Tre piattaforme dominano le conversazioni dei CISO europei quando si parla di gestione delle vulnerabilità: Qualys VMDR, Tenable (con Nessus e il più ampio Tenable One) e Rapid7, che nel 2026 ha spostato il centro della propria offerta verso Exposure Command. Chi deve scegliere tra questi tre nomi si trova davanti a tre filosofie di prezzo diverse, tre modelli di copertura delle CVE diversi e tre strade per arrivare allo stesso obiettivo: sapere, prima degli attaccanti, dove si trova il prossimo buco nella rete aziendale.
Questo confronto nasce da un problema molto concreto che si vede ogni giorno nei team IT italiani ed europei: il budget per la sicurezza non cresce alla stessa velocità del numero di CVE pubblicate ogni settimana. Negli ultimi mesi i tre vendor hanno aggiornato le proprie piattaforme, cambiato nomi di prodotto e ridisegnato i listini. Qui mettiamo a confronto dati pubblici, pagine prezzi ufficiali e recensioni indipendenti, senza inventare numeri che i vendor stessi non pubblicano. Lo facciamo partendo da un presupposto semplice: in un mercato dove ogni fornitore enterprise preferisce il preventivo personalizzato al listino pubblico, il lettore ha più bisogno di capire la struttura del prezzo che di un singolo numero isolato dal contesto.
Cos’è il vulnerability management e perché conta di più nel 2026
Il vulnerability management è il processo con cui un’organizzazione scopre i propri asset (server, endpoint, container, carichi di lavoro cloud, dispositivi IoT e OT), li scansiona per individuare falle note, assegna un livello di rischio a ciascuna falla e decide cosa correggere per primo. Sembra semplice sulla carta. Nella pratica, un’azienda media gestisce oggi migliaia di asset distribuiti tra data center, cloud pubblico e dispositivi remoti, e ogni settimana escono decine di nuove CVE che vanno valutate rispetto a quell’inventario.
Qualys, Tenable e Rapid7 nascono tutti come scanner di vulnerabilità puri, ma negli ultimi anni hanno spinto verso una categoria più ampia che il settore chiama exposure management: non solo elenco di CVE, ma visione unificata del rischio che include configurazioni errate, superficie di attacco esterna e priorità basata sul contesto aziendale. Capire dove si trova oggi ciascun vendor su questo spettro è il primo passo per scegliere bene.
Qualys VMDR: inventario, rilevamento e patch in un’unica app
Qualys VMDR (Vulnerability Management, Detection and Response) resta il prodotto di punta dell’azienda di Foster City e combina in un’unica interfaccia la scoperta degli asset, la rilevazione delle vulnerabilità, la classificazione del rischio e la prioritizzazione basata sulla criticità di business di ciascun asset. Secondo la pagina ufficiale del prodotto, VMDR with Patch Management estende questa base aggiungendo il rilevamento di configurazioni errate rispetto ai benchmark CIS, organizzando i risultati per singolo asset piuttosto che per singola vulnerabilità isolata.
Un punto che Qualys sottolinea nella propria documentazione commerciale è la copertura su asset IT, OT e IoT, con un inventario categorizzato che include informazioni sul ciclo di vita del vendor di ciascun dispositivo. Per le aziende manifatturiere italiane con linee di produzione collegate in rete, questo tipo di visibilità su asset non tradizionali pesa spesso più della semplice velocità di scansione.
Qualys presenta inoltre il modello di licenza per asset come un vantaggio di costo totale di gestione, perché il cliente non deve occuparsi di aggiornare manualmente il software dello scanner: la piattaforma è erogata come servizio cloud e gli aggiornamenti del motore e delle firme arrivano lato Qualys. È un argomento che il vendor stesso mette in evidenza, e che va letto come posizionamento commerciale più che come benchmark indipendente.
Tenable: da Nessus standalone a Tenable One
Tenable gioca su due livelli distinti, e capire la differenza è essenziale prima di guardare i prezzi. Il primo livello è Nessus, lo scanner standalone che ha reso Tenable famosa fin dagli anni duemila e che oggi si vende come Nessus Professional o Nessus Expert, pensato per singoli professionisti, piccoli team o consulenti di penetration testing. Il secondo livello è Tenable One, la piattaforma di exposure management più ampia, pensata per organizzazioni che vogliono correlare vulnerabilità, identità, superficie cloud e rischio applicativo in un’unica vista.
