Nell’agosto 2026 il mercato del CSPM (Cloud Security Posture Management) vale tra 5,29 e 6,43 miliardi di dollari, con proiezioni che lo portano fino a 48 miliardi entro il 2035, secondo diverse analisi di settore. Due nomi dominano le conversazioni dei CISO europei: Wiz, comprata da Google per 32 miliardi di dollari, e Orca Security, il concorrente agentless che rivendica scansioni complete in 24 ore. Questo confronto mette a terra dati di prezzo, velocità di scansione, copertura cloud e casi reali per aiutarti a scegliere.

Le aziende italiane ed europee che gestiscono infrastrutture multi-cloud affrontano un problema concreto: circa il 75% delle violazioni cloud nasce da configurazioni errate, non da exploit sofisticati. Il costo medio di una violazione di questo tipo arriva a 4,45 milioni di dollari, con picchi fino a 28 milioni per gli incidenti più gravi. Un CSPM ben scelto riduce drasticamente quella superficie di rischio, ma capire quale piattaforma comprare (o se serve davvero) richiede numeri, non slogan di marketing.

Il confronto che segue nasce da preventivi pubblicati su AWS Marketplace, report di analisti indipendenti come GigaOm e TAG Cyber, e casi cliente verificabili sui blog ufficiali dei due vendor. Non troverai opinioni generiche: ogni cifra citata ha una fonte, e dove i dati mancano lo diciamo esplicitamente invece di inventare un numero comodo. È il criterio minimo per confrontare due strumenti che, da soli, possono costare a un’azienda europea più di 100.000 euro l’anno.

Cos’è il CSPM e perché conta nel 2026

Il CSPM monitora in modo continuo gli ambienti cloud (AWS, Azure, GCP e altri) per trovare configurazioni errate, permessi eccessivi, bucket di storage esposti pubblicamente e violazioni di compliance, prima che un attaccante le sfrutti. Nel 2026 la categoria si è fusa con il CWPP (Cloud Workload Protection Platform) e il CIEM (Cloud Infrastructure Entitlement Management) in piattaforme più ampie chiamate CNAPP, Cloud Native Application Protection Platform. Wiz e Orca Security sono entrambe CNAPP complete, non semplici scanner di configurazione.

Gli incidenti recenti spiegano l’urgenza. Nel 2026 l’assicuratore sanitario statunitense HealthNet ha esposto i dati sanitari di 11 milioni di pazienti attraverso un bucket S3 configurato male. Nello stesso anno la piattaforma alberghiera giapponese Tabiq ha lasciato accessibile a chiunque conoscesse il nome del bucket oltre un milione di passaporti, patenti e selfie di verifica identità, senza alcuna autenticazione. Un report del primo trimestre 2026 stima 2,8 miliardi di record esposti tramite bucket S3, Azure Blob e Google Cloud Storage mal configurati, e il 73% delle organizzazioni colpite aveva già un team di sicurezza dedicato. Avere un team non basta: serve visibilità continua e automatizzata.

Fino a pochi anni fa il controllo delle configurazioni cloud passava per audit manuali trimestrali o script interni scritti da un singolo ingegnere DevOps, spesso abbandonati dopo il turnover del personale. Gli scanner basati su agente, la generazione precedente di strumenti, richiedevano l’installazione di software su ogni singola macchina virtuale, un processo lento che lasciava buchi di visibilità ovunque un agente non fosse stato distribuito o si fosse disattivato per un aggiornamento. L’approccio agentless di Wiz e Orca risolve proprio questo, leggendo l’infrastruttura dall’esterno tramite le API del cloud provider, senza dipendere da un software installato su ogni singolo host.

Wiz: come funziona la piattaforma da 32 miliardi di dollari

Wiz è nata come CNAPP agentless-first: si collega all’account cloud tramite un ruolo IAM di sola lettura, poi scansiona snapshot dei dischi fuori banda, senza toccare i carichi di lavoro in produzione. Il cuore del prodotto è il Security Graph, un motore che correla vulnerabilità, identità, configurazioni e dati sensibili in un unico grafo, per individuare le cosiddette “combinazioni tossiche”: un workload vulnerabile, esposto pubblicamente e con un’identità ad alto privilegio collegata.

