Sophos Fusion expliqué : produit, licence ou plateforme ?

Sophos Fusion voit tout, relie tout et permet à la défense de réagir comme un seul système. Tel est le message de la vidéo de présentation de 66 secondes. S’y ajoutent des termes comme AI-native, Agentic AI, Unified Context Lake, Compounding Intelligence et Synchronized Security. Tout cela paraît ambitieux, mais ne répond pas aux questions les plus évidentes : Sophos Fusion est-il un nouveau produit ? Faut-il une nouvelle licence ? Sophos Central va-t-il être remplacé ? Et qu’advient-il d’Endpoint, XDR, MDR, Firewall et des autres produits Central ?

La réponse courte est la suivante : Sophos Fusion n’est ni un produit individuel ni une licence distincte. L’AI-Native Cybersecurity Defense System désigne l’architecture sous-jacente. Sophos Fusion est l’évolution de Sophos Central et l’environnement de gestion dans lequel les clients connectent leurs points de contrôle et administrent leur sécurité sur cette architecture. La console Central actuelle ne sera pas remplacée par un second portail. Les comptes existants seront automatiquement et progressivement mis à niveau vers Fusion, et l’interface sera renommée en conséquence ; aucune intervention du client n’est nécessaire. Dans le même temps, Fusion représente davantage qu’un nouveau logo : l’intégration de Secureworks étend considérablement XDR et MDR sur le plan technique, Next-Gen SIEM apparaît comme un nouvel add-on et d’autres offres telles qu’AI Defense et CISO Advantage sont lancées sous cette même bannière.

Fusion se comprend donc au mieux comme la combinaison de trois éléments : une stratégie de plateforme technique, un nouveau modèle de portefeuille et un nouveau message de marque. Une entreprise qui exploite uniquement un Sophos Firewall ne disposera pas soudainement d’un Security Operations Center autonome. En revanche, celle qui utilise plusieurs points de contrôle, XDR ou MDR et configure correctement les intégrations peut réellement bénéficier d’un contexte plus riche et de réactions plus rapides.

Les principales réponses en un coup d’œil

Cette distinction est importante. Sophos indique lui-même explicitement que Fusion n’est ni un SKU, ni un bundle, ni quelque chose qui puisse être acheté séparément. Le fabricant profite naturellement du lancement pour positionner de nouveaux produits et de nouvelles extensions. « Pas de licence Fusion » ne signifie donc pas que « toutes les fonctions Fusion sont incluses dans chaque licence existante ».

Ce que Sophos entend par Cyber Defense System

Les portefeuilles de sécurité classiques se composent de nombreux outils : Endpoint Protection, Firewall, sécurité des e-mails, Identity Security, NDR, XDR, SIEM, ZTNA, switches, points d’accès et sécurité cloud. Chaque produit observe une partie différente d’une attaque. Le problème est rarement le manque de données. Il réside plutôt dans le fait que ces données aboutissent dans des consoles, des formats et des domaines de responsabilité différents.

Sophos Fusion doit relier ces éléments pour former un système. Cette architecture peut être résumée en cinq composantes :

1. Points de contrôle : Sophos Endpoint, Firewall, Email, Identity, NDR, Workspace Protection, les switches, Wireless et les produits cloud fournissent de la télémétrie ou peuvent appliquer des mesures de protection. D’après la page produit actuelle, plus de 500 intégrations avec des fournisseurs tiers s’y ajoutent.
2. Contexte commun : un Unified Context Lake doit réunir les événements, appareils, utilisateurs, identités et indicateurs d’attaque. Sur le plan technique, il s’appuie sur le Sophos Data Lake existant et sur la technologie Taegis de Secureworks.
3. Réaction coordonnée : Synchronized Security et d’autres intégrations bidirectionnelles doivent convertir les informations provenant d’un point de contrôle en mesures appliquées à d’autres endroits.
4. IA, automatisation et contrôle humain : l’IA agentique doit structurer les investigations, enrichir le contexte, préparer les décisions et déclencher des réactions dans des limites définies. Sophos X-Ops, les analystes MDR et des limites de confiance clairement établies restent partie intégrante du système.
5. Compounding Intelligence : les enseignements tirés d’attaques réelles ne doivent pas rester limités au tenant d’un seul client, mais améliorer les détecteurs, les modèles d’IA et la logique de réponse pour tous les clients.