Sul fronte copertura, un blog ufficiale Tenable dedicato alla direttiva CISA BOD 26-04 dichiarava a marzo 2026 oltre 315.000 plugin e copertura di più di 116.000 CVE nel proprio catalogo. Tenable precisa esplicitamente che questo numero è dinamico, aggiornato e pubblicato nel catalogo online, quindi va trattato come una fotografia di quel momento e non come un valore fisso nel tempo. Lo stesso contenuto spiega come Tenable One Exposure Management supporti le agenzie federali statunitensi nella conformità alla direttiva, un caso d’uso che dà un’idea concreta di quanto il framework CISA KEV (il catalogo delle vulnerabilità note e attivamente sfruttate) sia ormai parte integrante del flusso di prioritizzazione, non solo negli Stati Uniti ma anche come riferimento per i team di sicurezza europei.
Per chi cerca solo uno scanner puntuale senza il livello di piattaforma, Nessus resta il prodotto più citato nel settore, con una pagina di confronto competitivo pubblicata direttamente da Tenable che lo posiziona contro gli strumenti gratuiti e contro i moduli di sicurezza nativi dei grandi cloud provider.
Rapid7: da InsightVM a Exposure Command
Rapid7 ha compiuto nel 2026 il cambiamento di posizionamento più visibile dei tre vendor. InsightVM, lo storico prodotto di vulnerability management dell’azienda di Boston, oggi viene presentato come componente di una piattaforma più ampia chiamata Exposure Command, con un piano denominato Exposure Command Essentials che combina gestione delle vulnerabilità e attack-surface management in un’unica sottoscrizione.
Un dettaglio importante per chi già usa InsightVM: la pagina prodotto Rapid7 specifica che il passaggio a Exposure Command non comporta necessariamente un nuovo motore di scansione. Sotto il cofano continua a lavorare lo stesso scanner di InsightVM, quello che Rapid7 ha affinato per oltre un decennio. Cambia il contenitore commerciale e l’interfaccia unificata, non (almeno non dichiaratamente) la base tecnologica di rilevamento.
Sul fronte della revisione indipendente, una recensione del 2026 pubblicata da itechguides descrive InsightVM dentro Exposure Command concentrandosi su prezzi, pro e contro, un punto di vista utile per chi non vuole basarsi solo sul materiale del vendor. Il quadro che emerge è quello di un prodotto maturo, con una curva di apprendimento ragionevole per team che hanno già familiarità con dashboard di sicurezza, descritto nella recensione di itechguides su Rapid7 InsightVM.
Tabella comparativa: specifiche tecniche a confronto
La tabella seguente raccoglie le caratteristiche dichiarate pubblicamente da ciascun vendor. Dove un dato non è pubblicato, lo segnaliamo come tale invece di stimarlo.
| Caratteristica | Qualys VMDR | Tenable (Nessus / Tenable One) | Rapid7 (InsightVM / Exposure Command) |
|---|---|---|---|
| Modello di prodotto | Piattaforma cloud unica, licenza per asset | Scanner standalone (Nessus) + piattaforma exposure (Tenable One) | Scanner InsightVM integrato in Exposure Command |
| Copertura CVE/plugin dichiarata | Non pubblicata come numero unico | Oltre 315.000 plugin, oltre 116.000 CVE (dato di marzo 2026) | Non pubblicata come numero unico |
| Scoperta asset IT | Sì | Sì | Sì |
| Scoperta asset OT/IoT | Sì, con inventario categorizzato e ciclo di vita vendor | Disponibile nell’offerta Tenable One/OT Security | Focus principale su IT e cloud |
| Patch management integrato | Sì, modulo VMDR with Patch Management | Tramite integrazioni e moduli dedicati | Tramite moduli di remediation in Exposure Command |
| Controlli di configurazione CIS | Sì, incluso nel modulo Patch Management | Sì, tramite Tenable Vulnerability Management | Sì, tramite moduli di configuration assessment |
| Attack Surface Management | Modulo separato nella suite Qualys | Incluso nella visione Tenable One | Incluso in Exposure Command Essentials |
| Motore di scansione | Motore cloud proprietario Qualys | Motore Nessus | Stesso motore storico InsightVM |
| Modalità di deployment | Cloud-native (SaaS) | Cloud, on-prem (Nessus) o hybrid | Cloud-native (SaaS) |
| Pubblico target principale | Enterprise con asset IT/OT/IoT misti | Da singolo consulente a grande enterprise | Enterprise con focus su attack surface |
| Prezzo pubblico unitario | Non pubblicato (su preventivo) | Pubblicato per Nessus, su preventivo per Tenable One | Pubblicato per piano base, su preventivo per enterprise |
| Fonte ufficiale | qualys.com | tenable.com | rapid7.com |
Prezzi a confronto: quanto costano davvero Qualys, Tenable e Rapid7
Qui le differenze si fanno più nette, anche se restano difficili da confrontare in modo perfettamente omogeneo perché i tre vendor adottano modelli di listino diversi. Rapid7 è l’unico dei tre a pubblicare un prezzo di partenza semplice: secondo la pagina prezzi ufficiale, InsightVM parte da 1,62 dollari al mese per asset, calcolato su un pacchetto di 500 asset. Questo numero dà un ordine di grandezza utile, ma non copre i moduli aggiuntivi di Exposure Command.