Copre otto ambienti nominati: AWS, Azure, GCP, Oracle Cloud Infrastructure, Alibaba Cloud, VMware vSphere, Kubernetes e OpenShift. Wiz Defend aggiunge protezione runtime per container e Kubernetes, con rilevamento di malware e cryptominer. Nel 2026 Wiz ha lanciato una suite di funzioni AI: Mika AI, un chatbot che scrive query sul Security Graph in linguaggio naturale, gli AI agent “verdi, blu e rossi” che correggono vulnerabilità nel codice in autonomia, e Red Agent, un aggressore AI usato per red teaming automatizzato. L’AI-SPM di Wiz scova anche la cosiddetta “Shadow AI”, cioè modelli e dataset non censiti dal team di sicurezza.

Google ha annunciato l’acquisizione di Wiz per 32 miliardi di dollari in contanti il 18 marzo 2025, l’operazione più grande nella storia di Google. Il deal ha superato la revisione antitrust del Dipartimento di Giustizia USA a inizio novembre 2025 ed è stato completato l’11 marzo 2026. Wiz resta un marchio autonomo e continua a coprire AWS, Azure e Oracle Cloud oltre a Google Cloud, secondo quanto confermato da Google stessa.

Prima dell’acquisizione, Wiz aveva già scritto un record di crescita raro nel software enterprise: da 1 milione a 100 milioni di dollari di ricavi ricorrenti annui (ARR) in soli 18 mesi dal lancio, un ritmo che l’azienda stessa definisce il più veloce mai registrato da una società software. Ha poi raccolto in totale circa 1,9 miliardi di dollari di finanziamento in sei round, incluso un Series E da 1 miliardo di dollari nel maggio 2024 a una valutazione di 12 miliardi, guidato da Andreessen Horowitz, Lightspeed e Thrive Capital. Tra il 40 e il 45% delle aziende Fortune 100 usa oggi Wiz, tra cui Morgan Stanley, JPMorgan Chase, LVMH, BMW, Slack, Fox e DocuSign.

Orca Security: SideScanning e l’alternativa più economica

Orca Security punta sulla tecnologia brevettata SideScanning, che legge snapshot dello storage a blocchi e dati di configurazione fuori banda, con accesso di sola lettura e senza alcun impatto sulle prestazioni dei carichi di lavoro. Il modello unifica CSPM, CWPP, CIEM e gestione delle vulnerabilità in un “Unified Data Model” che alimenta la propria analisi dei percorsi di attacco.

La copertura cloud di Orca è partita da AWS, Azure e GCP, per poi allargarsi. Il 19 novembre 2025 Orca è arrivata sull’Oracle Cloud Marketplace, estendendo il supporto a OCI, e ha aggiunto Alibaba Cloud e Kubernetes. Il punto di forza dichiarato è la conformità continua a oltre 100 standard normativi, tra cui CIS (inclusa la variante OCI CIS), NIST, SOC 2, ISO 27001, GDPR, HIPAA e PCI-DSS, un vantaggio concreto per aziende europee sottoposte a più regolamenti contemporaneamente.

Sul fronte AI, Orca ha lanciato l’11 giugno 2025 nuove funzioni AI-SPM: un chatbot integrato, il rilevamento di dati sensibili nei set di addestramento, il rischio di data poisoning (dati di training modificabili) e configurazioni errate mappate direttamente sull’OWASP LLM Top 10 e ML Top 10. Il 30 luglio 2025 ha esteso la protezione runtime a cloud ibridi e privati, aggiungendo il rilevamento di processi malevoli su Windows e un assistente AI per l’analisi degli incidenti in linguaggio naturale.

Orca ha raccolto circa 550 milioni di dollari di finanziamento totale e viene stimata attorno ai 100 milioni di dollari di ARR nel 2026, una scala molto più piccola di Wiz ma sufficiente a garantirle un posto tra i “Leader” del Gartner Magic Quadrant per CNAPP. La differenza di dimensione tra i due vendor si riflette anche nella capacità di investimento in ricerca e sviluppo, un fattore che i team di procurement europei tendono a valutare quando firmano contratti pluriennali: un fornitore più piccolo può offrire prezzi migliori oggi, ma la sostenibilità della roadmap a cinque anni resta una domanda aperta.

