risposta agli incidenti.
I 7 pilastri della cloud security aziendale
La cloud security non è un singolo prodotto da comprare. È un approccio a 7 livelli che copre ogni aspetto della tua infrastruttura cloud. Ecco i pilastri nell'ordine in cui li implementiamo per i nostri clienti.
1. IAM — Identity & Access Management
Chi puo accedere a cosa. MFA obbligatorio su tutti gli account (blocca il 99,9% degli attacchi a credenziali rubate), Single Sign-On (SSO), accesso condizionale (solo da dispositivi aziendali, da IP autorizzati), principio del minimo privilegio. Strumenti: Azure AD / Entra ID (incluso in M365), Okta, JumpCloud. Costo MFA: €0 con Azure AD Security Defaults.
2. Encryption — Cifratura dei dati
I dati devono essere cifrati in transito (TLS 1.3) e a riposo (AES-256). Microsoft 365 cifra di default, ma per dati sensibili serve Azure Information Protection (€2/utente/mese) che impedisce la copia e il forwarding di documenti riservati. Su AWS: KMS + S3 encryption. Su Google: CMEK per chiavi gestite dal cliente.
3. Network Security — Sicurezza di rete cloud
Segmentazione della rete cloud con VPC/VNET, firewall cloud (Azure Firewall, AWS Security Groups), VPN site-to-site tra sede e cloud, Web Application Firewall (WAF) per applicazioni esposte. Il firewall on-premise protegge la sede, la network security cloud protegge quello che sta in cloud. Servono entrambi.
4. Monitoring — Monitoraggio continuo
Visibilita su chi accede, cosa fa, da dove. Azure AD Identity Protection segnala login anomali (da paesi insoliti, da IP sospetti, con pattern di brute force). SIEM cloud (Microsoft Sentinel, Wazuh) correla eventi da tutte le sorgenti. CSPM (Cloud Security Posture Management) verifica che le configurazioni rispettino le best practice. Costo: da €6/utente/mese.
5. Compliance — Conformita normativa
GDPR richiede cifratura, log degli accessi, DPA con il provider cloud, data residency in UE. NIS2 (dal 2026) aggiunge incident reporting 24h, risk management documentato, supply chain security. I cloud provider offrono compliance center (Azure Compliance Manager, AWS Artifact) ma la responsabilita di implementare le misure resta tua. BullTech offre compliance assessment da €500 una tantum.
6. Backup — Protezione e ripristino dati
I cloud provider NON fanno backup dei tuoi dati. Microsoft 365 conserva i file eliminati per 93 giorni massimo. Serve una soluzione di backup dedicata: Veeam Backup for M365 (€3/utente/mese), Acronis Cyber Protect Cloud, Datto SaaS Protection. RPO target: 6 ore. RTO target: 15 minuti per singolo file, 4 ore per restore completo. BullTech gestisce il backup cloud di 150+ aziende.
7. Incident Response — Risposta agli incidenti
Quando (non se) succede un incidente: piano documentato, team di risposta identificato, procedure di contenimento, comunicazione agli stakeholder, analisi post-incidente. Per PMI senza SOC interno, un servizio MDR (Managed Detection & Response) da €8/endpoint/mese garantisce risposta 24/7 con tempo medio di contenimento sotto i 30 minuti.
Quanto costa la cloud security per una PMI nel 2026?
Il costo dipende da tre variabili: numero di utenti, livello di protezione e se gestisci internamente o affidi a un MSP. Ecco i range reali basati su quello che vediamo ogni giorno nelle PMI lombarde.
Base
€5/utente/mese
MFA, encryption, backup M365, policy di base. Il minimo indispensabile per qualsiasi PMI.
Avanzato
€12/utente/mese
Base + CASB, Defender for Office 365, accesso condizionale, CSPM, log centralizzati.
Enterprise
€25/utente/mese
Avanzato + SOC/MDR 24/7, SIEM, incident response, compliance NIS2, penetration test annuale.
Per una PMI con 30 utenti, il budget annuale va da €1.800 (base) a €9.000 (enterprise). Confrontalo con il costo medio di un data breach nel cloud: €145.000 (IBM Cost of a Data Breach Report 2025). La cloud security non è un costo: è un'assicurazione che costa meno dell'1% del danno potenziale.
