Sophos Fusion: prodotto, licenza o nuova piattaforma?

Sophos Fusion vede tutto, collega tutto e consente alla difesa di reagire come un’unica entità. È questo il messaggio del video introduttivo di 66 secondi. A ciò si aggiungono termini come AI-native, Agentic AI, Unified Context Lake, Compounding Intelligence e Synchronized Security. Suona ambizioso, ma non risponde alle domande più ovvie: Sophos Fusion è un nuovo prodotto? Richiede una nuova licenza? Sophos Central verrà sostituito? E cosa succede a Endpoint, XDR, MDR, Firewall e agli altri prodotti Central?

La risposta breve è: Sophos Fusion non è né un singolo prodotto né una licenza a sé stante. L’AI-Native Cybersecurity Defense System indica l’architettura sottostante. Sophos Fusion è l’evoluzione di Sophos Central e l’ambiente di gestione in cui i clienti collegano i propri punti di controllo e amministrano la sicurezza su questa architettura. L’attuale console Central non viene sostituita da un secondo portale. Gli account esistenti vengono invece aggiornati automaticamente e gradualmente a Fusion e l’interfaccia viene rinominata di conseguenza; non è richiesta alcuna azione da parte dei clienti. Allo stesso tempo, Fusion è più di un nuovo logo: con l’integrazione di Secureworks, XDR e MDR vengono ampliati in modo sostanziale sul piano tecnico, Next-Gen SIEM arriva come nuovo add-on e sotto questo marchio vengono introdotte altre offerte come AI Defense e CISO Advantage.

Fusion va quindi inteso soprattutto come la combinazione di tre elementi: strategia tecnica di piattaforma, nuovo modello di portafoglio e nuovo messaggio di brand. Chi gestisce soltanto un Sophos Firewall non ottiene improvvisamente un Security Operations Center autonomo. Chi utilizza più punti di controllo, XDR o MDR e configura correttamente le integrazioni può invece beneficiare concretamente di un contesto più ricco e di reazioni più rapide.

Le risposte più importanti in sintesi

Questa distinzione è importante. Sophos afferma esplicitamente che Fusion non è uno SKU, non è un bundle e non è qualcosa che si possa acquistare separatamente. Allo stesso tempo, il produttore sfrutta naturalmente il lancio per posizionare nuovi prodotti ed estensioni. «Nessuna licenza Fusion» non significa quindi «tutte le funzioni Fusion sono incluse in ogni licenza esistente».

Cosa intende Sophos per Cyber Defense System

I portafogli di sicurezza tradizionali comprendono molti strumenti: Endpoint Protection, Firewall, sicurezza e-mail, Identity Security, NDR, XDR, SIEM, ZTNA, switch, Access Point e Cloud Security. Ogni prodotto vede una parte diversa di un attacco. Il problema raramente è la mancanza di dati. Il problema è che questi dati finiscono in console, formati e ambiti di responsabilità differenti.

Sophos Fusion dovrebbe collegare questi elementi in un unico sistema. L’architettura può essere ricondotta a cinque componenti:

1. Punti di controllo: Sophos Endpoint, Firewall, e-mail, Identity, NDR, Workspace Protection, switch, Wireless e prodotti cloud forniscono telemetria o possono applicare misure di protezione. A questi si aggiungono, secondo l’attuale pagina del prodotto, oltre 500 integrazioni con fornitori terzi.
2. Contesto condiviso: un Unified Context Lake dovrebbe riunire eventi, dispositivi, utenti, identità e indicatori di attacco. Sul piano tecnico si basa sul Sophos Data Lake esistente e sulla tecnologia Taegis di Secureworks.
3. Risposta coordinata: Synchronized Security e altre integrazioni bidirezionali dovrebbero tradurre le informazioni ricavate da un punto di controllo in misure applicate altrove.
4. IA, automazione e controllo umano: l’IA agentica dovrebbe strutturare le indagini, arricchire il contesto, preparare le decisioni e attivare risposte entro limiti definiti. Sophos X-Ops, gli analisti MDR e i confini di fiducia stabiliti rimangono parte del sistema.
5. Compounding Intelligence: le conoscenze ricavate da attacchi reali non dovrebbero rimanere confinate nel tenant di un singolo cliente, ma migliorare i rilevatori, i modelli di IA e la logica di risposta per tutti i clienti.