Tabella comparativa: Wiz contro Orca Security

CaratteristicaWizOrca Security
Modello di scansioneAgentless, API + snapshot dei dischiAgentless, SideScanning brevettata
Cloud supportatiAWS, Azure, GCP, OCI, Alibaba, vSphere, Kubernetes, OpenShift (8 ambienti)AWS, Azure, GCP, OCI (da nov. 2025), Alibaba, Kubernetes
Tempo alla prima visibilità completaMinuti (caso Colgate-Palmolive, Cushman & Wakefield)Fino a 24 ore su ambienti su larga scala (GigaOm Radar)
Analisi attack pathSecurity Graph (vulnerabilità + identità + dati + rete)Unified Data Model con analisi dei percorsi
CIEM (rischio identità)Incluso nativamenteIncluso nativamente
DSPM (dati sensibili)Nativo, scopre dati sensibili in bucket e databaseIncluso nel modello di classificazione dati
Sicurezza container/KubernetesKSPM completo, runtime protection via Wiz DefendCWPP con sensore eBPF opzionale per telemetria runtime
Framework di conformitàCopertura ampia, non enumerata pubblicamenteOltre 100 standard, incl. GDPR, HIPAA, PCI-DSS, ISO 27001
Funzioni AI/LLMMika AI, AI agent autonomi, Red Agent, AI-SPMChatbot integrato, AI-SPM su OWASP LLM/ML Top 10
ARR stimato (2025-2026)700 milioni – oltre 1 miliardo di dollariCirca 100 milioni di dollari
Funding totale raccolto1,9 miliardi di dollari550 milioni di dollari
Quota di mercato CNAPP/CSPM 2025Circa 11%Non pubblicata, tra i Leader Gartner
Riconoscimento Gartner Magic Quadrant CNAPPLeader (edizione aprile 2025)Leader (edizione aprile 2025)

Benchmark: velocità e affidabilità a confronto

I numeri di velocità non arrivano da laboratori indipendenti neutrali, ma da casi cliente pubblicati e da un report di terze parti, il che li rende comunque utili come riferimento pratico. In tre fonti distinte emerge lo stesso schema: Wiz punta sulla visibilità quasi immediata, Orca dichiara risultati completi entro una finestra più ampia ma comunque rapida per l’infrastruttura.

  • Colgate-Palmolive (caso Wiz): visibilità completa su AWS, GCP, Kubernetes e Snowflake ottenuta in pochi minuti, con una riduzione del 44% delle esposizioni esterne nell’arco di un anno.
  • Cushman & Wakefield (caso Wiz): connessione completata in un’ora, con le prime scoperte di rischio ricevute quasi subito e SLA interno che risolve i rischi critici su nuovi sistemi entro un’ora.
  • GigaOm Radar per CNAPP (report indipendente su Orca): SideScanning restituisce risultati completi entro 24 ore anche su ambienti cloud di grandi dimensioni.
  • TAG Cyber ROI Report 2026 (modello “ACME Enterprise” su Orca): a fronte di un costo di progetto di 328.794 dollari, il report calcola un risparmio netto di 681.270 dollari, per un ROI del 207,2%.

La differenza pratica: se la priorità è vedere tutto il perimetro cloud entro la prima ora di onboarding, Wiz ha casi documentati più aggressivi. Se conta di più la profondità dell’analisi su asset numerosi e la certificazione di conformità multipla, la finestra di 24 ore di Orca resta comunque competitiva rispetto agli scanner tradizionali basati su agente, che spesso richiedono settimane di distribuzione.

Prezzi 2026: quanto costano Wiz e Orca Security

Nessuno dei due vendor pubblica un listino prezzi fisso: entrambi lavorano a preventivo personalizzato in base al numero di workload o asset cloud connessi. Alcuni SKU pubblici su AWS Marketplace e analisi di procurement indipendenti (Vendr) permettono comunque di ricostruire una forbice di prezzo realistica.

