Sophos Fusion: prodotto, licenza o nuova piattaforma?

Sophos Fusion, l’evoluzione di Sophos Central, vede tutto, collega tutto e consente alla difesa di reagire come un’unica entità. È questo il messaggio del video introduttivo di 66 secondi. A ciò si aggiungono termini come AI-native, Agentic AI, Unified Context Lake, Compounding Intelligence e Synchronized Security. Suona ambizioso, ma non risponde alle domande più ovvie: Sophos Fusion è un nuovo prodotto? Richiede una nuova licenza? Sophos Central verrà sostituito? E cosa succede a Endpoint, XDR, MDR, Firewall e agli altri prodotti Central?

La risposta breve è: Sophos Fusion non è né un singolo prodotto né una licenza a sé stante. L’AI-Native Cybersecurity Defense System indica l’architettura sottostante. Fusion è l’evoluzione di Sophos Central e oggi è l’ambiente di gestione in cui i clienti collegano i propri punti di controllo e amministrano la sicurezza su questa architettura. Non nasce un secondo portale: il nuovo nome e la nuova interfaccia raggiungono gradualmente le varie console. Durante il rollout possono coesistere le denominazioni Fusion e gli identificatori tecnici Central sottostanti, i percorsi della documentazione o i reindirizzamenti. Questa compresenza, da sola, non indica né un errore né che la migrazione di singoli oggetti sia ancora in sospeso. Allo stesso tempo, Fusion è più di un nuovo logo: con l’integrazione di Secureworks, XDR e MDR vengono ampliati in modo sostanziale sul piano tecnico, Next-Gen SIEM arriva come nuovo add-on e sotto questo marchio vengono introdotte altre offerte come AI Defense e CISO Advantage.

Fusion va quindi inteso soprattutto come la combinazione di tre elementi: strategia tecnica di piattaforma, nuovo modello di portafoglio e nuovo messaggio di brand. Chi gestisce soltanto un Sophos Firewall non ottiene improvvisamente un Security Operations Center autonomo. Chi utilizza più punti di controllo, XDR o MDR e configura correttamente le integrazioni può invece beneficiare concretamente di un contesto più ricco e di reazioni più rapide.

Le risposte più importanti in sintesi

Questa distinzione è importante. Sophos afferma esplicitamente che Fusion non è uno SKU, non è un bundle e non è qualcosa che si possa acquistare separatamente. Allo stesso tempo, il produttore sfrutta naturalmente il lancio per posizionare nuovi prodotti ed estensioni. «Nessuna licenza Fusion» non significa quindi «tutte le funzioni Fusion sono incluse in ogni licenza esistente».

Cosa intende Sophos per Cyber Defense System

I portafogli di sicurezza tradizionali comprendono molti strumenti: Endpoint Protection, Firewall, sicurezza e-mail, Identity Security, NDR, XDR, SIEM, ZTNA, switch, Access Point e Cloud Security. Ogni prodotto vede una parte diversa di un attacco. Il problema raramente è la mancanza di dati. Il problema è che questi dati finiscono in console, formati e ambiti di responsabilità differenti.

Sophos Fusion dovrebbe collegare questi elementi in un unico sistema. L’architettura può essere ricondotta a cinque componenti:

1. Punti di controllo: Sophos Endpoint, Firewall, e-mail, Identity, NDR, Workspace Protection, switch, Wireless e prodotti cloud forniscono telemetria o possono applicare misure di protezione. A questi si aggiungono, secondo l’attuale pagina del prodotto, oltre 500 integrazioni con fornitori terzi.
2. Contesto condiviso: un Unified Context Lake dovrebbe riunire eventi, dispositivi, utenti, identità e indicatori di attacco. Sul piano tecnico si basa sul Sophos Data Lake esistente e sulla tecnologia Taegis di Secureworks.
3. Risposta coordinata: Synchronized Security e altre integrazioni bidirezionali dovrebbero tradurre le informazioni ricavate da un punto di controllo in misure applicate altrove.
4. IA, automazione e controllo umano: l’IA agentica dovrebbe strutturare le indagini, arricchire il contesto, preparare le decisioni e attivare risposte entro limiti definiti. Sophos X-Ops, gli analisti MDR e i confini di fiducia stabiliti rimangono parte del sistema.
5. Compounding Intelligence: le conoscenze ricavate da attacchi reali non dovrebbero rimanere confinate nel tenant di un singolo cliente, ma migliorare i rilevatori, i modelli di IA e la logica di risposta per tutti i clienti.