Tenable, invece, pubblica listini precisi solo per Nessus. Nessus Professional costa 4.790 dollari per una licenza annuale, con sconti percentuali sulle licenze pluriennali: il piano biennale sale a 9.330,95 dollari e quello triennale a 13.637,54 dollari secondo la pagina acquisti ufficiale. Nessus Expert, la versione pensata per penetration test più avanzati e superficie di attacco esterna, parte da 6.790 dollari all’anno secondo la pagina di confronto competitivo del vendor. Tenable One, la piattaforma enterprise più ampia, non ha un listino pubblico equivalente e richiede un preventivo dedicato.
Qualys VMDR non pubblica un prezzo unitario comparabile a quelli di Rapid7 o Nessus sulle pagine consultate. Il vendor descrive il modello come tariffazione per asset, ma lascia la quotazione specifica al processo di vendita diretta, cosa comune tra i fornitori enterprise che vendono principalmente tramite account manager dedicati.
| Piano | Vendor | Prezzo pubblicato | Periodo | Note |
|---|---|---|---|---|
| InsightVM base | Rapid7 | Da 1,62 $/asset al mese | Mensile, calcolato su 500 asset | Non include moduli avanzati Exposure Command |
| Exposure Command Essentials | Rapid7 | Su preventivo | Annuale | Combina vulnerability management e attack surface |
| Nessus Professional | Tenable | 4.790 $ | Annuale | Licenza singola, scanner standalone |
| Nessus Professional biennale | Tenable | 9.330,95 $ | 2 anni | Sconto su rinnovo pluriennale |
| Nessus Professional triennale | Tenable | 13.637,54 $ | 3 anni | Sconto massimo dichiarato |
| Nessus Expert | Tenable | Da 6.790 $ | Annuale | Pensato per pentest e superficie esterna |
| Tenable One | Tenable | Su preventivo | Annuale | Piattaforma exposure management completa |
| Qualys VMDR | Qualys | Su preventivo | Annuale | Tariffazione per asset, nessun listino pubblico unitario |
| Qualys VMDR with Patch Management | Qualys | Su preventivo | Annuale | Modulo aggiuntivo per remediation |
Un avvertimento importante per chi lavora in Italia: tutti questi prezzi sono espressi in dollari e pubblicati dai vendor sui rispettivi siti statunitensi. Non includono necessariamente l’IVA italiana, eventuali sconti enterprise negoziati, servizi professionali di implementazione o costi di formazione del team. Chi gestisce un budget IT in euro dovrebbe sempre richiedere un preventivo localizzato prima di confrontare le cifre riga per riga.
Copertura delle vulnerabilità e aggiornamento del database
La copertura delle vulnerabilità è probabilmente il criterio più difficile da confrontare in modo onesto, perché ogni vendor misura il proprio catalogo con metriche diverse. Tenable è il solo dei tre ad aver pubblicato un numero verificabile e recente: oltre 315.000 plugin e più di 116.000 CVE coperte, dato riportato nel blog ufficiale datato marzo 2026. Qualys e Rapid7 non pubblicano un numero equivalente sulle pagine prodotto consultate, il che non significa che la loro copertura sia inferiore, semplicemente che il dato non è comunicato con la stessa trasparenza numerica.