PianoFornitorePrezzo annuo indicativoCopertura
Wiz EssentialWiz24.000 $100 workload, CSPM agentless, scansione vulnerabilità
Wiz AdvancedWiz38.000 $100 workload, aggiunge attack path e priorizzazione AI
Wiz Sensor (add-on)Wiz28.000 $100 sensori per telemetria runtime
Wiz Code (add-on)Wiz58.500 $100 licenze per sicurezza del codice
Ambiente piccolo (<1.000 workload)Wiz50.000 – 100.000 $10-30 $ per workload/anno
Ambiente enterprise (5.000+ workload)Wiz200.000 – 500.000+ $8-20 $ per workload/anno
Orca Enterprise (500-2.000 asset)Orca Security45.000 – 60.000 $Piattaforma completa, AI, CSM dedicato
Orca ambiente 1.000 assetOrca Security120.000 – 300.000 $Stima comparabile a Wiz con sconto moderato
Orca ingresso PMIOrca Securityda circa 36.000 $Distribuzioni enterprise più piccole

Il dato più utile per un budget IT europeo resta la mediana: secondo dati di procurement Vendr, la spesa mediana dei clienti Wiz si attesta intorno a 111.500 dollari l’anno, con contratti che vanno da 24.000 a 354.350 dollari. Orca viene descritta da più analisi indipendenti come mediamente più economica del 20-30% a parità di ambiente, pur senza un listino ufficiale che lo confermi in modo definitivo. Su Wiz.io non compare alcun prezzo pubblico: ogni preventivo passa da una demo commerciale.

Per un’azienda europea di medie dimensioni, con circa 500-1.000 workload cloud, il calcolo pratico si riduce a poche migliaia di euro di differenza reale tra i due fornitori una volta negoziato lo sconto standard applicato ai contratti pluriennali. La vera variabile di costo non è quasi mai il canone base, ma gli add-on: sicurezza del codice sorgente, sensori runtime aggiuntivi e moduli di conformità specifici per settori regolati come quello bancario o assicurativo, che possono far lievitare il preventivo iniziale del 30-50%.

Copertura multi-cloud, Kubernetes e ambienti ibridi

Per un’azienda europea con carichi distribuiti tra AWS, Azure e un data center on-premise, la differenza tra otto ambienti nominati (Wiz) e sei (Orca) può sembrare marginale, ma pesa quando entrano in gioco fornitori meno comuni sul mercato occidentale. Wiz include il supporto nativo a VMware vSphere, utile per chi non ha ancora completato la migrazione cloud, oltre a Red Hat OpenShift per i clienti enterprise che usano Kubernetes distribuito. Orca ha recuperato terreno nel 2025 con l’arrivo su Oracle Cloud Infrastructure e Alibaba Cloud, ma resta indietro sul fronte della virtualizzazione ibrida.

Per i data center italiani ancora legati a infrastrutture on-premise o a un modello ibrido, questo dettaglio pesa più della semplice lista di loghi cloud supportati. Molte banche e assicurazioni europee mantengono ancora cluster VMware per applicazioni core legacy, non migrabili nel breve periodo per vincoli normativi o contrattuali. In questi casi la copertura nativa di Wiz su vSphere evita di dover mantenere due strumenti di monitoraggio separati, uno per il cloud pubblico e uno per l’infrastruttura on-premise, con il relativo raddoppio di costi di licenza e di formazione del team.

Sul fronte container, Wiz Defend offre protezione runtime completa (registro, esecuzione e Kubernetes) con rilevamento di malware e cryptominer integrato nel core del prodotto. Orca copre lo stesso perimetro tramite il proprio CWPP, ma per la telemetria runtime più approfondita richiede un sensore eBPF opzionale, quindi non è puramente agentless in quello scenario specifico. Per team che vogliono restare rigorosamente senza agente su tutta la pila, questo è un punto a favore di Wiz. Per chi accetta un sensore leggero in cambio di dati runtime più granulari, Orca resta comunque una scelta valida.

Sicurezza AI e governance dei modelli LLM

Nel 2026 nessuna delle due piattaforme può ignorare la sicurezza dell’intelligenza artificiale generativa. Wiz ha spinto sull’automazione: gli AI agent “verdi, blu e rossi” intervengono in autonomia su vulnerabilità di codice, minacce attive e simulazioni d’attacco, mentre l’AI-SPM individua modelli e dataset non censiti (la cosiddetta Shadow AI). Il Workload Explainer traduce la complessità dei flussi dati in spiegazioni leggibili per analisti non specializzati in cloud.

Orca ha scelto un approccio più aderente agli standard: le sue detection AI-SPM sono esplicitamente mappate sull’OWASP LLM Top 10 e ML Top 10, il che semplifica gli audit di conformità per i team legal e risk che devono giustificare le proprie scelte a un regolatore europeo. Il rilevamento del data poisoning, cioè la manipolazione dei dati di addestramento, è una funzione che pochi concorrenti offrono con lo stesso livello di dettaglio a metà 2026. La scelta tra i due approcci diventa ancora più rilevante man mano che i team di sviluppo italiani integrano modelli linguistici in produzione, spesso senza un inventario centralizzato di quali API esterne di intelligenza artificiale vengono effettivamente chiamate dalle applicazioni interne.