Dietro l’espressione poco immediata Compounding Intelligence si cela quindi un ciclo di apprendimento centrale. Sophos indica come base dati oltre 625'000 organizzazioni protette e più di 380'000 indagini MDR all’anno. Ciò non significa che i clienti possano accedere reciprocamente ai dati grezzi. Le informazioni ricavate dai modelli di attacco e dalle indagini dovrebbero invece confluire in rilevamenti, modelli e logiche di risposta aggiornati. Dall’esterno, tuttavia, è quasi impossibile verificare con quale rapidità e per quali prodotti questo ciclo funzioni realmente.

L’obiettivo è comprensibile. Un account compromesso, un processo sospetto su un endpoint e una connessione insolita attraverso il firewall potrebbero non essere conclusivi se considerati singolarmente. Insieme possono rivelare un attacco. Fusion dovrebbe riconoscere più rapidamente queste correlazioni e coordinare una risposta adeguata.

Il punto decisivo, però, è questo: un diagramma dell’architettura non equivale a un’integrazione attiva. Affinché i dati confluiscano davvero nel sistema, i prodotti coinvolti devono disporre di licenza, essere registrati in Central, configurati correttamente e abilitati per il logging o gli upload nel Data Lake. Una risposta automatica richiede inoltre Response Actions supportate, autorizzazioni e un processo di gestione degli incidenti definito.

Sophos Central diventerà quindi Sophos Fusion?

A quanto pare, nemmeno Sophos aveva ancora una linea del tutto chiara nella comunicazione. Soltanto due mesi fa Paul Murray, Senior Product Marketing Director di Sophos, dichiarava nella Community che Central non sarebbe stato né rinominato né sostituito. Evidentemente, all’epoca nemmeno un Senior Product Marketing Director aveva ancora ricevuto tutte le novità.

Nel frattempo la linea è chiara: Sophos Central diventa Sophos Fusion. L’ambiente di gestione esistente viene rinominato e ampliato automaticamente e per fasi; i clienti non devono avviare alcuna procedura. Non nasce né un secondo tenant né una nuova console. In breve: la piattaforma resta, cambia il nome. Nella gestione quotidiana di soli Endpoint, Email o Firewall, inizialmente cambierà probabilmente poco. Il passaggio sarà più evidente negli ambienti che già lavorano con XDR, MDR, integrazioni e Threat Analysis Center.

I reali cambiamenti di prodotto dietro il lancio di Fusion

Il termine Fusion comprende l’intero portafoglio. Al momento del lancio, però, i cambiamenti più concreti riguardano Sophos XDR, Sophos MDR e Next-Gen SIEM. Queste estensioni si basano in larga misura sull’acquisizione di Secureworks, completata nel 2025, e sulla tecnologia Taegis.

Sophos ha presentato Fusion il 15 luglio 2026 e ha annunciato le nuove funzioni XDR, MDR e SIEM per il 15 agosto 2026. Il rollout dei tenant XDR e MDR esistenti dovrebbe iniziare gradualmente ad agosto e proseguire per diversi mesi. Non è necessario distribuire nuovamente un agent e Sophos non prevede né interruzioni né modifiche alle licenze XDR o MDR esistenti dovute unicamente all’aggiornamento della piattaforma.

