Sophos Fusion Admin: transición desde Sophos Central

Sophos Fusion es el nombre actual de la plataforma antes denominada Sophos Central. Hay que distinguir dos cambios: la actualización de los nombres del portal y del acceso, y la actualización gradual de las soluciones EDR, XDR y MDR. La presencia de un logotipo de Fusion no confirma por sí sola que un tenant concreto ya haya recibido la actualización del producto. La mera transición del acceso no requiere volver a crear tenants, dispositivos, políticas, roles ni endpoints técnicos. Sin embargo, tras la actualización del producto pueden ser necesarias tareas específicas de integración.

Este runbook guía la transición local del acceso y la comprobación operativa de cada tenant. Los pasos concretos para las conexiones nuevas o que requieren una nueva autorización se describen en Configurar las integraciones de MDR y XDR.

Actualización del producto: comprobar el tenant y las consecuencias operativas

Estado de la revisión a 11 de octubre de 2026: la información de septiembre sobre el despliegue describe una transición ya en curso que durará varios meses, no la migración completada de todos los clientes. Sophos controla la actualización; no está previsto que el cliente pueda elegir libremente una fecha. Aproximadamente una semana antes aparece un aviso en la consola. Una vez completada, aparece otro aviso con un breve recorrido guiado. Documenta el anuncio, la finalización y las funciones realmente accesibles para el tenant afectado, en lugar de deducir su estado a partir de un boletín o del nombre del portal.

Para los tenants gestionados por MSP, Sophos indica un inicio posterior, a partir del cuarto trimestre de 2026. Está previsto que los tenants de un mismo MSP se actualicen conjuntamente para que el partner trabaje en una plataforma operativa uniforme. Tampoco a 11 de octubre esta previsión significa que todos los tenants de MSP ya hayan migrado. Hasta que se realice la actualización, sigue siendo determinante el estado anterior de la solución; si el anuncio no es claro, aclara el estado del cliente con el equipo de partners.

La actualización del producto es automática. No requiere volver a desplegar los agentes ni cambiar la licencia. Sin embargo, no sustituye las siguientes tareas operativas:

1. Una vez completada, comprueba las Microsoft 365 Response Actions existentes. La conexión o sus credenciales deben volver a configurarse o autorizarse en el nuevo Security Operations. Que una integración de datos siga funcionando no demuestra que funcionen todas las acciones de respuesta.
2. Si utilizas Sophos Firewall, abre un caso y comprueba si se ofrecen las acciones de respuesta del firewall. Solo si faltan, debes crear una conexión Sophos Firewall (Actions). Ambas tareas de integración se describen en el runbook enlazado anteriormente.
3. Para las automatizaciones de XDR, inventaría por separado las consultas de lectura y los flujos de trabajo de escritura, así como las API que utilizan. La adenda sobre API del 9 de octubre de 2026 es un cambio posterior, cuya disponibilidad no debe darse por supuesta desde el lanzamiento de septiembre. El runbook de integración explica los límites entre Classic y GraphQL.
4. Registra los colectores de syslog SVA existentes y, si las hay, las cargas de trabajo de NDR. Un XDR Data Collector preaprovisionado automáticamente aún no está desplegado. Para decidir la dirección, realizar el despliegue y el cambio y definir la vuelta atrás, consulta Migrar colectores de registros SVA a XDR Data Collectors.

Actualizar los nombres de MDR y la generación de informes

Los niveles anteriores Sophos MDR Essentials y Sophos MDR Complete pasan a llamarse Sophos MDR y Sophos MDR Plus, respectivamente. El producto sigue siendo Sophos XDR; Sophos XDR Powered by Secureworks identifica la solución ampliada durante la transición. Un nombre nuevo no justifica modificar por iniciativa propia el contrato ni el nivel de servicio.

Al actualizar la cuenta de MDR, finaliza el envío automático anterior de los informes semanales y mensuales de MDR. Por ello, acuerda con los destinatarios de los informes quién utilizará MDR Dashboard durante la transición, seleccionará el periodo necesario y generará una exportación en PDF para cumplir las obligaciones de presentación de informes existentes. El panel ofrece periodos flexibles y vistas personalizables. Comprueba la exportación de un periodo conocido y documenta dónde se guarda; la ausencia de informes automáticos tras la actualización no demuestra por sí sola un fallo de la protección.