Quello che conta nella pratica quotidiana di un team di sicurezza non è tanto il numero assoluto di CVE coperte, quanto la velocità con cui un vendor aggiunge il rilevamento per una vulnerabilità appena pubblicata. Tenable sottolinea che il proprio catalogo è dinamico e aggiornato continuamente, un messaggio che va letto come impegno dichiarato piuttosto che come garanzia misurabile da terzi. Lo stesso vale per Qualys, che aggiorna il motore cloud centralmente senza richiedere interventi lato cliente, e per Rapid7, che mantiene lo stesso motore di scansione storico di InsightVM anche dentro Exposure Command.
Per un’azienda italiana soggetta a NIS2, questo significa una cosa molto pratica: qualunque piattaforma si scelga, va verificato nel contratto o nella demo quanto tempo passa tra la pubblicazione pubblica di una CVE critica e la disponibilità del controllo di rilevamento corrispondente nello strumento. Nessuno dei tre vendor pubblica un SLA numerico su questo specifico punto nelle pagine consultate per questo articolo, quindi è una domanda che vale la pena fare direttamente in fase di valutazione commerciale.
Integrazione con CISA KEV e prioritizzazione del rischio reale
Il catalogo CISA KEV (Known Exploited Vulnerabilities) elenca le falle che gli attaccanti stanno già sfruttando attivamente, a differenza del generico database CVE che include anche vulnerabilità mai exploitate in natura. Dare priorità a ciò che compare nel KEV, invece di correre dietro a ogni singola CVE con punteggio CVSS alto, è diventato lo standard de facto per i team di vulnerability management più maturi, anche fuori dagli Stati Uniti.
Tenable ha costruito contenuti commerciali specifici su questo fronte: il blog ufficiale dedicato alla direttiva CISA BOD 26-04 descrive come Tenable One Exposure Management aiuti le agenzie federali statunitensi a rispettare l’obbligo di correggere le vulnerabilità del catalogo KEV entro scadenze precise. È un caso d’uso nato in ambito federale USA, ma il principio (prioritizzare in base all’exploit reale, non solo al punteggio teorico) è esattamente ciò che un CISO europeo dovrebbe chiedere a qualunque piattaforma di vulnerability management, Qualys e Rapid7 incluse.
Sia Qualys che Rapid7 integrano logiche di risk scoring che vanno oltre il semplice CVSS, combinando contesto dell’asset, presenza di exploit pubblici e criticità di business. Nessuna delle due pagine prodotto consultate per questo articolo pubblica però un confronto diretto con il catalogo KEV con la stessa visibilità editoriale di Tenable, il che rende quest’ultima, almeno sul piano della comunicazione pubblica, il vendor che oggi lega più esplicitamente il proprio prodotto al tema della prioritizzazione basata su exploit reali.
Cosa dicono le fonti indipendenti
Oltre al materiale dei tre vendor, abbiamo guardato a due fonti indipendenti per bilanciare il quadro. La prima è una recensione del 2026 pubblicata da itechguides su Rapid7 InsightVM, che si concentra su prezzi, punti di forza e limiti del prodotto visto da un osservatore esterno, utile soprattutto per chi valuta il passaggio a Exposure Command senza aver mai usato InsightVM prima.
La seconda è un articolo del blog di Cloudaware sul vulnerability management in ambienti cloud, che inquadra il problema da una prospettiva più ampia: in infrastrutture ibride e multi-cloud, la scoperta degli asset diventa spesso il collo di bottiglia reale, più della capacità di scansione in sé. È un punto che vale per tutti e tre i vendor di questo confronto, perché nessuno dei tre risolve da solo il problema dell’inventario se l’azienda non ha prima mappato correttamente dove vivono i propri carichi di lavoro cloud.
È onesto dire che, al momento della stesura di questo articolo, non esistono benchmark indipendenti recenti e pubblicamente verificabili su velocità di scansione o accuratezza del rilevamento che confrontino Qualys, Tenable e Rapid7 fianco a fianco con metodologia di laboratorio aperta. I rapporti di analisti come Gartner o Forrester esistono, ma richiedono accesso a pagamento e non pubblicano cifre libere confrontabili senza licenza. Chi scrive preferisce dirlo chiaramente piuttosto che inventare un punteggio che nessuna fonte ha realmente pubblicato: la decisione finale, su questo specifico aspetto, va presa con una prova sul campo (proof of concept) nel proprio ambiente, replicando per almeno due settimane le condizioni reali di rete, numero di asset e carico di lavoro tipico della propria infrastruttura, non solo un ambiente demo preconfigurato dal vendor.