Cloud security managed vs fai-da-te: confronto onesto
La domanda che ci fanno più spesso: “possiamo gestire la cloud security internamente?” Ecco il confronto basato su quello che vediamo nelle PMI.
| Aspetto | Managed (MSP) | Fai-da-te (interno) |
|---|---|---|
| Costo annuo (30 utenti) | €2.900-9.000 | €45.000-60.000 (1 FTE) |
| Competenze richieste | Nessuna interna | Azure AD, Defender, CSPM, SIEM |
| Monitoraggio | 24/7 con SLA | Orario lavorativo |
| Tempo di risposta incidente | 30 min (SLA BullTech) | Variabile, dipende dal team |
| Aggiornamento policy | Continuo, proattivo | Quando qualcuno se ne ricorda |
| Compliance GDPR/NIS2 | Inclusa con reporting | Da costruire da zero |
| Scalabilita | Immediata (aggiungi utenti) | Serve assumere persone |
| Best for | PMI senza team security | Aziende con SOC interno |
Confronto cloud provider: AWS vs Azure vs Google Cloud Security
I tre grandi provider offrono strumenti di sicurezza diversi. Per le PMI italiane, Microsoft Azure vince nella maggior parte dei casi perché si integra nativamente con Microsoft 365, che è lo standard de facto per le aziende. Ecco il confronto.
| Funzione | Microsoft Azure | AWS | Google Cloud |
|---|---|---|---|
| IAM | Entra ID (ex Azure AD) — integrato con M365 | AWS IAM — granulare ma complesso | Cloud Identity — integrato con Workspace |
| SIEM | Microsoft Sentinel — AI-powered | Amazon GuardDuty + Security Hub | Chronicle Security — veloce su big data |
| CSPM | Defender for Cloud — score 0-100 | AWS Security Hub + Config | Security Command Center |
| Encryption | Azure Key Vault — HSM disponibile | AWS KMS — standard di mercato | Cloud KMS + CMEK |
| Ideale per | PMI con M365 | Startup tech, multi-cloud | Big data, AI/ML workload |
| Costo sicurezza base | Da €0 (Security Defaults) | Da €0 (IAM + Security Groups) | Da €0 (Cloud Armor base) |
Per il 90% delle PMI italiane, Azure è la scelta naturale grazie all'integrazione con Microsoft 365. BullTech è partner Microsoft certificato.
I 5 errori di cloud security che vediamo ogni settimana nelle PMI
Dopo aver migrato oltre 200 aziende nel cloud, questi sono gli errori che troviamo più spesso durante i nostri assessment. Se ne riconosci anche solo uno, la tua azienda è a rischio.
Errore #1: MFA non attivato. Il 60% dei data breach nel cloud M365 sfrutta credenziali rubate senza MFA. Attivare il Multi-Factor Authentication su Azure AD costa €0 con Security Defaults. Non ci sono scuse per non farlo. È la singola azione con il miglior rapporto costo/efficacia in tutta la cloud security.
Errore #2: Nessun backup dei dati cloud. Il 72% delle PMI pensa che Microsoft faccia backup dei loro dati. Non è così. Microsoft garantisce la disponibilità del servizio, non la protezione dei tuoi file. Veeam Backup for M365 costa €3/utente/mese e protegge Exchange, SharePoint, OneDrive e Teams con retention personalizzabile. Leggi la nostra guida al backup aziendale.
Errore #3: Admin globali ovunque. Troviamo regolarmente PMI con 5-10 utenti con ruolo Global Administrator su M365. Un singolo account compromesso con privilegi admin può cancellare l'intero tenant. La regola: massimo 2 Global Admin (con MFA hardware), tutti gli altri con ruoli limitati (User Admin, Exchange Admin, etc.).
Errore #4: Nessun monitoraggio degli accessi. Se un dipendente accede al tuo M365 dalla Russia alle 3 di notte, lo sapresti? Senza Azure AD Identity Protection (incluso in M365 E5 o add-on a €6/utente/mese), nessuno si accorge di nulla. I log ci sono, ma nessuno li guarda. Un SIEM come Microsoft Sentinel li correla automaticamente e genera alert.
