Managed CNAPP: Esternalizza le operazioni di sicurezza cloud-native

Managed CNAPP esternalizza la gestione della tua piattaforma di protezione delle applicazioni cloud-native a un provider. Scopri i modelli di servizio, quando esternalizzare e come sceglierne uno.

Che cos'è il Managed CNAPP?

Il Managed CNAPP è un modello di servizio in cui un provider gestisce per tuo conto la tua cloud-native application protection platform (CNAPP) e le relative operazioni di sicurezza. La piattaforma resta tua. Così come la responsabilità. Ciò che cambia è chi presidia il monitoraggio.

Il livello richiesto per questo monitoraggio è ora definito nella policy federale. A dicembre 2024, la Binding Operational Directive 25-01 di CISA ha ordinato alle agenzie civili federali di individuare e correggere le configurazioni errate nel cloud e di attivare un monitoraggio continuo su tutti i loro tenant cloud, dopo che controlli configurati in modo errato avevano aperto agli attaccanti una strada per l'esfiltrazione dei dati. Continuo è la parola chiave. Mantenere questo livello di copertura su ogni account che gestisci è un compito che pochi team snelli riescono a presidiare 24 ore su 24, ed è proprio questo divario che il modello gestito nasce per colmare.

Come il Managed CNAPP si collega alla cybersecurity

La sicurezza cloud-native comprende configurazione, identità, workload e Kubernetes, e ogni livello genera rilevamenti ininterrottamente. 

Un CNAPP riunisce questi livelli in un'unica piattaforma. Il modello gestito aggiunge un team operativo dedicato, così la copertura resta attiva durante la notte e nei fine settimana, quando un bucket di storage esposto o un ruolo con permessi eccessivi è accessibile a un attaccante tanto quanto lo è a metà giornata. Il provider gestisce le operazioni e, in base al modello di responsabilità condivisa, la tua organizzazione resta responsabile della propria postura di sicurezza cloud e della conformità normativa.

Componenti principali di un servizio Managed CNAPP

Un servizio Managed CNAPP ha due livelli: la piattaforma che produce i rilevamenti e le persone e i processi che agiscono su di essi.

Cosa copre il CNAPP sottostante

La piattaforma consolida quattro capacità, ciascuna delle quali rappresenta un livello che il provider gestito opera affinché il tuo team possa leggere il rischio cloud in un unico punto, dalla build al runtime:

• Cloud security posture management (CSPM) individua configurazioni errate e violazioni di conformità nell'infrastruttura cloud, dai bucket di storage aperti alle regole firewall troppo permissive.
• Cloud workload protection (CWP) protegge container, macchine virtuali, funzioni serverless e server in fase di runtime in ambienti pubblici, privati e ibridi.
• Cloud infrastructure entitlement management (CIEM) analizza i permessi per identità umane e non umane, segnalando privilegi eccessivi e applicando policy di privilegio minimo.
• Kubernetes security posture management (KSPM) esegue controlli di configurazione errata sui cluster Kubernetes e verifica l'allineamento alla conformità.

Nel loro insieme rispondono a quattro domande concrete sul tuo cloud: quali configurazioni e controlli di conformità hanno subito drift (CSPM), quali workload in esecuzione sono sotto attacco (CWP), quali identità umane e non umane dispongono di più accessi del necessario (CIEM) e quali cluster Kubernetes sono configurati in modo errato (KSPM).

La piattaforma riporta continuamente questi rilevamenti, ma non li sottopone a triage, non li classifica in base alla sfruttabilità e non li assegna a un responsabile. Questo è il lavoro di cui si fa carico il servizio gestito.

Cosa aggiunge il servizio gestito

Oltre alla piattaforma concessa in licenza, il provider fornisce un livello operativo con personale dedicato che la gestisce giorno per giorno:

Livello operativo	Cosa fa il provider
Gestione continua della postura	Monitora configurazioni e conformità mentre l'infrastruttura evolve nei vari account connessi.
Correzione delle configurazioni errate	Individua e assegna priorità ai problemi, li inoltra al team responsabile e ne segue il percorso fino alla chiusura.
Gestione di vulnerabilità e autorizzazioni	Scansione agentless su sistemi operativi e workload, con analisi CIEM delle identità con privilegi eccessivi.
Risposta alle minacce in runtime	Protezione basata su agent o sensori che monitora i workload e blocca gli attacchi attivi durante l'esecuzione.
Copertura degli analisti	Triage, filtraggio dei falsi positivi, escalation dei rilevamenti confermati e reporting a cadenza definita.