Estaba prevista una nueva función de generación de informes de autoservicio para más adelante en 2026. Esto no confirma que esté disponible actualmente ni que el envío automático ya funcione. Solo una función de generación de informes disponible y comprobada en el propio tenant puede sustituir el proceso de transición acordado.

Para quienes también utilizan Sophos Managed Risk, esta actualización no modifica el servicio de Managed Risk. Lo que cambia es el formato de los casos y el acceso: los casos de Managed Risk son accesibles desde Security Operations > Cases. Tras la actualización, abre un caso de Managed Risk que deba estar disponible y comprueba que sea accesible en el tenant correcto. Esta indicación solo se aplica a clientes que ya cuentan con el servicio de Managed Risk y no otorga derecho a un nuevo servicio.

No equiparar las ampliaciones opcionales con la actualización

Sophos AI Defense está disponible de forma general desde el 13 de octubre de 2026 y es un complemento de pago para clientes EDR, XDR y MDR que cumplan los requisitos. Sophos exige también Sophos EDR Endpoint Protection. Por tanto, la fase EAP anterior y el objetivo del cuarto trimestre de entonces son contexto histórico, no el estado actual de disponibilidad. Sin embargo, la disponibilidad general no demuestra ni el derecho contractual ni la habilitación en el propio tenant. Los clientes de Taegis que cumplan los requisitos pueden comprarlo desde la disponibilidad general sin esperar a migrar a Fusion; esta excepción de compra no elimina el requisito técnico de configuración documentado. AI Defense no es AI Assistant ni AI Search para las investigaciones de XDR. No hagas que el funcionamiento básico dependa de este complemento.

La configuración documentada sigue requiriendo una cuenta de Fusion actualizada a la nueva plataforma con Security Operations. El asistente permite seleccionar Sophos Endpoint, Sophos Firewall y Sophos Linux Server. La enumeración más amplia de DNS Protection, Protected Browser y Sophos Data Lake en la descripción general del producto no es la misma lista de selección de sensores. Endpoint requiere cargas de datos, descifrado TLS, bloqueo de QUIC y ajustes de Web Control y Application Control. Firewall requiere gestión de grupos y registro en las políticas web; los firewalls que no estén bajo gestión de grupos no reciben reglas de aplicación de controles de AI Defense. Linux Server requiere la carga de Network Data en Data Lake. Seleccionar un sensor no confirma por sí solo que la protección sea efectiva.

AI Defense ofrece visibilidad, políticas de acceso a aplicaciones e informes. La Base Policy se aplica a toda la organización; una Base Policy existente permanece sin cambios durante la incorporación. En las políticas adicionales, Save guarda sin activar, mientras que Save & Enable activa inmediatamente con la máxima prioridad. Antes de autorizar la activación deben comprobarse el alcance, las reglas y el orden. Aunque la comunicación de prensa sobre la disponibilidad general hace afirmaciones más amplias, la información posterior para partners sitúa la inspección y protección de prompts en la hoja de ruta, por lo que no debe contarse con ellas como protección actual garantizada. Sophos AI Defense: detectar y controlar el uso de la IA explica el procedimiento completo, con los requisitos de los sensores, una prueba piloto limitada, la validación y la reversión.

Si anteriormente utilizabas Cloud Optix, también debes comprobar una carencia independiente: la fecha de fin de vida útil, el 30 de septiembre de 2026, ya ha pasado. La actualización del producto no configura automáticamente nuevas conexiones de telemetría de la nube, y estas no sustituyen las funciones de CSPM. El runbook de integración describe esta distinción y la revisión del entorno existente que ahora resulta necesaria.

Distinguir los nombres visibles y los tipos de portal

Según el rol y el tipo de cuenta, aparece una interfaz diferente:

Los tres nombres designan contextos de administración diferentes y no son intercambiables. Los clientes, Sub-Estates o productos visibles siguen dependiendo de la cuenta, el rol y los permisos. Encontrarás orientación detallada sobre el tenant de cliente en Poner en funcionamiento de forma segura un tenant de Sophos Fusion; Resumen de los portales de Sophos explica los distintos tipos de portal.