Sophos XDR viene ampliato in modo significativo

Sophos XDR mantiene il proprio nome, ma riceve una nuova interfaccia per le Security Operations, che sostituisce l’attuale Threat Analysis Center, e molte più funzioni provenienti dal mondo Secureworks:

• migliaia di rilevatori aggiuntivi di Taegis,
• Detection Rules personalizzate,
• Detection Analysis supportata dall’IA,
• più telemetria e Threat Intelligence di Sophos X-Ops,
• playbook SOAR e connettori aggiuntivi,
• più integrazioni bidirezionali con Response Actions,
• un Email Monitoring System integrato e
• la possibilità di aggiungere Next-Gen SIEM come add-on.

In alcuni documenti relativi all’aggiornamento compare temporaneamente la denominazione Sophos XDR Powered by Secureworks. Non si tratta di un prodotto XDR separato, ma della descrizione della piattaforma tecnicamente ampliata.

Per la prima volta, l’IA diventa così più tangibile per gli analisti direttamente nell’interfaccia di lavoro quotidiana. Le attività correlate vengono raggruppate in casi, i dati di sicurezza complessi sono presentati in modo più comprensibile e le indagini possono essere effettuate con ricerche in linguaggio naturale. Sophos promuove espressamente questa funzione con «no SQL required». Ciò riduce la barriera d’ingresso, ma non sostituisce né la verifica dei risultati né la comprensione della telemetria sottostante.

Per i team XDR esistenti, si tratta probabilmente del cambiamento più importante introdotto da Fusion. L’attuale piattaforma di query e indagine diventa maggiormente un ambiente di lavoro SOC completo. La tecnologia aggiuntiva, tuttavia, non elimina automaticamente il lavoro operativo. Detection Rules, fonti dati, playbook, autorizzazioni e percorsi di escalation devono continuare a essere gestiti.

Dopo l’aggiornamento, le integrazioni per Microsoft 365 e Okta devono essere nuovamente autorizzate se sono configurate Response Actions. Dettagli come questo dimostrano perché un aggiornamento della piattaforma non dovrebbe essere semplicemente ignorato nonostante l’assenza di downtime.

Secondo Sophos, l’Email Monitoring System (EMS) integrato è incluso in XDR e MDR e non richiede una licenza Fusion aggiuntiva. Non sostituisce né Sophos Email, né Microsoft Defender for Office 365, né un altro gateway e-mail. EMS utilizza regole di journaling in Microsoft 365 o Google Workspace e opera in modalità di monitoraggio accanto alla sicurezza e-mail esistente. Il flusso e la consegna originali delle e-mail rimangono invariati. EMS fornisce un secondo livello di rilevamento e indagine; in Microsoft 365 può inoltre rimuovere a posteriori messaggi dannosi già consegnati.

La mia valutazione: tutte queste nuove funzioni XDR senza una nuova licenza separata e senza un aumento di prezzo annunciato al lancio sembrano quasi insolitamente generose. Microsoft ha appena mostrato come potrebbe proseguire la storia: insieme a funzioni aggiuntive di IA, sicurezza e gestione, i prezzi di alcuni piani Microsoft 365 sono aumentati dal 1° luglio 2026. Per Sophos, l’ultima volta che abbiamo scritto di un aumento di prezzo tra il 7 e il 9 per cento per Intercept X Advanced with XDR è stato nel 2022. Un ulteriore aumento del prezzo di XDR nei prossimi dodici mesi non mi sorprenderebbe. Al momento non vi è alcun annuncio in merito: si tratta espressamente di una previsione personale.

Sophos MDR riceve più automazione e ancora nuovi nomi

Anche per MDR, Sophos fa girare di nuovo la ruota dei nomi: MDR Essentials diventa MDR, MDR Complete diventa MDR Plus. Non è particolarmente sorprendente. I nomi dei prodotti e delle licenze Sophos Central cambiano con tale regolarità che non mi viene in mente quasi nessuna offerta che sia rimasta invariata per quattro anni. Non considererei quindi la ridenominazione in sé una novità sostanziale di Fusion. Sono invece rilevanti i cambiamenti tecnici che vi stanno dietro.

Sophos parla di Threat Hunting continuo supportato dall’IA, di un maggior numero di integrazioni e di ulteriori possibilità di risposta. Anche l’Email Monitoring System viene integrato.