Le terme peu maniable de Compounding Intelligence désigne donc une boucle d’apprentissage centrale. Sophos indique que sa base de données couvre plus de 625'000 organisations protégées et plus de 380'000 investigations MDR par an. Cela ne signifie pas que les clients peuvent accéder mutuellement à leurs données brutes. Les enseignements tirés des schémas d’attaque et des investigations doivent plutôt alimenter des détections, des modèles et une logique de réponse actualisés. Il reste cependant difficile de vérifier de l’extérieur la rapidité avec laquelle cette boucle fonctionne réellement et les produits qu’elle concerne.

L’objectif est logique. Un compte compromis, un processus suspect sur un endpoint et une connexion inhabituelle à travers le firewall ne sont peut-être pas révélateurs lorsqu’ils sont examinés séparément. Ensemble, ils peuvent indiquer une attaque. Fusion doit reconnaître plus rapidement ces corrélations et coordonner une réaction adaptée.

Mais le point essentiel est le suivant : un schéma d’architecture ne constitue pas encore une intégration activée. Pour que les données soient réellement regroupées, les produits concernés doivent disposer de licences, être enregistrés dans Central, être correctement configurés et autorisés pour le logging ou les uploads vers le Data Lake. Une réaction automatique nécessite en outre des Response Actions prises en charge, les autorisations adéquates et un processus d’incident défini.

Sophos Central devient-il finalement Sophos Fusion ?

Manifestement, Sophos n’était pas encore tout à fait au clair dans sa communication. Il y a encore deux mois, Paul Murray, Senior Product Marketing Director chez Sophos, expliquait dans la Community que Central ne serait ni renommé ni remplacé. Apparemment, même un Senior Product Marketing Director ne disposait pas encore de toutes les informations.

Désormais, la ligne est claire : Sophos Central devient Sophos Fusion. L’environnement de gestion existant est automatiquement et progressivement renommé et étendu ; les clients n’ont rien à déclencher. Il n’y aura ni second tenant ni nouvelle console. En bref : la plateforme reste, le nom change. Pour l’administration exclusive d’Endpoint, d’Email ou de Firewall, peu de choses devraient changer dans un premier temps au quotidien. La transition sera plus visible là où XDR, MDR, les intégrations et le Threat Analysis Center sont déjà utilisés.

Les véritables changements de produits derrière le lancement de Fusion

Le terme Fusion englobe l’ensemble du portefeuille. Au lancement, les changements les plus concrets concernent toutefois Sophos XDR, Sophos MDR et Next-Gen SIEM. Ces extensions reposent en grande partie sur le rachat de Secureworks achevé en 2025 et sur la technologie Taegis.

Sophos a présenté Fusion le 15 juillet 2026 et annoncé les nouvelles fonctions XDR, MDR et SIEM pour le 15 août 2026. Le déploiement sur les tenants XDR et MDR existants doit commencer en août et s’effectuer progressivement sur plusieurs mois. Aucun nouvel agent ne doit être déployé, et Sophos ne prévoit ni interruption ni modification de la licence XDR ou MDR existante du seul fait de la mise à niveau de la plateforme.

Sophos XDR bénéficie d’une extension majeure

Sophos XDR conserve son nom, mais reçoit une nouvelle interface de Security Operations qui remplace l’actuel Threat Analysis Center, ainsi que de nombreuses fonctions supplémentaires issues de l’univers Secureworks :

• des milliers de détecteurs Taegis supplémentaires,
• des Detection Rules personnalisées,
• une Detection Analysis assistée par l’IA,
• davantage de télémétrie et de Threat Intelligence provenant de Sophos X-Ops,
• des playbooks SOAR et des connecteurs supplémentaires,
• davantage d’intégrations bidirectionnelles avec des Response Actions,
• un Email Monitoring System intégré et
• la possibilité d’ajouter Next-Gen SIEM sous forme d’add-on.

