Defender for Cloud fa tre mestieri diversi con la stessa interfaccia: misura la postura, verifica la conformità e protegge i carichi di lavoro. Confonderli è il modo più rapido per pagare troppo o per credersi coperti quando non lo sei.

Due piani di postura, non uno solo

La postura si compra a livelli. Foundational CSPM è gratuito e ti dà inventario, raccomandazioni, secure score, workbook, esportazione ed esclusivamente il Microsoft Cloud Security Benchmark. Defender CSPM è a pagamento e aggiunge quasi tutto quello che rende la piattaforma diversa da un elenco di misconfigurazioni: analisi dei percorsi d’attacco, cloud security explorer, prioritizzazione per rischio, scansione senza agente delle VM per vulnerabilità e segreti, DSPM, gestione della postura di sicurezza AI, superficie d’attacco esterna, governance, raccomandazioni personalizzate e — dettaglio che sorprende molti — le valutazioni di conformità normativa oltre l’MCSB.

Due cose da tenere a mente. La prima: la fatturazione di Defender CSPM non è per sottoscrizione ma su risorse specifiche — macchine virtuali e set di scalabilità, account di archiviazione, server SQL, PostgreSQL e MySQL flessibili, aree di lavoro Synapse. La seconda: dal 27 ottobre 2026 Foundational CSPM passa a un modello opt-in e non sarà più attivo d’ufficio sulle nuove sottoscrizioni Azure. Le sottoscrizioni che lo hanno già acceso restano tali.

Identificare i rischi: grafo, percorsi d’attacco, secure score

Il cloud security graph è il motore contestuale: raccoglie inventario, connessioni di rete, esposizione a Internet, permessi, vulnerabilità e possibilità di movimento laterale, e ne costruisce un grafo. Sopra ci girano due cose. L’analisi dei percorsi d’attacco parte da un punto d’ingresso esterno realmente sfruttabile — una risorsa vulnerabile esposta — segue il movimento laterale e si ferma su un obiettivo critico, tipicamente dati sensibili. Il cloud security explorer ti lascia interrogare lo stesso grafo con query tue.

Il prerequisito che si dimentica: entrambe richiedono il piano Defender CSPM e l’attivazione della scansione senza agente per le macchine virtuali oppure della valutazione delle vulnerabilità nel piano Defender for Servers. Senza quella, il grafo è cieco su ciò che gira dentro le VM.

Il secure score è un’altra cosa e va letto come tale. Lo alimentano solo le raccomandazioni predefinite dell’MCSB, le raccomandazioni in anteprima non contano, e la prioritizzazione per rischio non lo influenza. Ogni controllo ha un punteggio massimo fisso e la formula è spietata:

punteggio del controllo = (punteggio massimo / (risorse sane + non sane)) * risorse sane

Tradotto: per prendere tutti i punti di un controllo devi risolvere tutte le raccomandazioni che contiene, su tutte le risorse. I controlli si ricalcolano ogni otto ore, mentre le raccomandazioni si aggiornano più spesso: la discrepanza fra i due conteggi non è un bug. Attenzione infine ai due modelli coesistenti: il secure score classico vive nel portale di Azure, mentre il Cloud secure score (risk-based), che pesa criticità e fattori di rischio delle risorse, vive nel portale di Microsoft Defender. Sono calcoli diversi, con valori diversi: non confrontarli.

Conformità: l’MCSB c’è già, il resto va assegnato

Quando accendi Defender for Cloud, l’MCSB viene applicato d’ufficio alle sottoscrizioni Azure. Sui connettori AWS arrivano MCSB e AWS Foundational Security Best Practices; su GCP, MCSB e GCP Default. Tutto il resto — ISO/IEC 27001:2022, PCI DSS v4.0.1, NIST SP 800-53 R5.1.1, CIS, HIPAA, DORA, NIS2, EU AI Act e diverse decine di altri — lo assegni tu.

Gli standard sono implementati come iniziative di Criteri di Azure. Servono i permessi Owner o Policy Contributor, e almeno un piano Defender attivo: la documentazione elenca due eccezioni esplicite, Defender for Servers Plan 1 e Defender for API Plan 1, che non aprono l’accesso agli standard.

Microsoft Defender for Cloud > Regulatory compliance > Manage compliance policies
> seleziona l'ambito > Security policies > porta lo standard su On

Assegna sempre all’ambito più alto applicabile, così i risultati si aggregano sulle risorse annidate. E leggi il dashboard con due avvertenze: i controlli non valutabili automaticamente compaiono in grigio — Defender for Cloud non dice che sei conforme, dice che non lo sa — e uno standard assegnato a un ambito privo di risorse pertinenti non compare affatto. Verde e assente non sono la stessa cosa.

Accendere i piani di protezione dei carichi di lavoro

La postura ti dice dove sei fragile; i piani di protezione generano avvisi quando qualcuno ci prova davvero. Si attivano per ambiente:

Microsoft Defender for Cloud > Environment settings > sottoscrizione > Enable all > Save

Storage, SQL e i database relazionali open source si possono abilitare anche a livello di singola risorsa; Defender for Servers e Defender for SQL servers on machines si abilitano anche a livello di area di lavoro. Ma il dashboard Workload protections è esplicito: funziona solo con i piani attivi a livello di sottoscrizione, le risorse onboardate singolarmente non compaiono. Per estendere tutto a un gruppo di gestione esiste l’onboarding dedicato.

Sulla prova gratuita: 30 giorni, o fino al limite di utilizzo. Un’eccezione da conoscere prima di firmare il budget: la scansione malware in Defender for Storage non è inclusa nella prova e si paga dal primo giorno. Infine, spegnere un piano non disinstalla le estensioni: dopo poco smettono semplicemente di raccogliere dati.