Come le grandi imprese rendono operativa la visibilità sul software

Immagina questa scena: il tuo team IT riceve una chiamata dall’ufficio legale. Un nuovo fornitore chiede un audit di conformità e vuole la documentazione completa di ogni prodotto presente nella tua organizzazione. Sembra semplice (e tutto sommato ordinario), ma dopo appena cinque minuti inizi a farti prendere dal panico.

Il tuo inventario? Un foglio di calcolo vecchio di cinque anni.

I tuoi strumenti? Sparsi e ridondanti tra diversi reparti (e nessuno sa chi è responsabile di cosa).

E Steve della contabilità sta evidentemente usando una versione non supportata di un software che andava dismesso 18 mesi fa.

Per quanto sembri un’ipotesi (e un po’ esagerata), è uno scenario che si ripete regolarmente in organizzazioni di ogni dimensione. È proprio il tipo di problema che la gestione delle risorse software per grandi imprese (ESAM) è pensata per evitare.

Una ricerca di Gartner prevede che la shadow AI (cioè il software che gira senza che l’IT ne sia a conoscenza o lo abbia approvato) rappresenterà il 40% dei casi di conformità di sicurezza nelle grandi imprese entro il 2030. L’aspetto peggiore è che questo dato, basato su nuove informazioni pubblicate da Forbes, potrebbe persino essere sottostimato: il 69% dei dirigenti afferma che usare strumenti di AI non autorizzati vale il rischio, se permette al team di lavorare più velocemente e rispettare le scadenze.

Questo divario tra ciò che l’IT crede sia installato e ciò che è realmente in esecuzione su endpoint e sistemi getta le basi per le peggiori storie dell’orrore in ambito IT. In questa guida proviamo a evitarlo, aiutandoti a rendere operativa la visibilità sul software e a migliorare coerenza della governance e resilienza.

Cosa significa davvero “rendere operativa la visibilità sul software”

Quasi tutte le organizzazioni hanno già una qualche forma di inventario software. Si tratta però di solito di “istantanee”, ossia elenchi relativi a un momento preciso che invecchiano nell’istante stesso in cui vengono creati. Gli ambienti, del resto, cambiano di continuo: i dipendenti arrivano e se ne vanno, vengono aggiunti nuovi abbonamenti SaaS, escono aggiornamenti software e molto altro ancora.

Rendere operativa la visibilità sul software significa invece trattare l’inventario come un processo continuo e vivo, integrato nelle operazioni IT. Secondo la NIST Special Publication 1800-5, che fornisce linee guida sulla gestione delle risorse IT per le grandi imprese, un sistema ITAM maturo deve registrare, tracciare e monitorare le risorse in modo continuo, correlando l’inventario software con le informazioni di sicurezza e gestione degli eventi, in modo da individuare e correggere in tempo reale anomalie e violazioni delle policy.

In termini pratici, questo significa non solo usare uno dei migliori strumenti di inventario software per la tua specifica situazione d’uso, ma anche costruire una cultura della sicurezza in azienda, così che il software venga gestito automaticamente e non solo quando chiama un auditor.

Perché la visibilità sul software si frammenta

Ogni ambiente aziendale è diverso, ma ci sono cause ricorrenti alla base della perdita di visibilità sul software:

• Forza lavoro ibrida e distribuita: gli endpoint remoti sono spesso i più difficili da monitorare con continuità. I dispositivi che si connettono di rado o tramite reti personali possono allontanarsi dalle configurazioni approvate senza generare alcun avviso.
• Approvvigionamento decentralizzato: quando singoli reparti o dipendenti possono acquistare strumenti SaaS a rimborso spese, il software prolifera fuori dalla visibilità dell’IT.
• Sistemi di inventario frammentati: le organizzazioni che usano strumenti separati per la gestione degli endpoint, il monitoraggio delle app cloud e la gestione delle licenze difficilmente hanno una visione unificata del proprio panorama software.
• Infrastruttura legacy accanto al SaaS moderno: gestire un mix di software on-premises, applicazioni in cloud e distribuzioni ibride significa che nessun singolo metodo di rilevamento copre tutto.
• Ricambio del personale e lacune nel ciclo di vita: quando un dipendente se ne va, l’accesso al software non viene sempre revocato subito. Le licenze restano attive, gli account continuano a esistere e l’esposizione al rischio persiste.