Certaines documentations de mise à niveau emploient temporairement la désignation Sophos XDR Powered by Secureworks. Il ne s’agit pas d’un produit XDR séparé, mais de la plateforme enrichie sur le plan technique.

Pour la première fois, l’IA devient ainsi plus tangible pour les analystes directement dans leur interface quotidienne. Les activités apparentées sont regroupées en cas, les données de sécurité complexes sont présentées de manière plus compréhensible et les investigations peuvent être interrogées en langage naturel. Sophos fait expressément la promotion de cette fonction avec la formule « no SQL required ». Cela réduit la barrière à l’entrée, mais ne remplace ni la vérification des résultats ni la compréhension de la télémétrie sous-jacente.

Pour les équipes XDR existantes, il s’agit probablement du changement Fusion le plus important. L’ancienne plateforme d’interrogation et d’investigation évolue davantage vers un environnement de travail SOC complet. Cette technologie supplémentaire ne supprime toutefois pas automatiquement le travail opérationnel. Les Detection Rules, les sources de données, les playbooks, les autorisations et les voies d’escalade doivent toujours être maintenus.

Après la mise à niveau, les intégrations pour Microsoft 365 et Okta devront être de nouveau autorisées si des Response Actions y sont configurées. De tels détails montrent pourquoi une mise à niveau de plateforme ne doit pas simplement être ignorée, même lorsqu’elle est annoncée « sans interruption ».

D’après Sophos, l’Email Monitoring System (EMS) intégré est inclus dans XDR et MDR et ne nécessite pas de licence Fusion supplémentaire. Il ne remplace ni Sophos Email, ni Microsoft Defender for Office 365, ni une autre passerelle e-mail. EMS utilise des règles de journaling dans Microsoft 365 ou Google Workspace et fonctionne en mode monitoring parallèlement à la sécurité e-mail existante. Le flux initial des e-mails et leur distribution restent inchangés. EMS fournit une seconde couche de détection et d’investigation ; avec Microsoft 365, il peut également supprimer a posteriori des messages malveillants déjà distribués.

Mon avis : autant de nouvelles fonctions XDR sans nouvelle licence séparée ni hausse de prix annoncée au lancement paraissent presque inhabituellement généreuses. Microsoft vient de montrer ce qui pourrait suivre : parallèlement à l’ajout de fonctions d’IA, de sécurité et de gestion, les prix de certains plans Microsoft 365 ont été relevés au 1er juillet 2026. Chez Sophos, nous avions rapporté pour la dernière fois en 2022 une hausse de prix de 7 à 9 % pour Intercept X Advanced with XDR. Une nouvelle hausse du prix de XDR dans les douze prochains mois ne me surprendrait donc pas. Rien n’a été annoncé à ce sujet pour l’instant : il s’agit expressément d’une prévision personnelle.

Sophos MDR gagne en automatisation et change encore de nom

Pour MDR aussi, Sophos fait de nouveau tourner la roue des noms : MDR Essentials devient MDR, MDR Complete devient MDR Plus. Ce n’est guère surprenant. Les noms des produits et des licences Sophos Central changent si régulièrement que j’aurais du mal à citer spontanément une offre dont le nom est resté identique pendant quatre ans. Je ne considère donc pas ce changement de nom comme une innovation majeure de Fusion. Les évolutions techniques qu’il recouvre sont plus importantes.

Sophos annonce du Threat Hunting continu assisté par l’IA, davantage d’intégrations et des possibilités de réaction supplémentaires. L’Email Monitoring System est également intégré.