Sophos cita due valori per dimostrare il livello di automazione: secondo il produttore, il 52 per cento dei casi MDR viene gestito dall’IA dall’inizio alla fine entro i limiti definiti dagli analisti. Per quanto riguarda gli 89 secondi, tuttavia, le formulazioni pubbliche non sono uniformi. L’annuncio di Fusion e la pagina del prodotto MDR misurano il tempo dall’alert alla risposta automatizzata. In una precedente comunicazione sull’Agentic SOC, il conteggio inizia invece solo con la creazione di un caso e si applica ai casi che l’IA è autorizzata a gestire interamente. Un alert e la creazione di un caso non sono la stessa cosa. Il valore va quindi considerato una metrica operativa di Sophos e non un tempo di risposta end-to-end verificato in modo indipendente o una garanzia valida per ogni incidente.

Un cambiamento concreto sarà probabilmente più evidente nel lavoro quotidiano rispetto al nuovo nome: con l’aggiornamento verranno dismessi gli attuali report MDR settimanali e mensili. Una nuova funzione di reporting self-service è prevista soltanto per una fase successiva del 2026. Fino ad allora rimarrà disponibile la MDR Dashboard con intervalli di tempo selezionabili liberamente, viste personalizzabili ed esportazione in PDF. Chi utilizza i report periodici per i clienti, gli audit o i controlli interni dovrebbe quindi sostituire l’attuale invio con una nuova procedura prima dell’aggiornamento.

Per i clienti MDR esistenti è quindi importante soprattutto monitorare la data di aggiornamento annunciata, controllare le integrazioni e pianificare le modifiche ai report o ai workflow. Chi utilizza già MDR con telemetria di terze parti trova nell’articolo Sophos MDR integra i dati di telemetria di terze parti i principi alla base di questa evoluzione.

Next-Gen SIEM è nuovo e comporta costi aggiuntivi

Next-Gen SIEM non è un omaggio gratuito per ogni account Central. Viene offerto come add-on opzionale per XDR e MDR. I vantaggi riguardano soprattutto una conservazione dei dati più lunga, funzioni di compliance aggiuntive e integrazioni personalizzate. Secondo la FAQ pubblica di Sophos, il periodo di conservazione standard è di un anno; sono previste opzioni per tre, cinque, sette o dieci anni.

Il modello di licenza è degno di nota: Sophos intende calcolare Next-Gen SIEM in base al numero di utenti e server protetti, anziché al volume di dati acquisiti. Questo può ridurre i costi legati al volume dei log, spesso difficili da prevedere nei prodotti SIEM. Da questo elemento, tuttavia, non si può ancora concludere che l’offerta sia più conveniente; occorre valutare congiuntamente utenti, server, conservazione e integrazioni necessarie.

Le proprie fonti dati dovrebbero poter essere collegate tramite Custom Integrations. Tuttavia, nella FAQ pubblica sull’aggiornamento, Sophos definisce ancora coming soon i parser supportati dall’IA annunciati a questo scopo. Non dovrebbero quindi essere pianificati in un progetto di implementazione come una funzione già disponibile.

Per le organizzazioni che utilizzano già Splunk, Microsoft Sentinel, Google Security Operations, Elastic, QRadar o un’altra piattaforma SIEM, questa non è automaticamente una ragione per cambiare. L’offerta diventa interessante quando XDR o MDR costituiscono già il processo centrale delle Security Operations e una piattaforma SIEM separata risulterebbe troppo complessa o costosa. Prima di un passaggio occorre confrontare fonti dati, retention, possibilità di ricerca, esportazione, compliance, costi e strategia di uscita.

