"Abbiamo l'antivirus" è una delle frasi che sentiamo più spesso quando chiediamo a un'azienda come è protetta. Poi, guardando i PC uno per uno, si scopre che su uno c'è la versione gratuita scaricata anni fa, su un altro la licenza è scaduta, sul portatile del titolare la protezione è stata spenta "perché rallentava" e sul server non c'è niente. Nessuno se n'è accorto, perché nessuno riceve gli avvisi. Questa guida spiega in parole semplici che differenza c'è fra un antivirus gratuito, un antivirus aziendale con console di gestione e un EDR, perché per un'azienda la domanda vera è "chi guarda gli allarmi", e come scegliere la protezione adatta senza pagare funzioni che nessuno userà.
Le sigle, spiegate
Nei preventivi e sui siti dei produttori le sigle si moltiplicano. Ecco cosa vogliono dire, dalla più semplice alla più completa:
| Nome | Che cosa fa | Chi lo controlla |
|---|---|---|
| Antivirus (gratuito o a pagamento, per singolo PC) | Riconosce e blocca file e programmi dannosi già noti, più alcuni comportamenti sospetti | L'utente del PC, che vede gli avvisi solo se è davanti allo schermo |
| Antivirus aziendale gestito | Le stesse protezioni, installate su tutti i PC e governate da una console centrale | Il tecnico o l'amministratore, che vede lo stato di tutti i computer da un unico pannello |
| EDR (Endpoint Detection and Response) | Registra continuamente cosa succede sui computer, riconosce attacchi in corso anche senza un file "virus" e permette di reagire a distanza | Chi ha accesso alla console e il tempo di analizzare gli avvisi |
| MDR (Managed Detection and Response) | Un EDR con un servizio di persone che analizzano gli avvisi e intervengono, anche di notte | Un centro operativo esterno, a contratto |
Il termine "endpoint" indica i dispositivi su cui si lavora: PC, portatili, server, a volte anche telefoni.
Dove si ferma l'antivirus tradizionale
Un antivirus classico è molto bravo con quello che conosce: un allegato con un programma dannoso già catalogato viene bloccato prima che faccia danni. Gli attacchi che colpiscono le aziende oggi, però, spesso non portano con sé nessun file da riconoscere:
- entrano con una password rubata, per esempio quella della VPN o di un account di posta, e quindi agiscono come un utente vero;
- usano strumenti già presenti in Windows, come la riga di comando o i programmi di amministrazione, che un antivirus non può bloccare senza bloccare anche il lavoro;
- si muovono piano: esplorano la rete per giorni, cercano il server e il backup, e solo alla fine fanno partire la cifratura dei file.
Ogni singola azione, presa da sola, può sembrare normale. È la sequenza a essere sospetta: un utente dell'amministrazione che alle due di notte elenca tutte le cartelle del server, disattiva le copie shadow di Windows e prova ad accedere al NAS. Riconoscere queste sequenze è il mestiere dell'EDR.
Che cosa aggiunge un EDR
- Registrazione continua. Programmi avviati, connessioni, modifiche importanti: tutto viene annotato e conservato per un certo periodo. Se succede qualcosa, si può ricostruire che cosa è accaduto e da quale PC è partito.
- Riconoscimento dei comportamenti. Oltre ai file noti, l'EDR segnala schemi tipici degli attacchi, come il tentativo di cifrare in serie molti documenti o di rubare le password memorizzate.
- Isolamento a distanza. Con un clic dalla console, un PC sospetto viene staccato dalla rete aziendale ma resta raggiungibile dal tecnico per l'analisi. È l'equivalente digitale di chiudere una porta tagliafuoco.
- Risposta automatica. Molti prodotti fermano da soli il processo sospetto, mettono in quarantena i file e, in alcuni casi, ripristinano quelli modificati.
- Visione d'insieme. Lo stesso avviso su tre computer insieme racconta una storia diversa da un avviso isolato.