Per un team di sicurezza che deve rispondere a un audit interno sull’uso dell’AI generativa, la differenza tra i due approcci si traduce in tempo risparmiato o perso. Un analista che usa Wiz interroga il Security Graph in linguaggio naturale tramite Mika AI e ottiene una risposta contestualizzata su quali modelli sono esposti e perché. Un analista che usa Orca ottiene invece un report già allineato a una tassonomia normativa riconosciuta (OWASP LLM Top 10), pronto da allegare a un documento di compliance senza ulteriore rielaborazione. Nessuno dei due approcci è oggettivamente superiore: dipende da chi deve leggere il report, un ingegnere di sicurezza interno o un revisore esterno.

Cinque casi reali: cosa succede quando lo implementi

  • Colgate-Palmolive (Wiz): visibilità completa su quattro piattaforme cloud in pochi minuti e riduzione del 44% delle esposizioni esterne in un anno di utilizzo continuo.
  • Cushman & Wakefield (Wiz): onboarding in un’ora, con rilevamento immediato di una configurazione di accesso remoto errata, corretta dal service desk prima che fosse sfruttata.
  • Blackstone (Wiz): ha consolidato CSPM e CWPP separati in un’unica piattaforma, con scansione approfondita distribuita in pochi minuti su tutto lo stack.
  • Paidy, fintech giapponese (Orca): ha eliminato la necessità di due figure a tempo pieno e tagliato 500.000 dollari l’anno di costi di gestione della sicurezza cloud consolidando gli strumenti su Orca.
  • Modello ACME Enterprise, TAG Cyber (Orca): su un investimento di 328.794 dollari, il report calcola 1.010.064 dollari di risparmio operativo, per un ROI del 207,2% e un risparmio netto di 681.270 dollari.

Questi cinque esempi condividono un elemento: nessuno parla di “prevenzione teorica”. Parlano di ore di onboarding misurate, percentuali di riduzione del rischio verificate e costi di gestione tagliati in modo documentabile, esattamente i numeri che un CFO europeo chiede prima di firmare un contratto pluriennale con un vendor di sicurezza.

Vale la pena notare che tre dei cinque casi documentati riguardano aziende con presenza in più continenti, un fattore che amplifica naturalmente i benefici di uno strumento agentless capace di coprire più cloud contemporaneamente. Per un’azienda con un solo provider cloud e un perimetro più piccolo, i numeri assoluti di risparmio saranno inevitabilmente più contenuti, ma la logica di fondo, meno tempo speso a cercare manualmente configurazioni errate, resta identica indipendentemente dalla scala.

Guida alla migrazione verso un CSPM moderno

Passare da uno scanner legacy basato su agente, o dal nulla, a un CNAPP agentless come Wiz o Orca segue uno schema ricorrente in quasi tutti i casi documentati. Il rischio più comune non è tecnico ma organizzativo: attivare lo strumento e non collegarlo mai ai processi di remediation esistenti, trasformandolo in una dashboard che nessuno controlla dopo la seconda settimana. Ecco i passaggi essenziali per evitarlo.

  1. Inventario preliminare: elenca tutti gli account cloud (AWS, Azure, GCP e altri) e i sistemi di identità collegati, incluse le sottoscrizioni dimenticate dai team di sviluppo.
  2. Crea un ruolo IAM di sola lettura dedicato alla piattaforma CSPM scelta, seguendo il principio del minimo privilegio.
  3. Attiva la scansione agentless iniziale e attendi il primo report completo (minuti con Wiz, fino a 24 ore con Orca su ambienti molto estesi).
  4. Esegui un periodo di affiancamento di 2-4 settimane con lo strumento legacy, se esiste, per confrontare i falsi positivi e calibrare le soglie di allerta.
  5. Integra gli alert nel sistema di ticketing o SIEM esistente, per evitare che il nuovo strumento diventi un’ennesima dashboard ignorata.
  6. Definisci SLA interni per la remediation, sul modello di Cushman & Wakefield: un’ora per i rischi critici su sistemi nuovi, ventiquattro ore per quelli su sistemi esistenti.
  7. Disattiva lo strumento legacy solo dopo aver verificato la parità di copertura per almeno un ciclo di scansione completo.