Per le aziende svizzere ed europee, anche la residenza dei dati va inserita nell’elenco delle verifiche. Sophos Central offre, tra le altre, regioni dati a Francoforte, Germania, e Dublino, Irlanda; al momento non è indicata una regione Central in Svizzera. La regione viene scelta al momento della creazione dell’account. I dati dei clienti rimangono vincolati a tale regione e non possono essere trasferiti tra regioni. Un successivo cambio di regione non è quindi una semplice opzione dell’account.

L’attuale informativa sulla privacy di XDR conferma questo vincolo regionale per Sophos Central e l’attuale Data Lake. La documentazione di Secureworks indica per Taegis sedi separate negli Stati Uniti e nell’UE, in Germania. Non è invece spiegato pubblicamente in modo inequivocabile come un tenant Central esistente venga associato a queste regioni Taegis durante l’aggiornamento a Fusion e se tutti i nuovi flussi di dati di Context Lake, SIEM e terze parti rimangano invariati nella regione esistente. Proprio questo aspetto dovrebbe essere confermato per iscritto prima di un’implementazione.

Sophos elenca, tra le altre, ISO 27001, ISO 27017, ISO 27018, SOC 2 e C5 Germany nelle proprie certificazioni aziendali. C5 è il catalogo dei criteri dell’Ufficio federale tedesco per la sicurezza informatica per i servizi cloud. Questo elenco è utile, ma non sostituisce la verifica dell’ambito concreto di applicazione. Per un progetto di compliance è necessario chiarire se il componente Fusion, la regione e il trattamento dei dati richiesti siano effettivamente coperti dal rispettivo certificato o report.

AI Defense e CISO Advantage sono offerte aggiuntive

Con Fusion, Sophos non introduce soltanto un’architettura, ma amplia anche il portafoglio:

• Sophos AI Defense dovrebbe rendere visibile l’utilizzo dell’IA generativa e della Shadow AI, valutare i rischi e controllare gli accessi. L’offerta è prevista come add-on per soluzioni EDR, XDR e MDR idonee e richiede un account abilitato per Fusion. Un programma Early Access è annunciato per agosto, mentre la disponibilità generale è prevista per ottobre 2026.
• Sophos CISO Advantage non è un agent tecnico per Endpoint o Firewall, ma un programma di sicurezza. Sono previsti Control Validation continuo, Compliance Mapping, valutazioni dei rischi, confronti con organizzazioni simili e report comprensibili per la direzione o il consiglio di amministrazione. Il lancio è previsto a partire da ottobre 2026.

Per AI Defense, Sophos descrive quattro fasi: rilevare gli strumenti di IA e gli agent autonomi in uso, valutare i rischi in base a identità, autorizzazioni, posizione, accesso ai dati e comportamento, applicare guardrail per prompt e agent e trasferire le attività IA sospette nei workflow di Detection and Response esistenti. È un approccio più concreto rispetto all’applicazione di un’ulteriore etichetta IA. Quanto siano granulari questi controlli nella pratica e quali applicazioni siano pienamente supportate, tuttavia, emergerà soltanto con l’Early Access e la disponibilità generale.

In questo modo diventa visibile l’aspetto commerciale di Fusion. Il sistema in sé non ha una licenza, ma crea il quadro nel quale vengono venduti prodotti e servizi aggiuntivi. Non è automaticamente un male. Deve soltanto essere distinto chiaramente dall’architettura tecnica.

Cosa cambia per Sophos Firewall?

Per le installazioni Sophos Firewall esistenti vale innanzitutto quanto segue: Fusion non sostituisce né il firewall, né SFOS, né il modello di licenza del firewall. Un XGS Firewall continua a funzionare localmente, applica le regole, ispeziona il traffico e mantiene le proprie funzioni Network, Web, Zero-Day o Xstream Protection. Anche Central Firewall Management rimane Central Firewall Management.

Nell’architettura Fusion, il firewall è un punto di controllo. Può fornire dati di rete e reagire alle informazioni provenienti da altri prodotti. A seconda della licenza e della configurazione, ciò comprende tra l’altro:

• Synchronized Security e Security Heartbeat,
• Central Firewall Management e Central Reporting,
• telemetria del firewall nel Data Lake,
• integrazioni XDR e MDR,
• Active Threat Response,
• NDR Essentials e NDR Active Threat Intelligence, nonché
• API per attività di gestione e automazione.