Preparar la transición

1. Documenta el tipo de cuenta afectado, el tenant, la región de datos y el rol de administrador utilizado.
2. Confirma que el inicio de sesión funciona en un navegador de escritorio actual y compatible. No cambies al mismo tiempo la autenticación, el rol ni el proveedor de identidad.
3. Registra las referencias locales al acceso anterior del portal: marcadores del navegador, entrada del gestor de contraseñas, documentación interna y páginas de inicio, así como, si se utilizan, reglas de proxy o filtrado web y definiciones de destino de Conditional Access.
4. Haz un inventario aparte de las referencias técnicas utilizadas: hosts de API, Redirect URIs, callbacks de OIDC, webhooks, enlaces de Self-Service, scripts y endpoints de producto configurados de forma fija.
5. Prepara para la prueba de aceptación una cuenta de prueba con el rol de administrador previsto para el funcionamiento habitual. Si también se utiliza el portal Enterprise o Partner, se necesita una cuenta de prueba adecuada para cada tipo de portal utilizado. Ten también disponibles un segundo administrador autorizado y una ventana privada del navegador.

La MFA, las passkeys y la recuperación no se modifican en este runbook. Para ello, consulta Proteger el inicio de sesión de Sophos Fusion con MFA, passkeys e IdP. Los cambios en Entra ID, Conditional Access u OIDC deben seguir las guías específicas de Microsoft Entra ID o de OpenID Connect y Okta, respectivamente.

Actualizar el inicio de sesión y las referencias locales

El acceso actual para los usuarios es:

➜ Abrir Sophos Fusion

1. Abre https://fusion.sophos.com directamente en una ventana privada del navegador.
2. Completa el inicio de sesión habitual y comprueba el tenant, el tipo de cuenta y el rol.
3. Solo después de superar la prueba, cambia el marcador del navegador y el enlace del portal en la documentación interna de administración a https://fusion.sophos.com.
4. En el gestor de contraseñas, añade o actualiza únicamente el URI de inicio de sesión o la asignación correspondiente a este acceso al portal. No traslades de forma indiscriminada las credenciales, las passkeys ni las URL técnicas guardadas.
5. Si un proxy, servicio de seguridad DNS o filtro web bloquea el nuevo host, permite el host de destino que realmente figure en los registros, con el alcance mínimo necesario, y vuelve a realizar la prueba. No crees excepciones con comodines sin justificar para *.sophos.com ni para categorías completas, y no desactives de forma general la inspección TLS.
6. Si Conditional Access está configurado para el flujo de inicio de sesión, revisa los eventos de inicio de sesión reales. Un nombre de host nuevo no justifica una excepción amplia ni un cambio en las condiciones de usuario, dispositivo, ubicación o MFA.

Al abrir fusion.sophos.com, el navegador puede ser redirigido a través de la infraestructura de Central compatible con los sistemas heredados. La aparición de hosts o rutas con central.sophos.com no indica que se haya revertido la transición ni demuestra que el tenant sea incorrecto. Lo importante es que el destino de Sophos sea de confianza, el inicio de sesión sea el esperado y el contexto de administración sea el correcto.

Mantener sin cambios los identificadores técnicos de Central

El cambio de nombre visible no es una operación técnica de búsqueda y reemplazo. Los valores siguientes deben conservarse exactamente mientras la integración o la documentación correspondiente no indiquen de forma expresa un valor nuevo:

• rutas de la documentación de Sophos con /central/;
• nombres de API de Sophos Central, hosts de API y URL base existentes;
• Redirect URIs y valores de callback configurados, por ejemplo, https://federation.sophos.com/login/callback;
• el acceso de Self-Service compatible con los sistemas heredados y técnicamente necesario https://central.sophos.com/manage/self-service;
• webhooks, variables de script, secretos, referencias de certificados y otros endpoints técnicos que incluyan central en el nombre;
• slugs internos estables, términos de búsqueda y registros históricos.

Estos valores pueden formar parte de contratos de protocolo o de comparaciones exactas. Un cambio de nombre meramente editorial puede interrumpir el SSO, los clientes de API o el acceso de los usuarios. Las tareas relacionadas con licencias deben realizarse en Activar, comprobar y renovar licencias de Sophos Fusion.