Un ultimo avvertimento utile per chi legge classifiche o liste dei migliori tool di vulnerability management online: molte di queste pagine sono scritte o sponsorizzate indirettamente dagli stessi vendor, oppure da siti di affiliazione che guadagnano una commissione sul lead generato. Non è un problema di per sé, ma significa che il posizionamento in cima a una lista non equivale a un’analisi tecnica indipendente. La combinazione più sicura resta leggere la documentazione ufficiale di ciascun vendor, verificare i prezzi pubblicati direttamente sul sito del fornitore e, quando possibile, parlare con un’azienda che già usa lo strumento in un contesto simile al proprio, prima di firmare un contratto pluriennale che in alcuni casi, come visto con Nessus, arriva fino a tre anni di impegno.
Resta inoltre da considerare il peso della formazione interna: uno strumento tecnicamente superiore ma difficile da configurare rischia di restare sotto-utilizzato, con scansioni parziali e dashboard che nessuno controlla davvero ogni settimana. Qualunque sia la scelta finale tra Qualys, Tenable e Rapid7, il fattore che più spesso determina il successo di un progetto di vulnerability management non è il nome del vendor sul contratto, ma quanto tempo il team dedica davvero a leggere i report e a chiudere le criticità aperte.
Cinque scenari reali: quale piattaforma si adatta meglio
Più che casi clienti specifici, che i vendor non rendono pubblici con dettagli verificabili nelle pagine consultate, ha senso ragionare per scenario tipico, quello che un IT manager italiano riconosce facilmente nella propria organizzazione.
- Banca o assicurazione soggetta a NIS2 e DORA: serve una piattaforma che collega vulnerabilità, identità e superficie cloud in un’unica vista di rischio, perché gli auditor chiedono sempre più spesso una traccia end-to-end dal rilevamento alla chiusura della criticità. Tenable One, con la sua impostazione da exposure management, è pensata esattamente per questo tipo di correlazione, anche se il prezzo richiede un preventivo dedicato e un ciclo di valutazione più lungo rispetto a un semplice scanner.
- Manifattura con linee OT collegate in rete: la scoperta di asset OT e IoT con inventario del ciclo di vita vendor, un punto di forza dichiarato di Qualys VMDR, pesa più della semplice velocità di scansione su server IT standard, soprattutto quando un impianto non può essere scansionato con le stesse tecniche invasive usate su un server tradizionale senza rischiare un fermo produzione.
- Startup SaaS cloud-native con team di sicurezza piccolo: un prezzo di partenza semplice e pubblico come quello di InsightVM (1,62 dollari per asset al mese su 500 asset) permette di stimare il costo senza passare per un ciclo di vendita lungo, un vantaggio concreto per un team di due o tre persone che deve giustificare la spesa al CFO senza aspettare settimane un preventivo formale.
- Consulente di penetration testing o piccolo team offensivo: Nessus Professional o Nessus Expert restano lo strumento più citato nel settore per scansioni puntuali, con un listino annuale chiaro e senza bisogno di una piattaforma enterprise completa, utile per chi fattura a progetto e deve prevedere il costo dello strumento dentro un preventivo cliente.
- Gruppo industriale multi-sede con esigenze di attack surface management: Exposure Command Essentials di Rapid7, che unisce vulnerability management e visibilità sulla superficie esterna in un solo piano, riduce il numero di strumenti da integrare rispetto a tenere scanner e attack surface separati, un fattore che conta quando il team di sicurezza centrale deve supervisionare decine di sedi con risorse IT locali limitate.
Guida alla migrazione: come passare da un tool all’altro
Cambiare piattaforma di vulnerability management non è un’operazione da fare con leggerezza, perché si rischia di perdere mesi di storico sulle vulnerabilità già tracciate e sulle eccezioni già concordate con i team applicativi. Ecco un percorso realistico in sei fasi, utile sia per chi passa da Nessus a VMDR, sia per chi migra da InsightVM a un altro vendor o viceversa.
- Esporta l’inventario completo degli asset dal sistema attuale, inclusi tag, owner e criticità di business assegnata a ciascun asset: senza questo passaggio il nuovo strumento ripartirà da zero senza contesto.