Il risultato è ciò che il settore chiama “shadow IT”: software in esecuzione nell’ambiente di cui l’IT non è a conoscenza, che non ha approvato e che non può controllare. Oltre agli evidenti problemi di governance, lo shadow IT genera uno spreco economico diretto. Secondo l’IBM Cost of a Data Breach Report 2025, questi incidenti sono costati alle aziende statunitensi circa 670.000 dollari in media, oltre al costo medio di una violazione. Su scala enterprise, le licenze inutilizzate e duplicate possono facilmente tradursi in milioni di dollari di spesa evitabile.

Come rendere operativa la visibilità sul software

Vediamo ora come le grandi imprese rendono operativa la visibilità sul software. Tieni presente che questi passaggi non sono rigidi: possono variare in base alle esigenze specifiche dell’azienda e al budget IT dell’organizzazione.

Passaggio 1: automatizza il rilevamento continuo del software

La parola chiave qui è “continuo”, non “periodico”. Gli approcci tradizionali basati sugli audit si affidano a scansioni periodiche che producono dati accurati in un dato momento e poi diventano rapidamente obsoleti. In un ambiente enterprise distribuito, un audit software trimestrale è un po’ come fotografare il traffico: ottieni un’immagine fedele di quel preciso istante, ma non ti dice nulla su quello che succede dopo.

Le imprese in crescita hanno bisogno di un rilevamento software dinamico e automatizzato su tutti gli endpoint gestiti e gli ambienti cloud. Questo significa che i dati dell’inventario software vengono aggiornati con regolarità, non solo quando l’IT decide di fare un controllo. Questo approccio individua quasi in tempo reale le applicazioni installate, i numeri di versione, le associazioni con i dispositivi e lo stato della distribuzione.

Per le applicazioni SaaS in cloud, il rilevamento può assumere una forma diversa, di solito tramite integrazioni con l’IdP (come i log SSO) o rilevamento tramite browser. Poiché gran parte del software enterprise moderno non tocca mai un endpoint in senso tradizionale, una strategia di rilevamento completa deve tenere conto sia dei canali software gestiti sia di quelli non gestiti.

Indipendentemente dal tipo di distribuzione, il passaggio 1 deve permetterti di rispondere a queste domande:

• Quale software è installato in questo momento sui nostri endpoint?
• Quali versioni sono in esecuzione?
• Qualcuna di queste versioni non è più supportata o è a fine vita? C’è qualcosa di installato che non dovrebbe esserci?

Passaggio 2: normalizza l’inventario

La normalizzazione è il processo con cui si standardizzano nomi del software, nomi dei produttori, identificatori di versione e classificazioni di categoria, in modo che l’inventario risulti coerente e, soprattutto, utilizzabile.

Un inventario software ben normalizzato associa ogni applicazione rilevata a un record standardizzato che include fornitore, nome del prodotto, versione, edizione e piattaforma. La norma ISO/IEC 19770-2, parte dello standard internazionale sulla gestione delle risorse IT, affronta esattamente questo problema con i tag SWID (Software Identification): identificatori digitali forniti dal produttore e incorporati nel software, che consentono un’identificazione autorevole e coerente tra strumenti e piattaforme diverse. Quando i fornitori forniscono i tag SWID, il lavoro manuale di normalizzazione si riduce sensibilmente.

Per il software che non include i tag SWID, le organizzazioni si affidano di norma a strumenti SAM (Software Asset Management) dotati di librerie software curate, ovvero database di riferimento che associano i record di installazione grezzi a identificatori di prodotto standardizzati. Per approfondire, consulta questa guida alla gestione delle risorse hardware e software.

Passaggio 3: riconcilia le licenze

Dopo aver aggiornato e normalizzato l’inventario software, il passo successivo è la riconciliazione, cioè il confronto tra ciò che è installato e ciò che hai effettivamente il diritto di usare (quella che viene talvolta chiamata “posizione di licenza”).