Un esempio realistico: su un endpoint viene rilevato un processo sospetto. I dati di identità mostrano che poco prima l’account interessato ha effettuato un accesso insolito. Contemporaneamente, il firewall rileva una connessione verso un’infrastruttura sospetta. XDR o MDR correla questi segnali, isola l’endpoint e, attraverso un’integrazione supportata, può limitare l’accesso alla rete. È esattamente questa la catena che Sophos intende con «respond as one».

Chi gestisce soltanto un firewall con regole locali, non invia telemetria a Central e non utilizza né XDR né MDR non ottiene praticamente alcuna nuova protezione grazie alla parola Fusion. Chi invece collega consapevolmente il firewall a NDR Active Threat Intelligence, al Data Lake e ad Active Threat Response può integrare le decisioni di rete in un processo di gestione degli incidenti più rapido.

Anche gli altri prodotti Central mostrano questa direzione. Sophos ha annunciato query Live Discover per switch e Access Point AP6. I dati di Workspace Protection possono confluire nelle query XDR. ZTNA supporta più controller di dominio, mentre il Protected Browser e l’estensione del browser offrono una visibilità aggiuntiva sulle applicazioni web e di IA. Non si tratta di funzioni nate da un giorno all’altro grazie a Fusion. Illustrano però come un maggior numero di punti di controllo venga integrato nello stesso livello di Investigation and Response.

Cosa si cela davvero dietro «AI-native»?

Il termine merita una valutazione sobria. Sophos utilizza da anni Machine Learning e Deep Learning nella protezione di endpoint, e-mail e reti. Fusion non diventa AI-native perché, all’improvviso, per la prima volta un modello classifica il malware. La novità è l’ambizione di impiegare l’IA nell’intero processo di Security Operations:

• assegnare priorità agli alert e riepilogarli,
• correlare eventi provenienti da diverse fonti,
• spiegare le decisioni di Detection,
• pianificare le fasi dell’indagine,
• eseguire continuamente il Threat Hunting,
• preparare o attivare Response Actions appropriate e
• riportare i risultati di numerosi incidenti nei rilevatori e nei modelli.

Con Agentic AI, Sophos intende sistemi che non si limitano a rispondere a una singola domanda, ma eseguono autonomamente più fasi di lavoro nell’ambito di un incarico prestabilito. In un SOC, ciò può significare che un agent verifica un alert, raccoglie il contesto relativo all’utente e al dispositivo, cerca eventi correlati, elabora una valutazione del rischio e, quando la situazione è sufficientemente chiara, avvia una misura di contenimento precedentemente autorizzata.

La precisazione importante è entro limiti di fiducia definiti. Quali misure siano consentite automaticamente, quali richiedano un’approvazione e quando intervenga un analista umano è più importante dell’etichetta AI-native. Nel peggiore dei casi, un’IA che decide rapidamente ma dispone di telemetria incompleta, autorizzazioni errate o playbook mal definiti automatizza la reazione sbagliata.

Nel proprio AI Security 2026 Report, Sophos presenta inoltre un’argomentazione molto più differenziata rispetto ai brevi video su Fusion: l’IA comprime le sequenze di attacco e migliora Social Engineering, Reconnaissance e automazione. Non ha però improvvisamente inventato categorie di attacco completamente nuove. L’articolo «A double-edged bleeding edge: Classifying AI threats» descrive la realtà tra un clamore eccessivo e l’ipotesi, altrettanto errata, che l’IA non svolga alcun ruolo per gli aggressori.

Questa è anche l’interpretazione più sensata di Fusion: l’IA rende un buon sistema di sicurezza più rapido e scalabile, ma non sostituisce la qualità dei dati, una struttura delle autorizzazioni né un processo di gestione degli incidenti.