Un esempio pratico di policy IAM minima per l’onboarding read-only, adattabile sia a Wiz sia a Orca in ambiente AWS:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "s3:GetBucketPolicy",
        "s3:GetBucketAcl",
        "iam:GetPolicy",
        "iam:ListRoles",
        "kms:DescribeKey"
      ],
      "Resource": "*"
    }
  ]
}

Cinque casi d’uso: quale piattaforma scegliere

  • Gruppo enterprise multi-cloud con VMware residuo: Wiz, grazie alla copertura di vSphere e OpenShift oltre agli otto ambienti nominati.
  • Fintech o assicurazione europea con obblighi normativi multipli: Orca Security, per la copertura dichiarata di oltre 100 standard tra cui GDPR, HIPAA e PCI-DSS.
  • Startup o scale-up con budget limitato sotto i 50.000 asset: Orca Security, che parte da circa 36.000 dollari l’anno contro i 50.000 dollari minimi tipici di Wiz.
  • Organizzazione già su Google Cloud che vuole un’unica gola di bottiglia commerciale: Wiz, ora parte di Google Cloud dopo la chiusura dell’acquisizione l’11 marzo 2026.
  • Team che deve dimostrare in pochi giorni un miglioramento della postura di sicurezza a un consiglio di amministrazione: Wiz, per i tempi di visibilità completa misurati in minuti nei casi Colgate-Palmolive e Cushman & Wakefield.
  • Azienda con carichi AI/ML in produzione e obbligo di audit sui modelli: Orca Security, per il mapping diretto delle detection su OWASP LLM Top 10 e ML Top 10.

Pro e contro di Wiz

Pro: copertura cloud più ampia (otto ambienti), Security Graph maturo per l’analisi degli attack path, casi cliente con tempi di visibilità misurati in minuti, funzioni AI più aggressive con agenti autonomi, ora sostenuto dalla scala infrastrutturale di Google Cloud.

Contro: prezzo di ingresso più alto (da 50.000 dollari l’anno per ambienti piccoli), nessun listino pubblico che permetta di stimare i costi senza una demo commerciale, l’integrazione con Google Cloud dopo l’acquisizione potrebbe generare dubbi di neutralità per i clienti che usano prevalentemente AWS o Azure. Alcuni team di sicurezza intervistati da analisti di settore hanno anche segnalato una curva di apprendimento non banale per sfruttare a pieno il Security Graph, soprattutto per organizzazioni senza un ingegnere cloud dedicato a tempo pieno.

Pro e contro di Orca Security

Pro: prezzo di ingresso più basso (da circa 36.000 dollari l’anno), copertura di conformità dichiarata su oltre 100 standard, detection AI-SPM mappate esplicitamente su OWASP LLM/ML Top 10, azienda indipendente non legata a un singolo iperscaler.

Contro: tempi di scansione completa più lunghi su ambienti molto estesi (fino a 24 ore secondo GigaOm), copertura di ambienti nominati più ridotta rispetto a Wiz, ARR e funding sensibilmente inferiori, il che pone interrogativi di lungo periodo sulla capacità di investimento in R&D rispetto a un concorrente sostenuto da Google. Restando un’azienda indipendente, Orca deve anche dimostrare nel tempo la propria sostenibilità finanziaria a clienti enterprise abituati a valutare la solidità del fornitore prima di affidargli l’intera postura di sicurezza cloud.

Il mercato CNAPP nel 2026: chi comanda le classifiche

Il mercato globale del CSPM viaggia tra i 5,29 e i 6,43 miliardi di dollari nel 2025, con un tasso di crescita annuo composto stimato tra il 10 e il 25% a seconda della fonte, e proiezioni che lo portano fino a 15,6-48,5 miliardi di dollari entro la metà del prossimo decennio. Il Nord America controlla ancora tra il 36 e il 40% del mercato, ma l’Europa sta accelerando gli investimenti sotto la spinta di normative come NIS2 e GDPR, che rendono la postura di sicurezza cloud un requisito di conformità, non solo una buona pratica tecnica.

