Itway è una realtà consolidata nel mercato cybersecurity italiano – l’anno prossimo compirà 30 anni – ma da un paio d’anni è entrata anche in un mercato nuovo, quello dei servizi gestiti di sicurezza (MSSP), che in Italia è partito da poco e che presenta sfide e opportunità piuttosto inedite. Ne abbiamo parlato con Francesco Faenzi, già Head of Cyber Security, e da poche settimane Customer Innovation & Success Director di Itway.

“La nostra business unit di sicurezza si chiama Cyber Security Resiliency, e fa consulenza, system integration, e appunto managed services”, spiega Faenzi. “Come partner per questa attività abbiamo scelto Acronis per l’approccio “partner-led” - le logiche di listino, l’impegno reciproco, l’assenza da parte loro di direct touch sui clienti sono tutte cose permettono di avviare il business MSP senza troppe pressioni – e perché le loro tecnologie mettono insieme sicurezza e resilienza, e questo permette di proporre un’offerta completa, dal triage al recovery”.

Di solito infatti, sottolinea Faenzi, i servizi gestiti di sicurezza arrivano fino al contenimento dell’attacco (MDR), ma non al ripristino: “Il poter dire al cliente che davvero non si deve occupare di niente fa la differenza per il target su cui puntiamo, cioè le medie imprese, soprattutto di fascia alta”.

Il 2025, soprattutto nella seconda parte dell’anno, con la NIS2 e i nuovi obblighi normativi, è stato decisivo per avviare il business MSSP di Itway: “Il piano, che abbiamo annunciato nell'ottobre 2024, è di raggiungere entro tre anni 1,5 milioni di euro tra servizi e subscription, e siamo al punto giusto del percorso”.

Il problema di come mettere insieme security e resiliency

L’opportunità o meno di iniziare un’attività MSSP, continua Faenzi, è stata lungamente soppesata in Itway: “I global system integrator in questo campo giocano una partita diversa: per un operatore “locale” come noi, la logica è che devi essere molto bravo o costare molto poco”.

“In questo quadro, la classica scelta di investire nella costruzione di un SOC, metterci dentro 7-8 specialisti e aspettare che il tutto decolli è rischioso. Oltretutto l'MSP non è un progetto che ha un inizio e una fine: si basa su servizi continuativi e deve garantire il funzionamento delle operation del cliente”.

Per questo l’idea è stata appunto di puntare su un’offerta completa di servizi, fino al ripristino. Ma questo ha complicato le cose: “Occorreva mettere insieme security e resiliency, cioè integrare le tecnologie di due fornitori diversi: trovare un vendor che fa entrambe le cose quindi è stato decisivo”.

Il pacchetto "virtual CISO"

Un’altra scelta importante è stata inserire nell’offerta un supporto di governance per il cliente: “Oltre ai servizi gestiti di security e di resiliency proponiamo il “virtual CISO”: è un pacchetto con varie opzioni basato su un service manager che si occupa insieme al cliente di ruoli e responsabilità organizzativi, compliance, policy, e così via. È una figura che ora con NIS2 è diventata fondamentale, perché aiuta il CIO ma anche il CISO a dialogare con il board e il top management”.

Altre proposte di servizi gestiti sono poi la continuous assurance, e l'incident response e crisis management. “In questo caso un esperto aiuta il CIO o CISO nella gestione organizzativa della crisi e della business continuity, nella comunicazione con gli altri manager e con l’esterno, in particolare le interlocuzioni con il Csirt e con l’ACN”.

Proporre servizi a valore aggiunto come questi, a fianco di a quelli “operativi”, è secondo Faenzi l’elemento decisivo per rendere un business MSSP sostenibile in un mercato già molto competitivo. “Anzi l’MSP deve fornire spunti per fare upselling: io attraverso questi servizi vedo diversi problemi e vulnerabilità, che possono essere trasformate in opportunità di ulteriore business, proponendo al cliente di risolverli con un progetto e poi magari prenderli in carico con un servizio gestito per la gestione quotidiana”.

Francesco Faenzi, Customer Innovation & Success Director di Itway

Il reclutamento delle risorse, la formazione e l'AI

Escludendo altri servizi gestiti per help desk e infrastrutture, Itway dedica una dozzina di specialisti alla parte puramente di security e resiliency. “Non troviamo particolari difficoltà nel reperire le risorse. Non siamo Milano-centrici, la sede storica è Ravenna, e questo ci permette di attingere a un bacino di scuole superiori e di università in Emilia, Romagna e nel Nord-est. Inoltre c’è un piano per aprire a breve sedi nel Sud, in particolare in Campania, per reclutare risorse dove c’è meno competition”.

Oltretutto inserire neolaureati è più facile su un’attività di MSP che su un progetto, osserva Faenzi. “Nel primo caso un neolaureato può fare delle cose rimanendo in background, ma non è banale. Nell'MSP, se hai ingegnerizzato bene le operation, ci sono compiti che possono svolgere tranquillamente”.

Compiti che secondo molti potrebbero presto essere affidati all’AI. “È vero che nella quotidiana operatività dei managed services una serie di task può essere automatizzata. Ma chi li automatizza? E chi controlla se poi l’automatismo funziona, e lo fa evolvere nel tempo? Quindi alcune competenze magari mi serviranno di meno, ma me ne occorreranno altre. Il tema della formazione sull’AI è un campo del tutto nuovo, ma per ora come politica di recruiting continuiamo a cercare menti analitiche ordinate e strutturate su cui costruire competenze”.