Sembra piuttosto semplice, ma è spesso qui che le grandi imprese incontrano difficoltà. Le licenze software sono notoriamente complesse. Un singolo accordo con un fornitore può comprendere tipi di licenza diversi (per dispositivo, per utente, concorrenti, in abbonamento, perpetue), edizioni diverse con funzionalità diverse, restrizioni geografiche o organizzative e diritti di aggiornamento che possono essere trasferibili oppure no. Riconciliare un record dettagliato delle installazioni con queste condizioni contrattuali richiede sia dati di inventario accurati sia una conoscenza approfondita dei propri diritti d’uso.

Una posizione di licenza negativa significa che hai più installazioni che licenze e rappresenta un’esposizione sul fronte della conformità da sanare prima di un audit. Al contrario, una posizione di licenza positiva significa che hai più licenze che installazioni e indica che stai sprecando denaro in software che nessuno utilizza.

L’obiettivo, quindi, non è nessuno dei due estremi, ma una posizione di licenza equilibrata e accurata.

Passaggio 4: applica policy di governance del software

La governance del software consiste nello stabilire e far rispettare policy che definiscono quale software può essere installato nel tuo ambiente, chi può installarlo, con quale processo e come verrà gestito lungo tutto il suo ciclo di vita.

È importante notare che, oltre al documento di policy, le grandi imprese devono sviluppare anche flussi di lavoro operativi, cioè i processi quotidiani che fanno rispettare le linee guida di governance del software. Tra questi:

• flussi di lavoro standardizzati per la richiesta e l’approvazione del software (così che i dipendenti che ne hanno bisogno sappiano come richiederlo attraverso canali legittimi),
• processi di approvvigionamento che indirizzino tutti gli acquisti software all’IT o che almeno lo informino quando avvengono,
• checklist di onboarding e offboarding che garantiscano un’assegnazione e una revoca sistematiche degli accessi al software.

L’obiettivo di rendere operativo tutto questo è chiudere il divario di visibilità che permette allo shadow IT di mettere radici. Non si tratta di imporre regole così rigide da spingere i dipendenti ad aggirare l’IT per frustrazione, ma di rendere il canale legittimo più rapido e più semplice da usare.

Passaggio 5: integra gli strumenti di sicurezza

Questo passaggio non riguarda tanto l’aggiunta di un ulteriore strumento al tuo stack, quanto il collegamento del lavoro già svolto nei passaggi da 1 a 4 ai flussi di lavoro di sicurezza esistenti. Nello specifico, il tuo inventario software dovrebbe alimentare tre ambiti:

• La tua piattaforma di gestione delle vulnerabilità, così che il team di sicurezza possa sapere immediatamente quali endpoint eseguono la versione interessata (e in che quantità).
• I tuoi flussi di lavoro di patch management, così da avere visibilità in tempo reale sulla copertura e sullo stato degli aggiornamenti software nel tuo ambiente.
• Il tuo sistema EDR (Endpoint Detection and Response), così che installazioni software non autorizzate o anomale possano essere segnalate come potenziali indicatori di compromissione.

Queste integrazioni contribuiscono a creare un’architettura ITAM matura, fornendo contesto ad anomalie e violazioni delle policy sulla rete. I dati raccolti diventano così parte della tua intelligence operativa sulla sicurezza.

Passaggio 6: fai reporting con chiarezza

I passaggi da 1 a 5 producono risultati che devono essere comunicati alla direzione e agli stakeholder interessati. E anche se nei programmi ITAM il reporting viene spesso trattato come un dettaglio secondario, è il meccanismo attraverso cui la visibilità si traduce in decisioni di business (e ti aiuta a ottenere dai vertici il budget IT di cui hai bisogno).

Un reporting direzionale utile per la gestione delle risorse software copre di solito quattro aree:

1. Costo e ottimizzazione delle licenze: quanto spende l’organizzazione in software e quale quota di questa spesa corrisponde a strumenti effettivamente utilizzati rispetto a licenze inattive o duplicate? Le risposte a queste domande aiutano i dirigenti a prendere decisioni più informate su rinnovi, rinegoziazioni o consolidamenti.
2. Conformità e preparazione agli audit: qual è l’attuale posizione di licenza dell’organizzazione presso i principali fornitori? Esistono lacune di conformità note da sanare e quali sono tempi e costi per intervenire? Questo tipo di reporting consente alla direzione di prendere decisioni proattive anziché reattive quando arrivano le notifiche di audit dei fornitori.
3. Esposizione alla sicurezza: quanti endpoint eseguono software non supportato o a fine vita? Qual è lo stato di copertura e di patching nell’ambiente? Un reporting sull’inventario software orientato alla sicurezza aiuta i responsabili a stabilire le priorità nell’allocazione delle risorse di remediation.
4. Stato del ciclo di vita: quale software si avvicina al fine vita, al rinnovo contrattuale o alla dismissione programmata? Il reporting sul ciclo di vita permette ai team IT e acquisti di pianificare in anticipo, invece di correre ai ripari quando arrivano i rinnovi.