Il personale del provider e le ore di copertura definite sono ciò che il servizio aggiunge a una piattaforma che altrimenti potresti gestire da solo. Se gestirla da soli sia davvero la scelta giusta è la domanda successiva.

Come funziona il Managed CNAPP

Il servizio Managed CNAPP opera come un ciclo continuo articolato in sei fasi. Il provider è responsabile dei passaggi operativi. Il tuo team entra nel ciclo nel punto in cui un rilevamento si trasforma in un'attività su cui devi intervenire, così sai esattamente dove la responsabilità torna a te.

1. Onboarding e integrazione. Il provider si connette ai tuoi account cloud su AWS, Azure, GCP e qualsiasi altro provider tu utilizzi. Il deployment completo su tutti gli account, inclusi quelli degli sviluppatori, stabilisce la baseline prima che inizi il tuning.
2. Scansione agentless e copertura runtime. Il provider attiva due livelli di visibilità. La scansione agentless interroga le API del cloud provider per valutare configurazioni, autorizzazioni e vulnerabilità senza installare software sui workload. La copertura basata su agent o sensori aggiunge protezione runtime in tempo reale per cluster Kubernetes e workload in container o macchine virtuali (VM).
3. Monitoraggio continuo. La scansione viene eseguita continuamente, così nuovi account, workload e modifiche di configurazione entrano nella copertura non appena compaiono. Il quadro di postura e vulnerabilità resta aggiornato tra un checkpoint e l'altro.
4. Triage e prioritizzazione degli alert. Il provider filtra i falsi positivi e classifica i rilevamenti confermati in base a sfruttabilità ed esposizione, riflettendo anche l'impatto sul business nella classificazione.
5. Correzione e passaggio di consegne per la incident response. Il provider inoltra i rilevamenti prioritari al team responsabile con il contesto necessario per intervenire. Il provider è responsabile dell'individuazione, del triage e dell'instradamento. Il tuo team è responsabile dell'esecuzione della correzione.
6. Reporting. Il provider fornisce report con una cadenza definita, con metriche di sicurezza collegate ai risultati di business.

Il ciclo non si ferma mai. L'unica domanda è chi debba gestirlo: il tuo team o un provider. 

Quando esternalizzare le operazioni di sicurezza cloud-native

La scelta tra gestire internamente le operazioni CNAPP e affidarle a un provider dipende dal personale del tuo team, dalle competenze, dai requisiti di copertura e dalle esigenze di controllo.

Condizione	Favorisce l'esternalizzazione	Favorisce la gestione interna
Organico della sicurezza cloud	Team snello con personale dedicato alla sicurezza cloud limitato	SOC maturo con ingegneri di sicurezza cloud dedicati
Ore di copertura	È necessaria una copertura continua, il team attuale copre solo l'orario lavorativo	Esiste già un modello follow-the-sun o a turni con personale dedicato
Time to value	Serve rapidamente una copertura operativa	C'è tempo per costruire e ottimizzare internamente
Complessità multi-cloud	Più cloud provider, proliferazione di account tra diverse business unit	Ambiente single-cloud o dual-cloud strettamente controllato
Competenze cloud-native	Il team è forte on-premises, ma con esperienza limitata in Kubernetes, container o IAM	Competenze approfondite già presenti nelle operazioni CSPM, CWPP e CIEM
Requisiti di controllo	Disponibilità a definire un confine di responsabilità condivisa con un provider	Rigidi requisiti di data residency, vincoli normativi sull'accesso di terze parti o policy contrarie all'esternalizzazione delle operazioni di sicurezza
Maturità degli strumenti	CNAPP acquistato di recente o non ancora reso operativo	CNAPP completamente distribuito e ottimizzato, team in grado di gestirlo efficacemente

Lungo lo spettro dell'esternalizzazione si collocano tre modelli di servizio:

• Self-managed CNAPP significa che acquisti la licenza della piattaforma e la gestisci internamente. I tuoi analisti presidiano il monitoraggio, ottimizzano i rilevamenti, eseguono il triage degli alert e guidano la correzione.
• Co-managed CNAPP significa che il provider fornisce la piattaforma e le competenze operative, occupandosi di onboarding, tuning, prioritizzazione degli alert e supporto all'escalation. Tu mantieni la responsabilità primaria delle decisioni di indagine e correzione.
• Fully managed CNAPP significa che il provider si assume la responsabilità operativa di monitoraggio, triage, indagine e coordinamento della correzione. Tu mantieni l'autorità di governance e l'esecuzione della correzione sui rilevamenti instradati.

La posizione che scegli su questo spettro determina per cosa stai pagando e cosa resta ancora di tua competenza. La domanda successiva è se un determinato provider sia in grado di offrirlo su tutto il tuo ambiente cloud.

Cosa valutare in un provider Managed CNAPP

Un provider CNAPP gestito viene valutato su due categorie: gli impegni a livello di servizio che regolano il rapporto e l'integrazione tecnica che determina se può coprire il tuo ambiente cloud.

Considerazioni sugli SLA

Un service-level agreement (SLA) misurabile definisce impegni specifici e vincolati nel tempo. Uno vago promette una "risposta rapida" senza dire cosa significhi rapido. L' analisi di MITRE sui cloud SLA ha rilevato una notevole variabilità nel modo in cui vengono definiti i livelli di prestazione e nel modo in cui il rischio viene condiviso tra provider e cliente. Leggi le definizioni, non gli aggettivi.

Quando valuti gli SLA, concentrati sugli impegni che corrispondono al rischio operativo:

• Tempo di risposta per i rilevamenti confermati e modello di escalation on-call
• Ore di copertura e tempi di risposta del triage degli alert
• Tasso di gestione dei falsi positivi e velocità di instradamento della correzione
• Cadenza del reporting

Richiedi SLA contrattualmente vincolanti. Verifica se il provider riporta in modo trasparente le prestazioni rispetto agli SLA e cosa accade quando gli SLA non vengono rispettati.

Requisiti di integrazione multi-cloud

Il tuo provider deve connettersi a ogni ambiente cloud che utilizzi. Valuta l'onboarding agentless: quanto rapidamente il provider può connettersi ai tuoi account AWS, Azure e GCP e iniziare la scansione. Verifica se la copertura si estende a eventuali altri cloud provider che utilizzi. Singularity™ Cloud di SentinelOne, ad esempio, copre AWS, Azure, GCP, Oracle Cloud Infrastructure (OCI) e Alibaba Cloud da un'unica console.

Valuta la copertura di container e Kubernetes: il CNAPP sottostante del provider copre i tuoi cluster Kubernetes, i registry di container e le funzioni serverless? Verifica quali dati escono dal tuo ambiente, dove vengono archiviati e se l'architettura del provider soddisfa i tuoi requisiti normativi.

CIEM dovrebbe coprire la valutazione e la correzione delle configurazioni errate nelle policy di identity and access management (IAM).

Sfide e limiti del Managed CNAPP

L'esternalizzazione delle operazioni di sicurezza cloud-native introduce vincoli strutturali che persistono anche quando il rapporto è ben gestito.