- Mappa le integrazioni esistenti (SIEM, ticketing, CMDB, pipeline CI/CD) e verifica che il nuovo vendor supporti le stesse API o connettori, altrimenti pianifica uno sviluppo custom prima del cutover.
- Esegui una fase di scansione parallela per almeno due o tre cicli completi, lasciando attivo il vecchio scanner mentre il nuovo gira in produzione: questo permette di confrontare i risultati e individuare falsi negativi prima di spegnere lo strumento legacy.
- Migra le regole di eccezione e i falsi positivi già accettati, perché riprodurre da zero ogni eccezione concordata con i team di sviluppo è il modo più rapido per generare ticket inutili e perdere la fiducia degli stakeholder interni.
- Riforma i dashboard e i report per la direzione, allineando le metriche chiave (tempo medio di remediation, percentuale di asset scansionati, numero di criticità aperte) alla nuova terminologia del vendor, che spesso non coincide esattamente con quella precedente.
- Forma il team operativo sulla nuova interfaccia prima del cutover definitivo, pianificando almeno una settimana di affiancamento per gli analisti che gestiscono il triage quotidiano delle vulnerabilità.
Durante questo percorso, il rischio più comune non è tecnico ma organizzativo: i team applicativi che hanno già negoziato eccezioni con il vecchio scanner tendono a resistere quando il nuovo strumento rialza allarmi già chiusi in passato. Comunicare in anticipo che la migrazione comporta una fase di riallineamento riduce l’attrito. Vale anche la pena fissare una data di cutover definitiva e comunicarla con settimane di anticipo a tutti i team coinvolti, perché una migrazione che resta in modalità parallela per troppo tempo tende a non finire mai: qualcuno continuerà a guardare solo il vecchio dashboard per abitudine, vanificando lo sforzo fatto per allineare i nuovi report.
Pro e contro di Qualys VMDR
Qualys VMDR convince per la copertura degli asset non tradizionali e per un’esperienza di gestione centralizzata senza aggiornamenti manuali del software lato cliente. Il modulo di Patch Management integrato riduce il numero di strumenti separati da orchestrare rispetto a chi usa scanner e sistema di patching di fornitori diversi.
- Pro: copertura dichiarata su asset IT, OT e IoT con inventario del ciclo di vita vendor.
- Pro: patch management e controlli di configurazione CIS nella stessa suite.
- Pro: modello cloud che evita aggiornamenti manuali del motore di scansione.
- Contro: nessun listino pubblico unitario, ogni preventivo richiede un ciclo di vendita diretto.
- Contro: minore visibilità editoriale pubblica sull’integrazione con cataloghi di exploit noti come CISA KEV rispetto a Tenable.
Pro e contro di Tenable (Nessus e Tenable One)
Tenable vince sulla trasparenza dei prezzi per il prodotto standalone e sulla scala dichiarata del proprio catalogo di rilevamento. La doppia natura del prodotto, però, è anche il suo limite principale: chi parte da Nessus e scopre di aver bisogno delle funzioni enterprise di Tenable One affronta un salto di prezzo che richiede una trattativa separata.
- Pro: oltre 315.000 plugin e oltre 116.000 CVE dichiarate, con aggiornamento continuo del catalogo.
- Pro: listino pubblico chiaro per Nessus Professional ed Expert, comodo per budget definiti in anticipo.
- Pro: posizionamento esplicito sulla conformità a direttive come CISA BOD 26-04 e sulla prioritizzazione basata su exploit reali.
- Contro: Tenable One, la parte più completa della piattaforma, resta su preventivo e non ha un listino pubblico equivalente a Nessus.
- Contro: passare da uno scanner standalone a una piattaforma enterprise comporta una curva di adozione più lunga per team piccoli.
Pro e contro di Rapid7 (InsightVM e Exposure Command)
Rapid7 offre il prezzo di partenza più trasparente dei tre vendor e mantiene la continuità tecnologica del motore InsightVM anche dentro la nuova cornice Exposure Command, un vantaggio per chi già conosce il prodotto e non vuole rifare da zero la curva di apprendimento.
- Pro: prezzo di partenza pubblico e semplice da stimare (1,62 dollari per asset al mese su 500 asset).
- Pro: stesso motore di scansione storico di InsightVM, continuità per chi già lo usa.