Sophos cite deux chiffres pour illustrer l’automatisation : selon le fabricant, 52 % des cas MDR sont traités de bout en bout par l’IA dans les limites définies par les analystes. Les formulations publiques ne sont toutefois pas uniformes concernant les 89 secondes. Le communiqué Fusion et la page produit MDR mesurent le délai entre l’alerte et la réaction automatique. Dans un précédent communiqué consacré à l’Agentic SOC, le chronométrage ne commence en revanche qu’à la création d’un cas et ne concerne que les cas que l’IA est autorisée à traiter intégralement. Une alerte et la création d’un cas ne sont pas la même chose. Ce chiffre doit donc être compris comme une métrique opérationnelle de Sophos, et non comme un temps de réaction de bout en bout vérifié de manière indépendante ou comme une garantie valable pour chaque incident.

Un changement concret devrait être visible plus rapidement au quotidien que le nouveau nom : lors de la mise à niveau, les rapports MDR hebdomadaires et mensuels actuels seront arrêtés. Une nouvelle fonction de reporting en libre-service n’est prévue que plus tard en 2026. D’ici là, le MDR Dashboard reste disponible avec des plages de dates librement sélectionnables, des vues personnalisables et l’export PDF. Les entreprises qui utilisent les rapports réguliers pour leurs clients, leurs audits ou leurs contrôles internes doivent donc remplacer leur envoi actuel par un nouveau processus avant la mise à niveau.

Pour les clients MDR existants, il est donc surtout important de surveiller la date de mise à niveau annoncée, de contrôler les intégrations et de prévoir les modifications apportées aux rapports ou aux workflows. Les entreprises qui utilisent déjà MDR avec de la télémétrie tierce trouveront les bases de cette évolution dans l’article Sophos MDR intègre les données de télémétrie de fournisseurs tiers.

Next-Gen SIEM est nouveau et entraîne un coût supplémentaire

Next-Gen SIEM n’est pas un cadeau gratuit pour chaque compte Central. Il est proposé comme add-on optionnel pour XDR et MDR. Son intérêt réside principalement dans une conservation plus longue des données, des fonctions de conformité supplémentaires et des intégrations personnalisées. D’après la FAQ publique de Sophos, la durée de conservation standard est d’un an ; des options de trois, cinq, sept ou dix ans sont prévues.

Le modèle de licence mérite l’attention : Sophos entend facturer Next-Gen SIEM selon le nombre d’utilisateurs et de serveurs protégés, et non selon le volume de données ingérées. Cela peut réduire l’incertitude liée au coût des volumes de logs, souvent difficile à prévoir avec les produits SIEM. Il n’est cependant pas possible d’en déduire que l’offre sera moins chère ; le nombre d’utilisateurs, de serveurs, la durée de conservation et les intégrations nécessaires doivent être calculés ensemble.

Les sources de données personnalisées doivent pouvoir être connectées au moyen de Custom Integrations. Les parsers assistés par l’IA annoncés à cet effet sont toutefois encore qualifiés de coming soon par Sophos dans la FAQ publique sur la mise à niveau. Ils ne doivent donc pas être planifiés comme une fonction déjà disponible dans un projet de déploiement.

Pour les organisations qui utilisent déjà Splunk, Microsoft Sentinel, Google Security Operations, Elastic, QRadar ou une autre plateforme SIEM, cette nouveauté ne justifie pas automatiquement une migration. L’offre devient intéressante là où XDR ou MDR constitue déjà le processus central de Security Operations et où une plateforme SIEM séparée serait trop complexe ou trop coûteuse. Avant tout changement, il convient de comparer les sources de données, la rétention, les possibilités de recherche, l’export, la conformité, les coûts et la stratégie de sortie.

Pour les entreprises suisses et européennes, la résidence des données doit également figurer dans la liste des points à vérifier. Sophos Central propose notamment des régions de données à Francfort, Allemagne, et à Dublin, Irlande ; aucune région Central en Suisse n’est actuellement répertoriée. La région est choisie lors de la création d’un compte. Les données du client y restent liées et ne peuvent pas être transférées d’une région à une autre. Un changement ultérieur de région n’est donc pas une simple option du compte.

