Come si sceglie un fornitore di sicurezza IoT?

Foto: FlyD / Unsplash

In sintesi

In ordine alfabetico, non è una classifica. Nessuno paga per entrare in una selezione e le schede in evidenza a pagamento qui non hanno alcuna preferenza (lo spiega la politica editoriale).

“Fornitore di sicurezza IoT” copre almeno tre mercati che si sovrappongono di rado. I fornitori di identità emettono e gestiscono i certificati con cui i dispositivi dimostrano chi sono. I fornitori di sicurezza di prodotto analizzano il firmware che spedisci e producono le evidenze che le autorità oggi chiedono. I fornitori di sicurezza di rete trovano e sorvegliano i dispositivi già in funzione in un reparto produttivo, in un ospedale o in un campus. Decidi quale problema hai prima di chiedere una demo, perché ogni gruppo risponde a una domanda diversa e lo compra un team diverso.

Se costruisci dispositivi: identità e firmware

Ai fornitori, chi produce dispositivi chiede due cose. La prima è l’identità: una PKI che emette certificati X.509 univoci in produzione, li rinnova sul campo e li revoca quando un dispositivo viene dismesso. Dove conservare le chiavi sul dispositivo (un secure element o un TPM) è una scelta hardware, ma è il fornitore della PKI a decidere come ci arrivano le chiavi e come si ruotano i certificati su tutta la flotta. La guida a identità dei dispositivi e PKI spiega i vari pezzi.

La seconda è sapere che cosa c’è dentro il firmware. Gli strumenti di analisi dei binari costruiscono una distinta dei componenti software (SBOM) a partire dall’immagine che spedisci davvero, compresi i componenti di terzi di cui non hai mai avuto il sorgente, e poi la confrontano con le nuove vulnerabilità. Con il Cyber Resilience Act e regole simili, quell’inventario e il modo in cui gestisci le vulnerabilità diventano obblighi da documentare; vedi normative sulla sicurezza IoT. Sempre più spesso chi compra chiede per quanto tempo un prodotto riceverà correzioni, una domanda di cui parlano le nostre guide sulla fine del supporto dei dispositivi smart e sulle etichette del periodo di supporto di sicurezza.

Se gestisci dispositivi: visibilità e rilevamento

Chi gestisce dispositivi ha bisogno prima di tutto di un inventario. I dispositivi OT e IoT spesso non possono ospitare agenti, e una scansione attiva può mandare in crisi controller delicati, quindi gli strumenti principali si basano sul monitoraggio passivo del traffico di rete, con interrogazioni sicure ai controller o sensori endpoint dove è possibile. L’inventario alimenta poi la priorità delle vulnerabilità, il rilevamento di anomalie e minacce e le decisioni sulla segmentazione della rete. In ambito industriale verifica come i risultati si mappano su zone e conduit della IEC 62443; la guida IoT e IIoT spiega perché le reti di stabilimento vanno trattate diversamente da quelle d’ufficio.

Qui l’installazione conta più che in altre categorie della sicurezza. I sensori hanno bisogno di porte span o tap nei punti giusti, gli stabilimenti possono richiedere console on premise o in ambiente isolato, e qualcuno deve smistare gli allarmi. Alcuni fornitori includono threat hunting o risposta agli incidenti; altri si aspettano che lo faccia il tuo SOC.

Come si pagano questi strumenti?

In queste categorie pochi fornitori pubblicano listini, quindi comincia chiedendo su quale unità fatturano. Per le piattaforme di identità può essere il numero di certificati emessi, di identità gestite o di chiavi di firma; per l’analisi del firmware, i prodotti, le immagini firmware o le scansioni; per la visibilità di rete, gli asset monitorati, i siti o i sensori, con i servizi in aggiunta. Chiedi un preventivo costruito sui tuoi numeri (dispositivi spediti all’anno, release del firmware, siti monitorati) invece di un prezzo di listino, e verifica che fine fanno certificati, SBOM o dati sugli asset se te ne vai.

Domande da fare al fornitore

• Quali dei nostri problemi risolve questo prodotto, e quali lascia ad altri strumenti?
• Che cosa produce esattamente lo strumento come evidenza per il CRA, la IEC 62443 o le pratiche FDA?
• Per gli strumenti di rete: il rilevamento è passivo per impostazione predefinita, e che cosa toccano le interrogazioni attive?
• Per gli strumenti di identità: come vengono iniettate le chiavi nella nostra fabbrica, e come si ruotano i certificati sul campo?
• Qual è il piano di migrazione post-quantistica per i certificati e le firme che emettiamo oggi?

Come abbiamo costruito questa lista

Le scelte vengono dalla categoria sicurezza della nostra directory e coprono i tre gruppi descritti sopra: identità e PKI, sicurezza del firmware e di prodotto, visibilità delle reti OT/IoT. Ogni nota è stata verificata sul sito ufficiale del fornitore il 22 ottobre 2026. La lista è in ordine alfabetico, non è una classifica, nessun fornitore ha pagato per comparire e non abbiamo provato i prodotti. Per le basi, parti dai fondamenti della sicurezza IoT.

La selezione

Aziende, prodotti e note qui sopra sono stati confrontati con i siti ufficiali dei fornitori il 22 ottobre 2026. Piani e prezzi cambiano: fa fede la pagina ufficiale. Manca un fornitore o ne abbiamo descritto male uno? Segnalacelo.