Un EDR non sostituisce il backup, l'aggiornamento dei programmi e il secondo controllo all'accesso: è uno strato in più, non la sicurezza intera. Le altre misure, in ordine di priorità, sono nella guida sulla sicurezza informatica per piccole aziende.
E l'antivirus gratuito? Che cosa va bene e che cosa no
Su Windows 10 e 11 c'è già Microsoft Defender Antivirus, integrato nel sistema e aggiornato da Windows Update. Tenuto attivo e aggiornato è una protezione di base valida, migliore di molti antivirus gratuiti installati sopra e dimenticati. Ha però tre limiti, in un'azienda:
- ogni PC fa per sé. Senza una gestione centrale nessuno sa se sul computer della segreteria la protezione è accesa, aggiornata o ha trovato qualcosa;
- gli avvisi li vede solo chi è al PC, e spesso li chiude senza leggerli;
- mancano le funzioni di risposta: niente isolamento a distanza, niente cronologia di cosa è accaduto.
Con gli antivirus gratuiti di altri produttori c'è anche una questione di licenza: molte versioni gratuite sono concesse solo per uso personale e non commerciale. Prima di installarne uno in ufficio, leggi le condizioni d'uso. E non installare mai due antivirus insieme sullo stesso PC: si ostacolano a vicenda, rallentano il computer e possono lasciare buchi proprio dove ciascuno pensa che ci sia l'altro.
Un caso concreto: Microsoft vende anche una versione aziendale di Defender con console e funzioni EDR, chiamata Defender for Business. Secondo le pagine ufficiali Microsoft è pensata per aziende fino a 300 utenti, è inclusa nell'abbonamento Microsoft 365 Business Premium e si può acquistare anche da sola. È un esempio di come, per chi usa già Microsoft 365, il passaggio a una protezione gestita possa partire da quello che c'è già. Prodotti equivalenti esistono di molti altri produttori di sicurezza.
La domanda che decide tutto: chi guarda gli avvisi?
Un EDR acceso ma senza nessuno che legge gli avvisi è come un allarme che suona in un capannone vuoto. Prima di scegliere il prodotto, decidi chi farà cosa:
- chi riceve gli avvisi, per email o sull'app, e in quali orari;
- chi può isolare un PC o fermare un programma, anche quando il titolare non è raggiungibile;
- che cosa succede la notte e nel fine settimana, quando molti attacchi partono proprio perché l'ufficio è vuoto;
- ogni quanto si controlla la console anche in assenza di allarmi: PC che non comunicano da giorni, licenze in scadenza, protezioni spente.
Per molte piccole aziende la risposta realistica è una protezione con buona risposta automatica, avvisi diretti al tecnico di riferimento e un controllo periodico della console. Chi non può permettersi nemmeno qualche ora di fermo, o deve dimostrare controlli continui, valuta un servizio MDR con presidio anche fuori orario.
Che cosa serve a chi: tre situazioni tipiche
| Situazione | Protezione sensata | Perché |
|---|---|---|
| Professionista con uno o due PC, posta e archivi in cloud | Defender integrato attivo e aggiornato, oppure un antivirus a pagamento per uso professionale; secondo controllo all'accesso su tutti gli account | Pochi dispositivi, il rischio maggiore è l'account rubato più del virus |
| Ufficio da 5 a 25 postazioni con server o NAS | Antivirus gestito con funzioni EDR su tutti i PC e sui server, console seguita dal tecnico | Serve vedere lo stato di tutti i computer e poter isolare in fretta quello colpito |
| Azienda con dati critici, più sedi o obblighi verso clienti soggetti a NIS2 | EDR con servizio MDR, registri conservati, procedure scritte | Bisogna rilevare e reagire anche fuori orario e poterlo dimostrare |
Se la tua azienda rientra fra i soggetti della direttiva europea NIS2, o lavora per chi ci rientra, la scelta va fatta anche alla luce di quegli obblighi: trovi un orientamento nella guida NIS2: a chi si applica.