L’actuelle fiche de confidentialité XDR confirme ce rattachement régional pour Sophos Central et le Data Lake existant. La documentation Secureworks mentionne pour Taegis des sites distincts aux États-Unis et dans l’UE, en Allemagne. Les informations publiques n’expliquent toutefois pas clairement comment un tenant Central existant est affecté à ces régions Taegis lors de la mise à niveau Fusion, ni si tous les nouveaux flux de données du Context Lake, du SIEM et de fournisseurs tiers restent inchangés dans la région existante. Ce point précis doit être confirmé par écrit avant un déploiement.

Sophos répertorie notamment ISO 27001, ISO 27017, ISO 27018, SOC 2 et C5 Germany parmi ses certifications d’entreprise. C5 est le catalogue de critères de l’Office fédéral allemand de la sécurité des technologies de l’information pour les services cloud. Cette liste est utile, mais ne remplace pas la vérification du périmètre exact. Dans le cadre d’un projet de conformité, il faut vérifier si le composant Fusion, la région et le traitement de données requis sont effectivement couverts par le certificat ou le rapport concerné.

AI Defense et CISO Advantage sont des offres supplémentaires

Avec Fusion, Sophos ne se contente pas d’introduire une architecture, mais élargit également son portefeuille :

• Sophos AI Defense doit rendre visible l’utilisation de l’IA générative et de la Shadow AI, évaluer les risques et contrôler les accès. Cette offre est prévue comme add-on pour les solutions EDR, XDR et MDR éligibles et nécessite un compte activé pour Fusion. Un programme Early Access est annoncé pour août et la disponibilité générale pour octobre 2026.
• Sophos CISO Advantage n’est pas un agent technique pour Endpoint ou Firewall, mais un programme de sécurité. Il doit proposer une Control Validation continue, un mapping de conformité, des évaluations des risques, des comparaisons avec des organisations similaires et un reporting compréhensible par la direction ou le conseil d’administration. Son lancement est prévu à partir d’octobre 2026.

Pour AI Defense, Sophos décrit quatre étapes : identifier les outils d’IA et les agents autonomes utilisés, évaluer les risques selon l’identité, les autorisations, l’emplacement, l’accès aux données et le comportement, imposer des garde-fous aux prompts et aux agents, puis transmettre les activités d’IA suspectes aux workflows Detection and Response existants. C’est plus concret qu’une simple nouvelle étiquette AI. Il faudra toutefois attendre l’Early Access et la disponibilité générale pour savoir avec quelle précision ces contrôles fonctionnent en pratique et quelles applications sont entièrement prises en charge.

L’aspect commercial de Fusion devient ainsi visible. Le système lui-même n’a pas de licence, mais il crée le cadre dans lequel des produits et services supplémentaires peuvent être vendus. Ce n’est pas nécessairement négatif. Il faut simplement le distinguer clairement de l’architecture technique.

Qu’est-ce qui change pour Sophos Firewall ?

Pour les installations Sophos Firewall existantes, le principe est le suivant : Fusion ne remplace ni le firewall, ni SFOS, ni les licences Firewall. Un XGS Firewall continue à fonctionner localement, à appliquer les règles, à inspecter le trafic et à conserver ses fonctions Network, Web, Zero-Day ou Xstream Protection. Central Firewall Management reste également Central Firewall Management.

Dans l’architecture Fusion, le firewall est un point de contrôle. Il peut fournir des données réseau et réagir aux informations provenant d’autres produits. Selon la licence et la configuration, cela inclut notamment :

• Synchronized Security et Security Heartbeat,
• Central Firewall Management et Central Reporting,
• la télémétrie Firewall dans le Data Lake,
• les intégrations XDR et MDR,
• Active Threat Response,
• NDR Essentials et NDR Active Threat Intelligence ainsi que
• des API pour les tâches de gestion et d’automatisation.