Validación

La transición se considera finalizada cuando se hayan comprobado los puntos aplicables siguientes con una cuenta de prueba que tenga el rol de administrador previsto para el funcionamiento habitual. La prueba debe repetirse para cada tipo de portal adicional utilizado con la cuenta de prueba correspondiente:

• https://fusion.sophos.com abre el inicio de sesión esperado de Sophos sin advertencias de certificado ni de filtrado.
• La MFA configurada y, si se utiliza, el flujo de inicio de sesión federado funcionan sin cambios; se muestran el rol esperado y el tenant correcto.
• El contexto de cliente, Enterprise o Partner muestra el nombre visible correspondiente.
• My Environment, Global Settings, el perfil y Sophos Help son accesibles de acuerdo con el rol.
• Una prueba de humo existente de la API o de la automatización se completa sin cambiar el host ni el secreto.
• Si están configurados o se utilizan, el callback de SSO, el enlace de Self-Service y los demás endpoints técnicos de Central funcionan sin cambios.
• Si se utilizan un proxy, un servicio de seguridad DNS, un filtro web, un IdP o Conditional Access, sus registros no muestran bloqueos nuevos ni excepciones inesperadas.
• Las guías internas antiguas remiten a la URL de Fusion para el acceso administrativo, pero conservan los valores técnicos exactos de Central.

Solución de problemas

Redirección a un host de Central

No vuelvas a un estado supuestamente anterior. Comprueba primero el certificado, la cadena de redirección completa, el tenant de destino y que el inicio de sesión se complete correctamente. Los nombres heredados en la infraestructura operativa pueden seguir siendo correctos.

Página bloqueada o vacía

Realiza la prueba con un navegador sin extensiones o en una ventana privada, y registra la hora, la URL de origen, el host final y el texto del error. A continuación, revisa los registros de los sistemas de proxy, DNS, filtrado web e inspección TLS utilizados para identificar el host concreto bloqueado. Modifica únicamente lo que resulte necesario según esas pruebas; no permitas comodines de forma preventiva.

Si varios inicios de sesión independientes o varios tenants se ven afectados al mismo tiempo, consulta Sophos Status para comprobar si existe una posible interrupción general del servicio. La página de estado es una referencia para el diagnóstico; los cambios locales solo deben realizarse cuando existan causas demostradas.

Error de inicio de sesión o de Conditional Access

Compara cronológicamente los eventos del inicio de sesión de Sophos y, si se utiliza un IdP, los eventos de este. No vuelvas a crear una aplicación del IdP, una URL de callback ni una política de Conditional Access únicamente por el nuevo nombre visible. Para el diagnóstico y la reversión, utiliza exclusivamente el runbook de SSO enlazado anteriormente para el flujo de inicio de sesión afectado; conserva el administrador alternativo que ya hayas probado.

Opción de menú ausente

Comprueba primero el tipo de cuenta y el rol. Después, busca en My Environment, en el icono de engranaje de Global Settings, en el perfil y en Sophos Help. La ausencia de una opción de menú puede deberse a una limitación del rol o de la licencia; no demuestra que el cambio de nombre haya fallado.

Tenants, productos o clientes ausentes

Cierra la sesión, vuelve a iniciarla en una ventana privada del navegador con la identidad prevista y comprueba el tipo de cuenta y el tenant. No crees tenants sustitutos, pruebas gratuitas ni nuevas asignaciones de partners como medida correctiva.

Si el acceso sigue sin funcionar después de estas comprobaciones, recopila el intervalo de tiempo con la zona horaria, la identidad afectada, el tenant o Customer ID, el navegador, los hosts de origen y destino, el texto del error y capturas de pantalla sin datos sensibles. A continuación, escala el caso mediante Abrir un ticket de soporte de Sophos con Support Assistant.

Reversión local

El cliente no puede revertir el cambio de nombre de Sophos Central a Sophos Fusion realizado por el proveedor. Solo pueden deshacerse los cambios locales efectuados durante esta transición:

• marcadores y enlaces de la documentación interna,
• asignaciones de URI de inicio de sesión en el gestor de contraseñas,
• reglas específicas de proxy, DNS o filtrado web.

Antes de la reversión, recupera el valor anterior de la documentación del cambio y, después, vuelve a probar el acceso. Los ajustes del IdP o de Conditional Access no forman parte de esta reversión local; solo deben revertirse de acuerdo con el runbook de SSO enlazado anteriormente para el flujo de inicio de sesión afectado y con el procedimiento de reversión que este documenta. El antiguo nombre de host de Central no es una vía de reversión garantizada. No modifiques los hosts de API, callbacks, URL de Self-Service ni otros valores técnicos que se hayan mantenido sin cambios deliberadamente durante esta transición.