Nella fotografia della quota di mercato CNAPP/CSPM per il 2025, Palo Alto Networks guida con circa il 17%, seguita da CrowdStrike al 14% e Wiz all’11%. Orca Security non pubblica una quota di mercato precisa, ma compare stabilmente tra i “Leader” nel Magic Quadrant Gartner per CNAPP (edizione di aprile 2025), accanto a Wiz, Palo Alto Prisma Cloud e Microsoft Defender for Cloud. Wiz aggiunge a questo un riconoscimento come Leader nel Forrester Wave del primo trimestre 2026 e nell’IDC MarketScape 2025, con punteggi di recensione tra 4,7 e 4,8 su 5 su oltre 1.000 valutazioni raccolte da piattaforme di review indipendenti.

Per un buyer europeo, questi riconoscimenti contano meno di un case study concreto, ma restano un filtro utile in fase di shortlist: entrambe le piattaforme superano la soglia minima di maturità che un CISO può giustificare davanti a un consiglio di amministrazione, il che significa che la decisione finale si gioca quasi sempre su prezzo, copertura cloud specifica e compatibilità con lo stack di conformità già in uso.

Vale anche la pena guardare oltre Wiz e Orca nella shortlist finale. Lo stesso Magic Quadrant elenca Microsoft Defender for Cloud e Palo Alto Prisma Cloud tra i Leader, CrowdStrike Falcon Cloud Security e Trend Micro tra i Challenger, Sysdig, Aqua Security e Lacework (ora parte di Fortinet) tra i Visionary. Per un’azienda già fortemente investita nell’ecosistema Microsoft 365 e Azure, ad esempio, Defender for Cloud può competere sul prezzo grazie ai bundle di licenza esistenti, un fattore che questo confronto diretto tra Wiz e Orca non cattura ma che merita una verifica separata prima della decisione finale.

Checklist prima di firmare: cosa chiedere al vendor

Prima di firmare un contratto pluriennale con Wiz o Orca Security, vale la pena portare alla demo commerciale una lista di domande precise, non generiche. I team di procurement europei che hanno già affrontato questa scelta segnalano alcuni punti che i preventivi standard tendono a non chiarire da soli.

  • Chiedi il numero esatto di workload o asset che verranno conteggiati nel tuo ambiente, incluse le risorse temporanee create da pipeline CI/CD: sia Wiz sia Orca fatturano su questa base, e una stima sbagliata del 20% cambia il budget annuo di decine di migliaia di dollari.
  • Verifica se il prezzo indicato include l’add-on per la sicurezza del codice sorgente (Wiz Code costa 58.500 dollari extra ogni 100 licenze) o se resta una voce separata da negoziare in un secondo momento.
  • Fatti mostrare un report di conformità già popolato per il framework che ti interessa (GDPR, NIS2, PCI-DSS), non uno screenshot generico della dashboard.
  • Chiedi il tempo medio di risoluzione dei falsi positivi dichiarato da clienti nel tuo stesso settore, non la media globale della piattaforma.
  • Verifica quali integrazioni SIEM/SOAR sono incluse nel piano base e quali richiedono un connettore a pagamento separato.

Questa checklist non sostituisce una valutazione tecnica completa, ma riduce il rischio più comune segnalato dai team che passano da un CSPM legacy a una piattaforma agentless: scoprire dopo la firma che il prezzo reale è più alto di quello mostrato nella prima proposta commerciale, perché moduli dati per scontati nella demo risultano poi opzionali nel contratto.

Verdetto finale: Wiz o Orca Security nel 2026

I numeri raccontano due strategie diverse, non un vincitore assoluto. Wiz vince su scala, velocità di visibilità e profondità dell’analisi grazie al Security Graph, un vantaggio pagato con un prezzo di ingresso più alto e ora legato a Google Cloud dopo l’acquisizione da 32 miliardi di dollari chiusa l’11 marzo 2026. Orca Security vince su costo (fino al 30% in meno a parità di ambiente secondo più analisi indipendenti) e su profondità di conformità normativa, un argomento decisivo per banche, assicurazioni e sanità in Europa.

Per un’azienda enterprise con budget sopra i 150.000 dollari l’anno e ambienti cloud eterogenei, inclusi VMware o OpenShift, Wiz resta la scelta più solida sui dati disponibili. Per una PMI europea, una fintech regolata o un team che deve giustificare ogni euro speso in sicurezza, Orca Security offre lo stesso livello di protezione agentless a un costo di ingresso più accessibile, con il vantaggio aggiuntivo di restare un fornitore indipendente dai grandi cloud provider.

