Quattro modelli di assistenza IT
«Outsourcing IT» può indicare accordi molto diversi. Si distinguono soprattutto per chi monitora i sistemi, chi interviene in caso di fermo e chi risponde del risultato:
| Modello | Chi monitora i sistemi | Chi interviene in caso di fermo | Uso tipico |
|---|---|---|---|
| IT completamente gestito (MSP) | Il fornitore, in modo continuativo | Il fornitore, secondo lo SLA | Aziende senza personale IT che hanno bisogno di un’operatività affidabile |
| IT co-gestito (co-managed) | Il fornitore e il vostro tecnico interno | Chi è indicato nella matrice delle responsabilità | Aziende con un amministratore di sistema o un piccolo team |
| Assistenza a chiamata (break-fix) | Nessuno | Un tecnico, quando è disponibile | Ambienti cloud molto piccoli e poco critici |
| Team IT interno | I vostri dipendenti | I vostri dipendenti, quando disponibili | Aziende più grandi con molto lavoro specifico in sede |
Nessun modello è il migliore per tutti. La differenza decisiva è tra lavoro preventivo e lavoro reattivo: un managed service provider è pagato perché i sistemi funzionino, il tecnico a chiamata perché li ripari quando si fermano. Nel primo caso prevenire i problemi è nell’interesse del fornitore, nel secondo no.
Cosa determina il modello giusto
- Sedi e Paesi. Un ufficio con un ambiente cloud è un compito ben diverso da magazzini e filiali in più Paesi, dove rete e identità vanno gestite in modo unitario e qualcuno deve anche presentarsi in sede.
- Criticità e orario di assistenza. Se durante un fermo si bloccano produzione o logistica, servono monitoraggio continuo, tempi di risoluzione garantiti e una copertura chiara fuori orario. L’assistenza a chiamata non lo garantisce.
- Personale interno. Senza personale IT, i servizi IT gestiti sono di solito la scelta giusta. Con un solo amministratore di sistema il rischio maggiore è la dipendenza da una persona, per cui funziona bene l’IT co-gestito: il collega resta e il partner aggiunge competenze, sicurezza e sostituzioni.
- Normativa. I soggetti NIS2 (in Italia il D.Lgs. 138/2024), il settore finanziario soggetto a DORA e chi tratta molti dati personali hanno bisogno di un fornitore in grado di dimostrare le proprie misure di sicurezza e di metterle per iscritto nel contratto.
Confronti i costi dei singoli modelli a parte, con il calcolatore dei costi dei servizi IT gestiti. Questa guida si concentra sulla scelta del modello e sulla qualità del fornitore.
Cosa deve garantire un buon managed service provider
Valuti i fornitori di assistenza informatica per aziende in base alle prove, non alle promesse:
- SLA con tempi di risposta e di risoluzione. Il tempo di risposta dice solo quando qualcuno si fa vivo. Conta in quanto tempo il problema viene risolto, per priorità e con conseguenze chiare in caso di mancato rispetto. Prima di chiedere una percentuale di disponibilità, verifichi con il calcolo SLA e uptime quanto fermo consente davvero.
- Sicurezza di base come standard. MFA per tutti gli account, EDR su dispositivi e server, patch regolari, backup con test di ripristino periodici e monitoraggio continuo. Chieda quando è stato testato l’ultimo ripristino.
- Reportistica. Un resoconto mensile di richieste, rispetto dello SLA, stato delle patch e raccomandazioni mostra se il fornitore gestisce davvero il vostro ambiente.
- Escalation e competenze. Un referente nominativo, un responsabile tecnico e partnership con i produttori che utilizzate, come Microsoft e Fortinet.
La cybersicurezza non è solo un tema tecnico, ma una responsabilità della direzione. Un buon partner La aiuta a comprendere i rischi e a decidere, non si limita a installare strumenti. Lo stesso vale per le nuove tecnologie: prima di introdurre strumenti di intelligenza artificiale, il partner dovrebbe verificare diritti di accesso, dati e sicurezza, perché questi strumenti vedono tutto ciò a cui l’utente ha accesso.