Dove le affermazioni di marketing sono insufficienti

«Sees everything» e «responds as one» sono promesse ambiziose. Nella pratica vi sono diverse limitazioni:

Una categoria emergente non è ancora uno standard di mercato

Sophos definisce i Cybersecurity Defense Systems una nuova categoria emergente e Fusion il primo e più completo sistema di questo tipo. Come prova, il comunicato stampa su Fusion cita il report Gartner «Tech FutureSight: Protect the Global Attack Surface with an Autonomous Cyber Defense System» del 12 dicembre 2025. Non si tratta né di un Magic Quadrant, né di un Market Guide, né di una valutazione del prodotto Sophos Fusion. Il report descrive l’orientamento generale dei sistemi di difesa autonomi.

Anche la previsione di mercato citata nel comunicato stampa non proviene da Gartner. La Futurum Group prevede che il mercato delle Security Operations crescerà da 18 miliardi di dollari USA a 37 miliardi di dollari USA nel 2029. Ciò non rende errata l’idea tecnica alla base di Fusion. Dimostra però che «Cybersecurity Defense System» è attualmente tanto una narrazione di categoria promossa attivamente da Sophos quanto uno standard di mercato generalmente riconosciuto. Per confrontare i prodotti, le fonti dati, le Response Actions e i processi operativi effettivamente disponibili sono quindi più significativi dell’etichetta della categoria.

Non tutte le integrazioni possono reagire

Le oltre 500 integrazioni sono un dato riferito all’intero sistema per l’architettura Fusion aperta. Il numero non indica quante siano disponibili come connessioni XDR preconfigurate o consentano una risposta bidirezionale. Alcune integrazioni forniscono soltanto log, altre supportano query, altre ancora permettono Response Actions concrete. Prima della pianificazione occorre quindi chiarire per ogni prodotto quale telemetria confluisca nel sistema e quali azioni siano realmente supportate.

Più prodotti Sophos aumentano i vantaggi dell’integrazione

Fusion supporta esplicitamente anche fornitori terzi. Il principale vantaggio in termini di automazione si ottiene tuttavia, come prevedibile, quando sono già presenti molti punti di controllo Sophos. Ciò è tecnicamente plausibile e rappresenta al contempo una chiara strategia di portafoglio e cross-selling. Gli ambienti eterogenei rimangono possibili, ma devono essere valutati sulla base delle integrazioni concrete.

«Parte di Fusion» non significa «tutto incluso»

Sophos definisce ogni prodotto come parte del sistema. Ciò non implica che ogni funzione sia disponibile con ogni licenza. I pacchetti di protezione Firewall, le licenze Endpoint, XDR, MDR, Next-Gen SIEM, AI Defense e i servizi di consulenza mantengono requisiti e prezzi differenti.

L’automazione richiede responsabilità operativa

In caso di emergenza, un isolamento automatico può far risparmiare minuti decisivi. Può però anche disconnettere dalla rete un server critico per la produzione. Sono quindi necessari approvazioni, eccezioni, ruoli, contatti di emergenza e runbook testati regolarmente. Le Network Security Best Practices per Sophos Firewall rimangono rilevanti anche in un’architettura Fusion.

Cosa fare concretamente ora

Per la maggior parte dei clienti esistenti non è necessario avviare in fretta e furia un progetto di migrazione. È opportuno procedere per fasi.

In caso di utilizzo esclusivo di Endpoint, Email o Firewall

• Continuare a utilizzare normalmente le licenze e le funzioni di protezione esistenti.
• Verificare registrazione in Central, ruoli, MFA, logging e trasmissione dei dati.
• Non presumere che Fusion abiliti automaticamente nuovi diritti XDR, MDR o SIEM.
• Decidere se la telemetria aggiuntiva venga effettivamente analizzata nel proprio processo di gestione degli incidenti.