1. Riduzione della visibilità diretta. Un provider che gestisce il tuo CNAPP si interpone tra il tuo team e i rilevamenti grezzi. Il Software Engineering Institute (SEI) della Carnegie Mellon documenta questo rischio nell'outsourcing cloud: le organizzazioni perdono visibilità e controllo sugli asset e sulle operazioni che affidano all'esterno, e recuperarli richiede monitoraggio e analisi che un tempo erano forniti dal logging di rete on-premises.
2. Ambiguità nel confine di responsabilità. Il modello di responsabilità condivisa si applica anche qui: il provider gestito opera all'interno del tuo livello di responsabilità e la tua organizzazione resta responsabile nei confronti del cloud provider e dei regolatori.
3. Dipendenza dal provider e lock-in. Formati di dati non standard, API proprietarie e dipendenza da strumenti specifici del provider rendono il costo e lo sforzo necessari per cambiare provider più elevati del previsto inizialmente.
4. Il provider come rischio di supply chain. Concedere a una terza parte accesso operativo al tuo ambiente cloud è di per sé un rischio da gestire. L' NCSC del Regno Unito osserva che l'accesso di terze parti non controllato e non osservato è un anti-pattern: se esternalizzi funzioni amministrative o operative, dipendi da un'altra organizzazione per mantenere sicuro il tuo sistema. Limita tale accesso. Definisci i confini dell'ambito, monitora l'attività del provider e rivedi in modo continuativo il suo personale, i suoi processi e la sua tecnologia.
5. Latenza nel passaggio dagli alert all'azione. Ogni rilevamento che richiede l'intervento del tuo team passa attraverso il processo di triage e instradamento del provider. Questo passaggio può ritardare la correzione.
6. Ritardo di copertura in ambienti in rapido cambiamento. Nuovi account, workload o servizi compaiono tra un ciclo di onboarding e l'altro, e la copertura del provider riflette l'ambiente così come era configurato all'ultimo checkpoint di integrazione.

Ognuno di questi è una modalità di errore nota. Le modalità di errore note possono essere progettate. Le pratiche riportate di seguito le eliminano prima che ti costino qualcosa.

Best practice per il Managed CNAPP

I rapporti che funzionano nel tempo condividono alcune abitudini operative. Ognuna di essechiude una modalità di errore che altrimenti blocca il lavoro di sicurezza esternalizzato.

Definisci per iscritto il confine della responsabilità condivisa prima che il provider instradi anche un solo rilevamento. Quando la responsabilità della chiusura non è assegnata per classe di rilevamento, i risultati restano irrisolti mentre ciascuna parte presume che se ne occupi l'altra. La stessa chiarezza protegge anche la tua responsabilità: il provider gestisce le operazioni e la tua organizzazione continua a essere proprietaria della propria postura di sicurezza cloud, della conformità normativa e dell'esecuzione della correzione.

Integra il provider nei workflow che già utilizzi. Mappa ogni tipo di escalation a un responsabile interno all'interno dei tuoi runbook di IR esistenti, così i rilevamenti del provider arrivano come attività di risposta strutturate che si inseriscono nel tuo processo. 

Mantieni anche il tuo accesso alla console CNAPP e agli output di reporting del provider, così puoi validare in modo indipendente le prestazioni del provider rispetto ai numeri del provider stesso. Governa il resto del rapporto sulla base di numeri che verifichi con una cadenza definita:

• Monitora gli SLA che hai sottoscritto e riesaminali secondo una pianificazione definita. Un SLA che nessuno misura non ha alcun peso operativo.
• Collega il reporting ai risultati di business, così ogni revisione connette le metriche di sicurezza al lavoro che proteggono.
• Esegui audit di copertura sul tuo ambiente live, inclusi account degli sviluppatori, ambienti di staging e account cloud appena provisionati.

Scegliere in base al prezzo prima della copertura è una scorciatoia costosa: un provider meno costoso che monitora solo una parte del tuo ambiente lascia il resto senza monitoraggio.

Migliora il Managed CNAPP con SentinelOne

Singularity Cloud Security è il CNAPP di SentinelOne. Opera dalla build al runtime con gestione agentless della postura e protezione dei workload in tempo reale su account cloud, container, Kubernetes, servizi AI e serverless. Un'unica console copre AWS, Azure, GCP, OCI e Alibaba Cloud da un'unica console. 

Il livello agentless, Singularity Cloud Native Security, conferma quali rilevamenti sono realmente sfruttabili tramite Verified Exploit Paths, così un provider instrada i rilevamenti ad alto valore al responsabile corretto e dedica meno tempo al rumore. In fase di runtime, azioni di risposta automatiche, tra cui process kill, isolamento di rete, quarantena dei file e disconnessione dei pod, contengono gli incidenti prima dell'intervento di un analista. La Singularity Platform unifica telemetria di endpoint, cloud e identità in un unico agent, un'unica console e un unico data lake. Ha registrato l'88% di alert in meno nelle 2024 MITRE ATT&CK® Evaluations con identificazione al 100%.

