Antivirus o EDR per l'azienda: differenze, costi e quando passare al livello superiore

Un antivirus tradizionale riconosce il malware già noto, mentre un EDR (endpoint detection and response) osserva il comportamento dei computer, segnala attività sospette e permette di isolare una macchina compromessa. Per una piccola azienda con pochi dati sensibili un buon antimalware gestito può bastare come base; per chi ha dati di clienti, personale in smart working o ha già subito un incidente, l'EDR è oggi il livello ragionevole. Questa guida spiega le differenze, i costi ricorrenti e come scegliere senza farsi guidare dal marketing.

I valori numerici sono esempi illustrativi; i prezzi reali dipendono da fornitore, numero di licenze e durata del contratto.

Come funziona un antivirus tradizionale

L'antivirus classico confronta i file con un archivio di firme di malware conosciuti e, nelle versioni più recenti, applica anche regole euristiche. Funziona bene contro minacce diffuse e già analizzate. Ha limiti noti:

fatica contro malware nuovo, modificato di continuo o senza file (attacchi che usano strumenti legittimi del sistema operativo);
offre poca visibilità su ciò che è accaduto dopo l'infezione;
spesso non permette di rispondere in modo guidato, per esempio isolando il computer dalla rete.

Le versioni aziendali aggiungono una console centrale: elenco dei dispositivi, stato degli aggiornamenti, avvisi, policy comuni. Questo è il vero salto rispetto agli antivirus gratuiti per uso personale, che non offrono controllo né reportistica.

Cosa aggiunge l'EDR

Un EDR registra costantemente eventi sulle postazioni e sui server: processi avviati, connessioni, modifiche ai file, uso di strumenti di amministrazione. Quando riconosce uno schema sospetto può:

bloccare il processo;
isolare il dispositivo dalla rete, lasciando attiva solo la comunicazione con la console;
conservare una cronologia utile per capire come è entrato l'attaccante;
in alcuni casi annullare le modifiche dei ransomware sui file.

Il punto critico è che qualcuno deve leggere gli avvisi. Un EDR senza un responsabile che reagisce, anche di notte o nel fine settimana, perde gran parte del valore. Da qui nasce il servizio MDR (managed detection and response), in cui un team esterno monitora e interviene per conto del cliente.

Confronto per tipo di soluzione

Aspetto	Antivirus gestito	EDR	EDR con servizio MDR
Rilevamento	Firme e regole base	Comportamento e anomalie	Come EDR, con analisti umani
Risposta	Quarantena del file	Isolamento e indagine	Isolamento e indagine svolti dal fornitore
Carico di lavoro interno	Basso	Medio: gestire gli avvisi	Basso: si valida solo ciò che il fornitore segnala
Costo relativo	Più basso	Intermedio	Più alto
Adatto a	Microimprese, dati poco critici	PMI con competenze IT	PMI senza personale di sicurezza ma con rischio alto

Quanto costa: come ragionare

I costi tipici sono per postazione e per anno, con sconti a scaglioni. Per fissare un ordine di grandezza usa il calcolatore stima costi di sicurezza. Con i valori illustrativi del calcolatore, 25 postazioni a livello intermedio (da 60 a 150 euro per postazione) più 3.000 euro di costi fissi danno un intervallo da 4.500 a 6.750 euro all'anno. Con il livello avanzato (da 150 a 320 euro per postazione) lo stesso numero di postazioni porta l'intervallo a 6.750-11.000 euro: 25 x 150 + 3.000 = 6.750 e 25 x 320 + 3.000 = 11.000.

Ricorda di sommare i costi spesso dimenticati:

installazione e migrazione dal prodotto precedente;
ore di configurazione delle policy e delle esclusioni;
formazione di chi riceve gli avvisi;
licenze separate per server, dispositivi mobili o macchine virtuali, che in alcune offerte non sono incluse.

Come scegliere in cinque domande

Quali dati proteggi? Dati personali di clienti, informazioni sanitarie o segreti industriali spingono verso l'EDR.
Chi legge gli avvisi? Se la risposta è "nessuno", valuta un servizio gestito oppure resta su un antimalware ben configurato.
Quante postazioni lavorano fuori sede? Più dispositivi fuori dalla rete aziendale significa più bisogno di visibilità.
Sei soggetto a obblighi particolari? Per le imprese rientranti in NIS2 o con clienti che impongono requisiti contrattuali, la capacità di rilevare e rispondere agli incidenti è parte delle misure attese.
Cosa chiede l'assicuratore? Molte polizze cyber richiedono la presenza di un EDR o di un'autenticazione forte come condizione di sottoscrizione. Leggi i questionari con attenzione.

Errori frequenti nella scelta

Acquistare un EDR e lasciarlo in modalità sola osservazione, senza blocchi attivi.
Installarlo solo su alcuni computer, lasciando scoperti server e portatili dei dirigenti.
Escludere troppe cartelle dalle scansioni per eliminare falsi positivi, creando varchi.
Non verificare cosa succede alla scadenza: alcuni prodotti smettono di aggiornarsi o di proteggere se la licenza non viene rinnovata.
Sovrapporre due prodotti diversi sullo stesso computer, con rallentamenti e conflitti.

Aspetti di privacy da non trascurare

Un EDR raccoglie informazioni sull'attività dei dispositivi e, indirettamente, dei lavoratori. Prima dell'adozione verifica con il consulente privacy e, dove necessario, con le rappresentanze sindacali o secondo le procedure dell'articolo 4 dello Statuto dei lavoratori, che regola gli strumenti dai quali può derivare un controllo a distanza. Informa i dipendenti in modo chiaro, limita i dati raccolti a quelli necessari e conserva i log per il tempo strettamente utile. Se il fornitore tratta dati personali per tuo conto, serve la nomina a responsabile del trattamento.

Domande frequenti

L'EDR sostituisce l'antivirus?

Nella maggior parte dei prodotti moderni sì: l'EDR include già le funzioni antimalware. Non devi installare due soluzioni sovrapposte, ma verifica che il prodotto scelto comprenda protezione preventiva oltre al monitoraggio.

Basta l'antivirus integrato nel sistema operativo?

Può essere una base accettabile per dispositivi singoli, ma in azienda mancano spesso gestione centrale, avvisi aggregati e integrazione con altri strumenti. Valuta le versioni gestite dei servizi che già usi.

L'EDR protegge anche dal phishing?

Solo in parte. Può bloccare ciò che avviene dopo il clic, ma non sostituisce filtri di posta, autenticazione a più fattori e formazione.

Serve anche sui server?

Sì, di solito con licenze dedicate. I server contengono i dati più preziosi e sono un obiettivo frequente dei ransomware.

Fonti ufficiali

Agenzia per la Cybersicurezza Nazionale — linee guida e buone pratiche di sicurezza.
CSIRT Italia — avvisi e informazioni su minacce e vulnerabilità.
Garante per la protezione dei dati personali — trattamento dei dati e controllo a distanza dei lavoratori.