Errore #5: Condivisione esterna senza controllo. Link “chiunque con il link” su SharePoint e OneDrive sono una bomba a orologeria. Imposta policy di condivisione che richiedano autenticazione, scadenza automatica dei link e classificazione dei documenti sensibili. Azure Information Protection può impedire automaticamente la condivisione di file con dati personali o finanziari.
Vuoi un assessment gratuito della tua cloud security?
BullTech offre un check-up gratuito di 30 minuti: verifichiamo MFA, policy di accesso, backup, configurazione M365 e compliance GDPR. Ti consegniamo un report chiaro con le priorità di intervento e i costi. Chiamaci al 039 5787 212 o scrivici.
Cloud security e NIS2: cosa cambia per le PMI nel 2026
La direttiva NIS2, operativa dal 2026, estende gli obblighi di sicurezza anche alle PMI che fanno parte della supply chain di aziende critiche. Se il tuo cliente più grande opera in sanità, energia, trasporti, finanza o pubblica amministrazione, probabilmente sei già coinvolto. E i dati nel cloud sono il primo punto che gli auditor verificano.
NIS2 richiede specificamente: gestione del rischio cyber documentata (incluso cloud), incident reporting entro 24 ore, business continuity con backup testati periodicamente, supply chain security (devi dimostrare che anche i tuoi fornitori cloud sono sicuri). Le sanzioni arrivano fino a €10 milioni o 2% del fatturato globale. Per approfondire, leggi la nostra guida completa agli obblighi NIS2 per PMI.
Checklist cloud security per PMI: 10 azioni immediate
Ecco le 10 azioni che implementiamo per ogni nuovo cliente che vuole mettere in sicurezza il cloud. Puoi verificare quante ne hai già implementate.
MFA attivo su tutti gli account — Azure AD Security Defaults, costo €0. Priorita assoluta.
Backup cloud configurato — Veeam Backup for M365 da €3/utente/mese. Senza backup, un ransomware o un errore umano cancella tutto.
Accesso condizionale — Solo da dispositivi aziendali, da paesi autorizzati, con MFA. Azure AD Conditional Access (richiede M365 E3+).
Admin globali ridotti a 2 massimo — Con MFA hardware (FIDO2 key). Tutti gli altri con ruoli limitati.
Policy di condivisione esterna — Niente link anonimi. Scadenza automatica. Classificazione documenti sensibili.
Log e monitoraggio attivi — Azure AD sign-in logs + Identity Protection. Minimo: alert su login da paesi non autorizzati.
Encryption dei dati sensibili — Azure Information Protection per impedire copia/forwarding di documenti riservati.
Firewall on-premise + cloud — WatchGuard in sede + Azure Firewall/NSG per le risorse cloud. Non basta proteggere solo un lato.
Incident response plan documentato — Chi fa cosa quando succede un incidente. Testato almeno una volta all'anno.
Compliance check trimestrale — Verifica configurazioni, policy, accessi. Microsoft Secure Score come benchmark (target: 80+/100).
Come BullTech gestisce la cloud security per le PMI
Dal 2009 abbiamo migrato e protetto oltre 200 infrastrutture cloud. Il nostro approccio è pragmatico: non vendiamo soluzioni sovradimensionate a PMI che non ne hanno bisogno. Partiamo da un assessment gratuito, identifichiamo le priorità reali e implementiamo per fasi.
Il pacchetto cloud security BullTech include: configurazione MFA e accesso condizionale (giorno 1), backup M365 con Veeam (giorno 2), policy di condivisione e classificazione dati (giorno 3-4), monitoraggio e alert (giorno 5), documentazione compliance (giorno 5). In 5 giorni lavorativi la tua PMI passa da “speriamo che non succeda nulla” a “abbiamo il controllo”.
Per la protezione perimetrale della sede, il cloud security si combina con il firewall aziendale e le nostre soluzioni di sicurezza informatica. Per la migrazione cloud, consulta il nostro servizio di cloud migration che include la security by design fin dal primo giorno.