Chi ha già un contratto CSPM legacy in scadenza dovrebbe usare i dodici mesi prima del rinnovo per testare entrambe le piattaforme in parallelo su un sottoinsieme reale dell’infrastruttura, non su un ambiente demo preconfezionato dal vendor. È l’unico modo per verificare quale dei due schemi, il tempo di visibilità immediato di Wiz o la profondità di conformità di Orca, risponde davvero alle esigenze specifiche del proprio team, invece di scegliere sulla base di una demo di 45 minuti preparata per convincere, non per informare.

Domande frequenti su Wiz e Orca Security

Cos’è un CSPM e a cosa serve?
Un CSPM monitora in modo continuo gli account cloud per trovare configurazioni errate, permessi eccessivi e bucket esposti pubblicamente, prima che diventino violazioni. Nel 2026 la categoria si è fusa con CWPP e CIEM in piattaforme CNAPP complete come Wiz e Orca.

Qual è la differenza principale tra Wiz e Orca Security?
Wiz copre otto ambienti cloud nominati e punta su un Security Graph per l’analisi degli attack path, con tempi di visibilità completa misurati in minuti nei casi cliente pubblicati. Orca usa la tecnologia SideScanning, copre sei ambienti principali e dichiara oltre 100 framework di conformità supportati.

Quanto costa Wiz rispetto a Orca Security?
Wiz parte da circa 24.000 dollari l’anno per 100 workload nel piano Essential, con spesa mediana intorno a 111.500 dollari secondo dati Vendr. Orca parte da circa 36.000 dollari l’anno e viene descritta come mediamente il 20-30% più economica a parità di ambiente da più analisi indipendenti.

Wiz è ancora un’azienda indipendente dopo l’acquisizione di Google?
No. Google ha completato l’acquisizione da 32 miliardi di dollari l’11 marzo 2026. Wiz è entrata a far parte di Google Cloud ma continua a coprire anche AWS, Azure e Oracle Cloud, secondo quanto dichiarato ufficialmente da Google.

Orca Security supporta Oracle Cloud e Alibaba Cloud?
Sì. Orca è arrivata sull’Oracle Cloud Marketplace il 19 novembre 2025 e ha aggiunto il supporto ad Alibaba Cloud nello stesso periodo, ampliando la copertura oltre i tre iperscaler principali.

Un CSPM sostituisce un vulnerability scanner tradizionale?
In gran parte sì. Sia Wiz sia Orca includono la scansione delle vulnerabilità come componente nativa della piattaforma CNAPP, oltre a configurazioni, identità e dati sensibili, riducendo il bisogno di uno scanner separato per l’infrastruttura cloud.

Quanto tempo serve per attivare Wiz o Orca Security?
Nei casi pubblicati, Wiz ha mostrato visibilità completa entro pochi minuti od entro un’ora (Colgate-Palmolive, Cushman & Wakefield). Orca dichiara risultati completi entro 24 ore su ambienti molto estesi, secondo il report indipendente GigaOm Radar.

Quale scegliere per un’azienda italiana o europea di medie dimensioni?
Se il budget annuo è sotto i 100.000 dollari e la priorità è la copertura di conformità (GDPR incluso), Orca Security è spesso la scelta più efficiente. Se l’azienda gestisce ambienti ibridi complessi con VMware o OpenShift e ha budget sopra i 150.000 dollari, Wiz offre una copertura più ampia.

Un CSPM agentless rallenta le prestazioni dei carichi di lavoro in produzione?
No. Sia il modello di scansione di Wiz sia SideScanning di Orca leggono snapshot dello storage e metadati di configurazione fuori banda, con accesso di sola lettura. Nessuno dei due installa software sui server in esecuzione, quindi l’impatto sulle prestazioni resta nullo secondo la documentazione ufficiale di entrambi i vendor.

Wiz e Orca Security coprono anche i carichi di lavoro basati su intelligenza artificiale?
Sì, entrambe hanno lanciato funzioni AI-SPM dedicate nel 2025. Wiz individua modelli e dataset non censiti (“Shadow AI”) tramite i propri AI agent, mentre Orca mappa le proprie detection direttamente sull’OWASP LLM Top 10 e ML Top 10, incluso il rilevamento del data poisoning nei set di addestramento.