- Pro: Exposure Command Essentials unisce vulnerability management e attack surface management in un solo piano.
- Contro: i piani enterprise più ampi restano su preventivo, come per gli altri due vendor.
- Contro: copertura OT/IoT meno enfatizzata nella comunicazione pubblica rispetto a Qualys.
Integrazioni, API e automazione per SOC e team MSSP
Nessuno dei tre strumenti vive isolato dentro un’infrastruttura aziendale. Il valore reale di una piattaforma di vulnerability management si misura spesso da quanto facilmente si collega al resto dello stack di sicurezza: il SIEM che raccoglie i log, il sistema di ticketing che apre le richieste di patching, la pipeline CI/CD che blocca una build con una dipendenza vulnerabile, e il SOAR che automatizza la risposta quando emerge una criticità sfruttabile. Qualys, Tenable e Rapid7 pubblicano tutti documentazione API pubblica e offrono connettori verso i sistemi di ticketing più diffusi nelle aziende italiane, come Jira e ServiceNow, oltre a integrazioni verso piattaforme SIEM generaliste.
Per un Security Operations Center interno, la domanda da porsi non è se l’integrazione esiste sulla carta, ma quanto lavoro di configurazione richiede renderla operativa. Un MSSP che gestisce decine di clienti con strumenti diversi guarda soprattutto alla capacità multi-tenant della piattaforma: poter separare dashboard, report e policy di scansione per ogni cliente senza dover duplicare l’infrastruttura di backend. Le pagine prodotto consultate per questo confronto non dettagliano a fondo le funzioni multi-tenant per i reseller, quindi chi lavora in un contesto MSSP dovrebbe chiedere una demo specifica su questo punto prima di firmare un contratto pluriennale.
Un altro fronte di automazione sempre più richiesto riguarda l’integrazione diretta nella pipeline di sviluppo, per bloccare il deploy di un container con una vulnerabilità critica prima che arrivi in produzione. Qui la differenza tra i tre vendor si gioca meno sul nome del prodotto e più sulla maturità del modulo cloud o container specifico che ciascuno vende come add-on separato rispetto al core di vulnerability management. Prima di scegliere, vale la pena chiedere al vendor una demo che copra esattamente il proprio stack: Kubernetes, immagini container, funzioni serverless o infrastruttura IaC, perché la copertura di questi ambienti può variare molto tra un modulo e l’altro anche all’interno dello stesso vendor.
Cosa chiedere in fase di RFP: una checklist per i team italiani
Chi gestisce una gara d’appalto o una richiesta di offerta per un nuovo strumento di vulnerability management dovrebbe andare oltre il confronto tra listini e concentrarsi su un set di domande che nessuna pagina prodotto dei tre vendor risponde in modo diretto e pubblico. La prima riguarda la latenza di rilevamento: quanto tempo passa, in media, tra la pubblicazione di una CVE critica e la disponibilità del controllo corrispondente nello strumento. Nessuno dei tre vendor pubblica un numero verificabile su questo aspetto nelle pagine consultate, quindi va chiesto esplicitamente in fase di RFP, con un impegno scritto se possibile.
La seconda domanda riguarda la localizzazione dei dati: dove vengono conservati i risultati delle scansioni, un tema sempre più rilevante per aziende soggette a GDPR e, dal 2026, alle verifiche di conformità legate a NIS2. La terza riguarda il costo reale a tre anni, non solo il primo anno: Tenable pubblica sconti pluriennali espliciti su Nessus, mentre per Tenable One, Qualys VMDR e i piani enterprise di Rapid7 il costo a più anni va negoziato caso per caso. La quarta domanda, spesso trascurata, riguarda l’uscita dal contratto: quanto è semplice esportare lo storico delle vulnerabilità e delle eccezioni accettate se in futuro si decide di cambiare fornitore, un tema che si ricollega direttamente alla guida alla migrazione di cui abbiamo parlato sopra.
Infine, per i gruppi con sedi in più paesi europei, conviene chiedere se il supporto tecnico e la documentazione sono disponibili in lingua locale o solo in inglese, e se esiste un account team dedicato per il mercato italiano. Nessuno dei tre vendor pubblica questo dettaglio sulle pagine prodotto generiche, ma è un punto che incide molto sulla velocità con cui un problema operativo viene risolto durante un incidente reale, quando ogni ora di attesa su un ticket di supporto può tradursi in un asset critico non ancora corretto.