Prenons un exemple réaliste : un processus suspect est détecté sur un endpoint. Les données d’identité montrent que le compte concerné s’est connecté de manière inhabituelle peu auparavant. Le firewall observe simultanément une connexion à une infrastructure suspecte. XDR ou MDR corrèle ces signaux, isole l’endpoint et peut limiter l’accès réseau au moyen d’une intégration prise en charge. C’est précisément cette chaîne que Sophos désigne par « respond as one ».

Une entreprise qui exploite seulement un firewall avec des règles locales, n’envoie aucune télémétrie à Central et n’utilise ni XDR ni MDR ne bénéficiera pratiquement d’aucune protection supplémentaire du seul fait du terme Fusion. Celle qui relie volontairement le firewall à NDR Active Threat Intelligence, au Data Lake et à Active Threat Response peut en revanche intégrer les décisions réseau dans un processus d’incident plus rapide.

Les autres produits Central illustrent eux aussi cette orientation. Sophos a annoncé des requêtes Live Discover pour les switches et les points d’accès AP6. Les données de Workspace Protection peuvent être intégrées aux requêtes XDR. ZTNA prend en charge plusieurs contrôleurs de domaine, tandis que le Protected Browser ou l’extension de navigateur fournit une visibilité supplémentaire sur les applications web et d’IA. Ces fonctions ne sont pas apparues du jour au lendemain grâce à Fusion. Elles montrent toutefois comment davantage de points de contrôle peuvent être intégrés à la même couche d’investigation et de réponse.

Que signifie réellement « AI-native » ?

Ce terme mérite une analyse objective. Sophos utilise depuis des années le Machine Learning et le Deep Learning dans la protection des endpoints, des e-mails et des réseaux. Fusion n’est pas AI-native parce qu’un modèle classifie soudainement un malware pour la première fois. La nouveauté réside dans l’ambition d’utiliser l’IA sur l’ensemble du processus de Security Operations :

• prioriser et regrouper les alertes,
• corréler les événements provenant de différentes sources,
• expliquer les décisions de détection,
• planifier les étapes d’une investigation,
• exécuter le Threat Hunting en continu,
• préparer ou déclencher des Response Actions adaptées et
• réinjecter les résultats de nombreux incidents dans les détecteurs et les modèles.

Par Agentic AI, Sophos entend des systèmes qui ne se contentent pas de répondre à une question isolée, mais exécutent de manière autonome plusieurs étapes de travail dans le cadre d’une mission définie. Dans un SOC, cela peut signifier qu’un agent examine une alerte, collecte du contexte sur l’utilisateur et l’appareil, recherche des événements associés, produit une évaluation du risque et, lorsque la situation est suffisamment claire, lance une mesure de confinement préalablement autorisée.

La précision importante est dans des limites de confiance définies. Les actions autorisées automatiquement, celles qui nécessitent une validation et le moment où un analyste humain intervient comptent davantage que l’étiquette AI-native. Une IA qui décide rapidement, mais dispose d’une télémétrie incomplète, d’autorisations incorrectes ou de playbooks mal définis, risque dans le pire des cas d’automatiser la mauvaise réaction.

Dans son propre AI Security 2026 Report, Sophos présente par ailleurs une analyse beaucoup plus nuancée que dans les courtes vidéos consacrées à Fusion : l’IA compresse les séquences d’attaque et améliore le Social Engineering, la Reconnaissance et l’automatisation. Elle n’a cependant pas soudainement créé des catégories d’attaque entièrement nouvelles. Sophos décrit la réalité entre le battage médiatique excessif et l’hypothèse tout aussi erronée selon laquelle l’IA ne jouerait aucun rôle pour les attaquants.

C’est également la lecture la plus pertinente de Fusion : l’IA rend un bon système de sécurité plus rapide et plus évolutif, mais ne remplace ni la qualité des données, ni une structure d’autorisations, ni un processus de gestion des incidents.