Con XDR o MDR già in uso

• Prestare attenzione all’avviso di aggiornamento in Sophos Central. Circa una settimana prima del passaggio viene visualizzata una notifica.
• Autorizzare nuovamente le integrazioni Microsoft 365 e Okta dopo l’aggiornamento se vengono utilizzate Response Actions.
• Documentare o esportare query salvate, Detection Rules, dashboard, workflow e integrazioni e testarli dopo il passaggio. Sophos non descrive pubblicamente le modalità di migrazione per ciascuno di questi oggetti.
• Sostituire l’invio automatico dei report MDR settimanali o mensili e verificare se la dashboard e l’esportazione in PDF soddisfano i requisiti interni di reporting e audit.
• Verificare quali nuovi rilevatori, funzioni SOAR e Response Actions possano essere attivati in modo opportuno.
• Aggiornare nei documenti, nelle offerte e nei processi interni i cambi di nome da MDR Essentials a MDR e da MDR Complete a MDR Plus.

In presenza di requisiti SIEM, SOC o di compliance

• Confrontare Next-Gen SIEM con il SIEM esistente, non solo in base alla vicinanza con gli altri prodotti.
• Documentare fonti dati, retention, sintassi di ricerca, esportazione, residenza dei dati, ruoli, costi e strategia di uscita.
• Verificare se le integrazioni di terze parti forniscano soltanto eventi o supportino anche Response Actions.

In caso di interesse per AI Defense

• Verificare che sia presente una licenza EDR, XDR o MDR idonea e che l’account sia già abilitato per Fusion.
• Innanzitutto, inventariare quali servizi di IA siano già utilizzati e quali dati vi confluiscano.
• Considerare congiuntamente Shadow AI, utilizzo del browser, accessi API e controlli Web, DNS, Endpoint o SSE esistenti.
• Non confondere l’Early Access con la maturità per l’uso in produzione. Testare inizialmente le policy e le azioni di blocco in un gruppo limitato.

La mia valutazione di Sophos Fusion

Sophos Fusion non è una nuova licenza né un singolo prodotto, ma rappresenta certamente un nuovo orientamento. Dopo l’acquisizione di Secureworks, il produttore non vuole più vendere soltanto Endpoint, Firewall e singoli prodotti Central, bensì un Cyber Defense System integrato. Sul piano tecnico è coerente: gli attacchi attraversano identità, endpoint, e-mail, browser, cloud e rete. Una difesa che riunisce questi segnali e reagisce più rapidamente è più sensata di cinque console isolate.

Il lancio contiene comunque molto marketing. Il breve video si limita ad affermazioni come «vedere tutto» e «reagire come un’unica entità», senza spiegare le licenze, le integrazioni e i processi operativi necessari. Anche il termine AI-native, da solo, dice poco. Ciò che conta sono le novità concrete: rilevatori Secureworks in XDR e MDR, un contesto condiviso, più Response Actions, SOAR, Next-Gen SIEM e un chiaro ampliamento dei punti di controllo.

Per i clienti Sophos esistenti, la conclusione è quindi:

• Nessuna migrazione obbligatoria e nessuna licenza Fusion.
• L’ambiente di gestione Central evolve automaticamente in Fusion; non è richiesta alcuna azione da parte dei clienti.
• Firewall, Endpoint, Email, Switch, Wireless e ZTNA rimangono prodotti autonomi.
• XDR e MDR ricevono i cambiamenti immediati più rilevanti.
• Le nuove funzioni possono richiedere licenze o add-on aggiuntivi.
• Il vantaggio concreto dipende dalla telemetria attivata, dalle integrazioni supportate e da validi processi di gestione degli incidenti.

Fusion non è quindi né una semplice ridenominazione né la promessa di sicurezza completamente automatizzata presentata nel video. È una seria strategia di piattaforma il cui valore dovrà essere dimostrato nell’uso operativo.

FAQ

Maggiori informazioni

• Sophos: Panoramica di Sophos Fusion
• Sophos Community: Upgrade Center per l’espansione di XDR e MDR