Verdetto: quale piattaforma scegliere in base ai dati
Non esiste un vincitore unico tra Qualys, Tenable e Rapid7, e chiunque proponga un verdetto netto senza distinguere il contesto aziendale sta semplificando troppo. Quello che i dati raccolti permettono di dire con sicurezza è diverso: se il criterio principale è la trasparenza del prezzo di ingresso, Rapid7 InsightVM vince con un numero pubblico verificabile (1,62 dollari per asset al mese). Se il criterio è la scala dichiarata del catalogo di rilevamento, Tenable è l’unico a pubblicare una cifra precisa e recente (oltre 315.000 plugin, oltre 116.000 CVE a marzo 2026). Se il criterio è la copertura di asset OT e IoT con gestione del ciclo di vita del vendor, Qualys VMDR porta l’argomento più dettagliato nella propria documentazione pubblica.
Per un’azienda italiana di medie dimensioni con infrastruttura principalmente IT e cloud, senza grandi esigenze OT, il compromesso più ragionevole tra prezzo trasparente e funzionalità complete è spesso Rapid7 Exposure Command Essentials, proprio per il punto di partenza pubblico sul prezzo. Per un gruppo industriale con impianti OT e necessità di conformità NIS2 stringente, Qualys VMDR resta l’opzione con la storia più solida su quel tipo di asset. Per chi vuole legare esplicitamente la propria strategia di patching alla prioritizzazione basata su exploit reali, con un occhio a standard come il catalogo KEV, Tenable One offre oggi la narrativa più coerente, anche al prezzo di dover negoziare un preventivo dedicato invece di leggere un numero sul sito.
Domande frequenti
Qualys VMDR, Tenable e Rapid7 fanno la stessa cosa?
Nel nucleo sì: tutti e tre scoprono asset, rilevano vulnerabilità e assegnano una priorità di rischio. Cambiano il modello di prezzo, la profondità su asset OT/IoT e il modo in cui ciascuno comunica la propria copertura di CVE.
Qual è il più economico per una piccola azienda?
In base ai listini pubblici disponibili, Rapid7 InsightVM ha il prezzo di ingresso più trasparente (1,62 dollari per asset al mese su 500 asset). Tenable Nessus Professional, a 4.790 dollari l’anno per licenza, è comunque un’opzione chiara per chi vuole solo uno scanner standalone senza piattaforma enterprise.
Tenable One e Nessus sono lo stesso prodotto?
No. Nessus è lo scanner standalone con listino pubblico. Tenable One è la piattaforma di exposure management più ampia, che include Nessus come componente ma aggiunge correlazione tra identità, cloud e rischio applicativo, con prezzo su preventivo.
InsightVM è stato sostituito da Exposure Command?
Non tecnicamente. Rapid7 presenta InsightVM come componente di Exposure Command e dichiara che il motore di scansione resta lo stesso. Cambia il nome commerciale e il pacchetto di funzionalità incluse, non il cuore del prodotto.
Quale dei tre copre meglio ambienti OT e IoT?
Qualys VMDR è quello che pubblica la descrizione più dettagliata su scoperta e gestione del ciclo di vita di asset IT, OT e IoT nella propria documentazione commerciale.
Esiste un benchmark indipendente su velocità e accuratezza?
Al momento della scrittura non risultano benchmark pubblici e verificabili che confrontino i tre vendor con metodologia di laboratorio aperta. I rapporti di analisti specializzati esistono ma sono a pagamento. La prova sul campo nel proprio ambiente resta il metodo più affidabile.
Come si collega tutto questo al catalogo CISA KEV?
Il catalogo KEV elenca le vulnerabilità già sfruttate attivamente. Tenable ha pubblicato contenuti specifici su come la propria piattaforma supporti la conformità a direttive americane legate al KEV, un principio di prioritizzazione per exploit reale che vale anche per i team europei, indipendentemente dal vendor scelto.
Conviene usare più di un vendor in parallelo?
Alcune organizzazioni grandi lo fanno per avere una seconda opinione su asset critici, ma comporta doppio costo di licenza e doppio carico di gestione per il team. Per la maggior parte delle aziende italiane, consolidare su un solo vendor con integrazioni solide verso SIEM e ticketing resta la scelta più sostenibile nel tempo.