Sette domande da fare a chi ti propone una protezione
- Che cosa copre la licenza? Solo i PC Windows, anche i server, anche i Mac e i telefoni? I server sono spesso dimenticati e sono il bersaglio principale.
- Ha l'isolamento a distanza e la risposta automatica? Senza queste, un EDR è soltanto un registro.
- Per quanto tempo conserva la cronologia? Alcuni attacchi si scoprono dopo settimane.
- Chi riceve gli avvisi e con quali tempi? Fatti spiegare che cosa succede se scatta un allarme di sabato.
- Si può disattivare dal PC? Una buona protezione aziendale ha una protezione contro le manomissioni: l'utente, o un programma dannoso, non può spegnerla.
- Come si gestiscono le eccezioni? Alcuni gestionali chiedono di escludere cartelle dal controllo: le esclusioni devono essere poche, motivate e documentate.
- Che cosa costa nel tempo? Le licenze sono quasi sempre annuali e per dispositivo o per utente: chiedi il costo su tre anni e con i dispositivi che avrai, non solo con quelli di oggi.
Gli errori più comuni
- Licenze scadute senza che nessuno se ne accorga: il programma resta installato, l'icona c'è, ma gli aggiornamenti sono fermi da mesi.
- Esclusioni troppo larghe, come un intero disco escluso "perché il gestionale era lento": proprio lì l'attacco lavora indisturbato.
- Utenti amministratori sui propri PC, che possono disinstallare o spegnere qualsiasi protezione.
- PC nuovi aggiunti senza agente: il portatile arrivato il mese scorso non compare nella console.
Se un attacco è già in corso, con file che diventano illeggibili, non fermarti a leggere: segui i passi della guida su cosa fare in caso di ransomware.
Come ti aiutiamo a scegliere e a gestire la protezione
Partiamo da un inventario di PC, portatili e server e da come lavorate: che posta usate, chi è amministratore, dove stanno i dati. Su questa base ti proponiamo una protezione proporzionata, la installiamo su tutti i dispositivi, regoliamo esclusioni e avvisi insieme al produttore del gestionale e ti spieghiamo chi riceverà gli allarmi e che cosa fare. Con un contratto di assistenza continuativa il controllo periodico della console e degli aggiornamenti può entrare nella manutenzione: lo definiamo insieme nel contratto. Lavoriamo da remoto in Nord e Centro Italia e in sede entro circa 100 km da Lodi Vecchio, a 43 € + IVA all'ora in entrambi i casi; per le visite da te si aggiunge il costo dell'uscita, che dipende dalla distanza. Le licenze sono una voce separata del preventivo. Scrivici dal modulo contatti o al 0371 464 186; gli altri servizi sono in Informatica e assistenza.
Domande frequenti
Il Defender di Windows basta per un piccolo ufficio?
Come protezione del singolo PC è una buona base, se resta attivo e aggiornato. Quello che manca è la parte aziendale: una console per vedere lo stato di tutti i computer, gli avvisi che arrivano al tecnico, l'isolamento a distanza. Con più di qualche postazione, o con un server, conviene una versione gestita.
Serve l'antivirus anche sul server?
Sì, ed è uno dei punti più trascurati. Il server contiene gestionale e archivi, ed è il primo obiettivo di chi vuole cifrare i dati. Serve una licenza specifica per server, con le esclusioni indicate dal produttore del gestionale e del database, e va inclusa nella stessa console dei PC.
Un EDR rallenta i computer?
Su PC recenti con disco SSD e memoria adeguata di solito l'effetto non si nota. Rallentamenti evidenti arrivano con computer vecchi, con due protezioni installate insieme o durante le scansioni complete in orario di lavoro, che si possono spostare in altri momenti.
Se ho un EDR posso fare a meno del backup?
No. L'EDR riduce la probabilità che un attacco vada a segno e aiuta a fermarlo prima, ma nessuna protezione è infallibile, e il backup serve anche per guasti, cancellazioni ed errori. Una copia separata e non modificabile resta indispensabile.