Les limites des messages marketing

« Sees everything » et « responds as one » sont des promesses fortes. Dans la pratique, plusieurs restrictions s’appliquent :

Une catégorie émergente n’est pas encore une norme du marché

Sophos décrit les Cybersecurity Defense Systems comme une nouvelle catégorie émergente et Fusion comme son premier système et le plus complet. Pour étayer cette affirmation, le communiqué de presse consacré à Fusion fait référence au rapport Gartner « Tech FutureSight: Protect the Global Attack Surface with an Autonomous Cyber Defense System » du 12 décembre 2025. Il ne s’agit ni d’un Magic Quadrant, ni d’un Market Guide, ni d’une évaluation de Sophos Fusion. Ce rapport décrit l’orientation générale des systèmes de défense autonomes.

La prévision de marché citée dans le communiqué ne provient pas non plus de Gartner. Futurum Group prévoit que le marché des Security Operations passera de 18 milliards de dollars américains à 37 milliards en 2029. Cela ne rend pas l’idée technique derrière Fusion erronée. Mais cela montre que le « Cybersecurity Defense System » est actuellement autant un récit de catégorie activement porté par Sophos qu’une norme de marché largement établie. Pour comparer des produits, les sources de données, les Response Actions et les processus opérationnels réellement disponibles sont donc plus significatifs que le nom de la catégorie.

Toutes les intégrations ne peuvent pas réagir

Les plus de 500 intégrations représentent un chiffre global pour l’architecture Fusion ouverte. Il n’indique pas combien d’entre elles sont disponibles sous forme d’intégrations XDR prédéfinies ou permettent une réaction bidirectionnelle. Certaines intégrations fournissent uniquement des logs, d’autres permettent des requêtes, et d’autres encore offrent des Response Actions concrètes. Avant toute planification, il faut donc vérifier pour chaque produit quelle télémétrie est transmise et quelles actions sont effectivement prises en charge.

Plus de produits Sophos augmente l’intérêt de l’intégration

Fusion prend explicitement en charge des fournisseurs tiers. Mais le plus grand bénéfice en matière d’automatisation apparaît, comme on peut s’y attendre, là où de nombreux points de contrôle Sophos sont déjà en place. C’est techniquement logique et constitue en même temps une stratégie claire de portefeuille et de vente croisée. Les environnements mixtes restent possibles, mais doivent être évalués sur la base des intégrations concrètes.

« Fait partie de Fusion » ne signifie pas « tout est inclus »

Sophos présente chaque produit comme faisant partie du système. Cela ne signifie pas que chaque fonction est disponible avec chaque licence. Les bundles de protection Firewall, les licences Endpoint, XDR, MDR, Next-Gen SIEM, AI Defense et les prestations de conseil conservent des conditions et des prix différents.

L’automatisation exige une responsabilité opérationnelle

Une isolation automatique peut faire gagner des minutes décisives en cas d’incident. Mais elle peut également déconnecter du réseau un serveur critique pour la production. Il faut donc définir des validations, des exceptions, des rôles et des contacts d’urgence, et tester régulièrement les runbooks. Les bonnes pratiques de sécurité réseau pour Sophos Firewall restent pertinentes dans une architecture Fusion.

Que faut-il faire maintenant concrètement ?

Pour la plupart des clients existants, aucun projet de migration précipité n’est nécessaire. Une approche progressive est judicieuse.

En cas d’utilisation exclusive d’Endpoint, d’Email ou de Firewall

• Continuer à utiliser normalement les licences et fonctions de protection existantes.
• Vérifier l’enregistrement dans Central, les rôles, la MFA, le logging et la transmission des données.
• Ne pas supposer que Fusion active automatiquement de nouveaux droits XDR, MDR ou SIEM.
• Déterminer si la télémétrie supplémentaire sera réellement analysée dans le processus d’incident de l’entreprise.