Titolarità, contratto e normativa
L’errore più comune nell’outsourcing IT è perdere il controllo del proprio ambiente. Account amministrativi, password, domini, licenze e tenant cloud devono essere intestati all’azienda e l’accesso di emergenza deve restare a voi. La documentazione dell’ambiente (inventario, schemi di rete, configurazioni) deve esservi accessibile in ogni momento, non solo alla fine del contratto.
Un MSP accede a e-mail, file e sistemi con dati personali ed è quindi responsabile del trattamento ai sensi del GDPR. L’accordo ai sensi dell’articolo 28 del GDPR deve, tra l’altro, prevedere che il fornitore ricorra ad altri responsabili solo con la vostra autorizzazione scritta e che, a vostra scelta, restituisca o cancelli i dati al termine dei servizi.
La direttiva NIS2 (UE) 2022/2555 include tra le misure obbligatorie la sicurezza della catena di approvvigionamento, compresi i rapporti con fornitori diretti e fornitori di servizi, e chiede di tenere conto della qualità delle loro pratiche di cybersicurezza. La direttiva osserva che i fornitori di servizi di sicurezza gestiti sono stati essi stessi bersaglio di attacchi informatici e, per la stretta integrazione nelle attività dei clienti, rappresentano un rischio particolare, e chiede quindi maggiore diligenza nella loro scelta. Inoltre colloca i fornitori di servizi gestiti tra i settori ad alta criticità (allegato I), per cui i fornitori di medie e grandi dimensioni sono di norma essi stessi soggetti NIS2.
Il contratto dovrebbe inoltre definire il perimetro e cosa viene fatturato a parte, il preavviso, un piano di uscita e l’obbligo del fornitore di supportare il passaggio a un altro fornitore.
Sedi in più Paesi
Molte aziende italiane hanno filiali in Slovenia, Croazia, Serbia o altrove nei Balcani. La domanda chiave diventa allora: chi interviene quando in magazzino si guasta uno switch? Chieda esecutori nominati in ogni Paese, assistenza nella lingua locale e una gestione unificata di rete e identità da un unico punto.
Humanfrog, ad esempio, gestisce la rete di un’azienda con sedi in tutti i Paesi balcanici: la rete Fortinet con SD-WAN è collegata a un punto centrale gestito da noi, per cui monitoraggio, policy di sicurezza e modifiche sono uniformi su tutte le sedi. Per l’azienda di logistica Alfa SP, che opera in Slovenia, Croazia e Serbia, gestiamo da cinque anni l’ambiente IT con 40 utenti attivi su sei sedi: abbiamo migrato e-mail e documenti a Microsoft 365, organizzato la gestione degli accessi, i backup automatici e il monitoraggio centralizzato e trasferito i server nel cloud.
Se state aprendo una filiale nei Balcani, legga anche la guida all’IT per le filiali nei Balcani.
Cambiare fornitore senza interruzioni
Se non è soddisfatto del fornitore attuale, non disdica il contratto prima di avere un inventario dell’ambiente, tutte le credenziali amministrative e la documentazione. Pianifichi il passaggio entro il periodo di preavviso, con sovrapposizione:
- Giorni 1–30: inventario, accessi intestati all’azienda, installazione degli strumenti di monitoraggio e ripristino di prova dal backup.
- Giorni 31–60: il nuovo fornitore prende in carico supporto agli utenti e monitoraggio e chiude le lacune di sicurezza più urgenti.
- Giorni 61–90: rimozione dei vecchi accessi, test del piano di ripristino, conferma della matrice delle responsabilità. Solo allora termina la collaborazione con il fornitore precedente.
Segnali d’allarme nella scelta: il fornitore vuole intestare a sé gli account, lo SLA tace sul tempo di risoluzione, manca la documentazione, gli interventi in sede negli altri Paesi sono «da concordare», oppure viene proposto un prezzo basso prima che qualcuno conosca il vostro ambiente.
Lo strumento qui sopra prepara una raccomandazione, una checklist ponderata e un piano di transizione per il Suo caso. Se desidera esaminare con un esperto il vostro ambiente IT e il modello di gestione più adatto, ci contatti.