Con Purple AI™, il threat hunting in linguaggio naturale e l'indagine agentica riducono il tempo che gli analisti dedicano alla raccolta delle prove. La snapshot di IDC di aprile 2025 le attribuisce un'identificazione delle minacce più rapida del 63% e una correzione più rapida del 55%. Un provider può gestire tutto questo per tuo conto. Un team interno snello può gestirlo direttamente.

Prenota una demo di SentinelOne per vedere quanto Singularity Cloud alleggerisce il carico di lavoro del tuo team.

Punti chiave

Il Managed CNAPP trasferisce l'onere operativo della gestione di una cloud-native application protection platform a un provider che presidia per tuo conto il monitoraggio, il triage e l'instradamento della correzione. La decisione di esternalizzare dipende dal personale del tuo team, dalle tue esigenze di copertura e dalla complessità del tuo ambiente cloud. 

I rapporti di successo si basano su un confine di responsabilità chiaramente definito, SLA misurabili, integrazione nei tuoi workflow di incident response e validazione continua della copertura. Se fai bene queste quattro cose, l'esternalizzazione smette di essere una perdita di controllo. Sei tu a definire il confine, sei tu a mantenere la governance e non sei più tu quello che fa triage degli alert alle 3 del mattino.

FAQ

Che cos'è Managed CNAPP?

Managed CNAPP è un modello di servizio in cui un provider gestisce per tuo conto una piattaforma di protezione delle applicazioni cloud-native. Il provider si occupa della gestione continua della postura, della correzione delle configurazioni errate, del triage degli avvisi e della risposta alle minacce in runtime nei tuoi ambienti cloud. 

Mantieni l'autorità di governance sulle decisioni di escalation e la responsabilità dell'esecuzione delle attività di remediation. Il modello trasferisce il carico operativo della gestione del CNAPP, incluso il personale di analisti e il lavoro continuo di ottimizzazione dei rilevamenti, a specialisti esterni della sicurezza cloud.

Come viene determinato il prezzo di Managed CNAPP?

Il prezzo di solito segue le dimensioni dell'ambiente coperto: il numero di account cloud connessi, workload protetti o asset sottoposti a scansione, spesso con un abbonamento a livelli. 

Anche le ore di copertura e la profondità del servizio incidono sul costo, poiché la copertura continua e l'indagine completa costano più del triage durante l'orario lavorativo. Chiedi a un provider di associare il prezzo agli account e ai workload specifici che monitorerà, in modo che il preventivo rifletta il tuo ambiente reale.

Quanto tempo richiede l'onboarding di Managed CNAPP?

La connessione agentless agli account cloud tramite le API del provider attiva la visibilità su postura e autorizzazioni entro poche ore, poiché non richiede l’installazione di software sui workload. La copertura runtime per Kubernetes e per i workload container o VM aggiunge il rollout di un agent o di un sensore. 

Il lavoro più lungo è la messa a punto: filtrare i falsi positivi e mappare le escalation ai rispettivi responsabili, un processo che si stabilizza nel corso delle prime settimane. La copertura completa dipende dalla connessione di ogni account, inclusi gli ambienti di sviluppo e staging.

Come gestiscono i servizi Managed CNAPP gli ambienti multi-cloud?

I provider Managed CNAPP si connettono a ciascun ambiente cloud tramite le API del provider cloud. Il provider Managed CNAPP mantiene una vista unificata di postura, autorizzazioni e protezione dei workload in tutti gli account connessi. 

L'analisi CIEM copre i modelli di identità tra i provider, segnalando confini di trust incoerenti e autorizzazioni eccessive. Gli audit di copertura dovrebbero essere eseguiti regolarmente per confermare che l'ambito di monitoraggio del provider tenga il passo con nuovi account e workload nelle varie regioni.

Managed CNAPP sostituisce il tuo team di sicurezza interno?

No. Un provider CNAPP gestito esegue le operazioni quotidiane della tua piattaforma di protezione delle applicazioni cloud-native, inclusi monitoraggio, triage e instradamento dei rilevamenti, mentre la tua organizzazione mantiene l'autorità di governance ed è responsabile dell'esecuzione della remediation. Rimani responsabile della tua sicurezza cloud e della conformità normativa. 

Questo modello aggiunge capacità operative e competenze cloud-native a un team snello e mantiene la responsabilità dei risultati di sicurezza all'interno della tua organizzazione.