Errori frequenti sulla visibilità del software in azienda

• Trattare il rilevamento come un progetto una tantum: l’errore più comune è considerare l’inventario software come qualcosa che si fa, anziché come qualcosa che si mantiene in modo continuo. Un rilevamento iniziale senza sincronizzazione continua produce dati accurati il primo giorno e sempre più sbagliati ogni giorno successivo.
• Saltare la normalizzazione: i dati di inventario grezzi, senza normalizzazione, non possono essere riconciliati con i registri delle licenze. Le organizzazioni che saltano questo passaggio si ritrovano con dati di rilevamento accurati ma inutilizzabili.
• Investire poco nella comunicazione ai dipendenti: le policy SAM che i dipendenti non capiscono o non riescono a rispettare facilmente generano shadow IT.
• Isolare il SAM dalla sicurezza: le organizzazioni che considerano il programma ITAM come separato dalle operazioni di sicurezza perdono l’uso più prezioso sul piano operativo dei dati di inventario software.
• Concentrarsi solo sulla conformità e non sui costi: molte organizzazioni adottano il SAM soprattutto per prepararsi agli audit dei fornitori, ma poi lasciano soldi sul tavolo perché non individuano ed eliminano in modo sistematico le licenze inutilizzate o duplicate. Entrambi i lati dell’equazione contano.

Come iniziare

Se la tua organizzazione parte da un inventario frammentato e vuole costruire una visibilità continua sul software, questa è la sequenza più consigliata:

• Parti dal rilevamento. Prima di ogni altra cosa, ottieni un quadro completo e ragionevolmente accurato del software in esecuzione nel tuo ambiente gestito.
• Normalizza ciò che trovi. Associa i dati di rilevamento grezzi a record di prodotto standardizzati, così che ciò che hai individuato possa davvero essere confrontato con ciò che hai acquistato.
• Definisci la tua posizione di licenza. Riconcilia l’inventario normalizzato con i tuoi diritti d’uso e contratti. Questo passaggio produce spesso un valore economico immediato, perché quasi tutte le organizzazioni scoprono sia licenze che devono acquistare, sia licenze che stanno pagando senza usarle.
• Costruisci flussi di lavoro di governance. Sviluppa o formalizza la tua policy SAM, il processo di richiesta e approvazione del software e le procedure di onboarding e offboarding.
• Integra le operazioni di sicurezza. Collega l’inventario software ai tuoi flussi di lavoro di gestione delle vulnerabilità e di patch management. Assicurati che, quando viene pubblicata una vulnerabilità critica, il team di sicurezza possa individuare subito quali risorse sono interessate.
• Stabilisci un reporting regolare. Definisci la cadenza e i contenuti di reporting di cui hanno bisogno gli stakeholder della tua organizzazione e automatizza la distribuzione dove possibile.
• Itera e mantieni. La visibilità sul software non è un progetto con una data di fine. Prevedi manutenzione continua, valutazione degli strumenti e affinamento dei processi man mano che il tuo ambiente evolve.

L’importanza della gestione dell’inventario software

La gestione delle risorse software per grandi imprese è uno degli investimenti con il ritorno più alto che un’organizzazione IT possa fare. Chi la rende operativa nel modo giusto spende meno in licenze inutilizzate, evita i danni economici e operativi delle violazioni di conformità, risponde più rapidamente e con maggiore sicurezza agli incidenti e prende decisioni migliori sugli investimenti software.

Argomenti correlati:

• Come gli MSP possono svolgere revisioni manuali dell’inventario dei dispositivi con le esportazioni dal portale
• Cos’è la gestione delle risorse IT: una panoramica completa
• Gestione del ciclo di vita delle risorse IT: panoramica e fasi