Avec XDR ou MDR existant

• Surveiller la notification de mise à niveau dans Sophos Central. Une notification devrait apparaître environ une semaine avant la migration.
• Autoriser de nouveau les intégrations Microsoft 365 et Okta après la mise à niveau si des Response Actions sont utilisées.
• Documenter ou exporter les requêtes enregistrées, Detection Rules, dashboards, workflows et intégrations, puis les tester après la migration. Sophos ne décrit pas publiquement la manière dont chacun de ces objets sera migré.
• Remplacer l’envoi automatique des rapports MDR hebdomadaires ou mensuels et vérifier si le dashboard et l’export PDF répondent aux exigences internes de reporting et d’audit.
• Vérifier quels nouveaux détecteurs, fonctions SOAR et Response Actions peuvent être activés de manière judicieuse.
• Répercuter les changements de nom de MDR Essentials vers MDR et de MDR Complete vers MDR Plus dans la documentation, les offres et les processus internes.

Pour les exigences SIEM, SOC ou de conformité

• Ne pas comparer Next-Gen SIEM au SIEM existant sur la seule base de sa proximité avec les autres produits.
• Consigner les sources de données, la rétention, la syntaxe de recherche, l’export, la résidence des données, les rôles, les coûts et la stratégie de sortie.
• Vérifier si les intégrations tierces fournissent uniquement des événements ou si elles prennent également en charge les Response Actions.

En cas d’intérêt pour AI Defense

• Vérifier si une licence EDR, XDR ou MDR éligible est disponible et si le compte est déjà activé pour Fusion.
• Commencer par inventorier les services d’IA déjà utilisés et les données qui y sont transmises.
• Examiner ensemble la Shadow AI, l’utilisation du navigateur, les accès API et les contrôles web, DNS, Endpoint ou SSE existants.
• Ne pas confondre Early Access et maturité opérationnelle. Tester d’abord les policies et les actions de blocage avec un groupe restreint.

Mon évaluation de Sophos Fusion

Sophos Fusion n’est ni une nouvelle licence ni un produit individuel, mais représente bel et bien une nouvelle orientation. Après le rachat de Secureworks, le fabricant ne veut plus seulement commercialiser Endpoint, Firewall et des produits Central distincts, mais un Cyber Defense System commun. Cette approche est techniquement cohérente : les attaques passent par les identités, les endpoints, les e-mails, les navigateurs, le cloud et le réseau. Une défense capable de regrouper ces signaux et de réagir plus rapidement est plus pertinente que cinq consoles isolées.

Le lancement comporte néanmoins beaucoup de marketing. La courte vidéo s’en tient à des affirmations telles que « tout voir » et « réagir comme un seul système », sans expliquer les licences, les intégrations et les processus opérationnels nécessaires. Le terme AI-native ne signifie pas grand-chose à lui seul. Ce sont les nouveautés concrètes qui comptent : les détecteurs Secureworks dans XDR et MDR, un contexte commun, davantage de Response Actions, SOAR, Next-Gen SIEM et un élargissement clair des points de contrôle.

Pour les clients Sophos existants, la conclusion est donc la suivante :

• Aucune migration forcée et aucune licence Fusion.
• L’environnement de gestion Central évolue automatiquement vers Fusion ; aucune intervention du client n’est nécessaire.
• Firewall, Endpoint, Email, Switch, Wireless et ZTNA restent des produits autonomes.
• XDR et MDR bénéficient des changements immédiats les plus importants.
• Les nouvelles fonctions peuvent nécessiter des licences ou des add-ons supplémentaires.
• La valeur pratique dépend de la télémétrie activée, des intégrations prises en charge et de processus d’incident efficaces.

Fusion n’est donc ni un simple changement de nom ni la promesse d’une sécurité entièrement automatisée présentée dans la vidéo. Il s’agit d’une véritable stratégie de plateforme, dont la valeur devra encore être démontrée en conditions réelles.

FAQ

Informations complémentaires

• Sophos : Présentation de Sophos Fusion
• Sophos Community : Upgrade Center consacré à l’extension de XDR et MDR