Dietro l’espressione poco immediata Compounding Intelligence si cela quindi un ciclo di apprendimento centrale. Sophos indica come base dati oltre 625'000 organizzazioni protette e più di 380'000 indagini MDR all’anno. Ciò non significa che i clienti possano accedere reciprocamente ai dati grezzi. Le informazioni ricavate dai modelli di attacco e dalle indagini dovrebbero invece confluire in rilevamenti, modelli e logiche di risposta aggiornati. Dall’esterno, tuttavia, è quasi impossibile verificare con quale rapidità e per quali prodotti questo ciclo funzioni realmente.

L’obiettivo è comprensibile. Un account compromesso, un processo sospetto su un endpoint e una connessione insolita attraverso il firewall potrebbero non essere conclusivi se considerati singolarmente. Insieme possono rivelare un attacco. Fusion dovrebbe riconoscere più rapidamente queste correlazioni e coordinare una risposta adeguata.

Il punto decisivo, però, è questo: un diagramma dell’architettura non equivale a un’integrazione attiva. Affinché i dati confluiscano davvero nel sistema, i prodotti coinvolti devono disporre di licenza, essere registrati in Central, configurati correttamente e abilitati per il logging o gli upload nel Data Lake. Una risposta automatica richiede inoltre Response Actions supportate, autorizzazioni e un processo di gestione degli incidenti definito.

Sophos Central diventerà quindi Sophos Fusion?

A quanto pare, nemmeno Sophos aveva ancora una linea del tutto chiara nella comunicazione. Soltanto due mesi fa Paul Murray, Senior Product Marketing Director di Sophos, dichiarava nella Community che Central non sarebbe stato né rinominato né sostituito. Evidentemente, all’epoca nemmeno un Senior Product Marketing Director aveva ancora ricevuto tutte le novità.

Nel frattempo la linea è chiara: Sophos Fusion è l’attuale piattaforma di gestione e l’evoluzione di Sophos Central. La denominazione viene introdotta gradualmente nelle console clienti, Enterprise e partner, senza creare un secondo portale. La transizione, tuttavia, non si completa ovunque nello stesso momento. Un’interfaccia Fusion già visibile può coesistere con percorsi della documentazione Central, nomi API e reindirizzamenti tramite host tecnici Central. Questi identificatori non devono quindi essere sostituiti indiscriminatamente. Chi cerca il nome precedente Sophos Central continuerà perciò a incontrare termini di questo tipo. Nella gestione quotidiana di soli Endpoint, Email o Firewall, inizialmente cambierà probabilmente poco. Il passaggio sarà più evidente negli ambienti che già lavorano con XDR, MDR, integrazioni e Threat Analysis Center.

I reali cambiamenti di prodotto dietro il lancio di Fusion

Il termine Fusion comprende l’intero portafoglio. Al momento del lancio, però, i cambiamenti più concreti riguardano Sophos XDR, Sophos MDR e Next-Gen SIEM. Queste estensioni si basano in larga misura sull’acquisizione di Secureworks, completata nel 2025, e sulla tecnologia Taegis.

Sophos ha presentato Fusion il 15 luglio 2026 e ha annunciato le nuove funzioni XDR, MDR e SIEM per il 15 agosto 2026. Il rollout dei tenant XDR e MDR esistenti dovrebbe iniziare gradualmente ad agosto e proseguire per diversi mesi. Non è necessario distribuire nuovamente un agent e Sophos non prevede né interruzioni né modifiche alle licenze XDR o MDR esistenti dovute unicamente all’aggiornamento della piattaforma.

Sophos XDR viene ampliato in modo significativo

Sophos XDR mantiene il proprio nome, ma riceve una nuova interfaccia per le Security Operations, che sostituisce l’attuale Threat Analysis Center, e molte più funzioni provenienti dal mondo Secureworks:

• migliaia di rilevatori aggiuntivi di Taegis,
• Detection Rules personalizzate,
• Detection Analysis supportata dall’IA,
• più telemetria e Threat Intelligence di Sophos X-Ops,
• playbook SOAR e connettori aggiuntivi,
• più integrazioni bidirezionali con Response Actions,
• un Email Monitoring System integrato e
• la possibilità di aggiungere Next-Gen SIEM come add-on.

In alcuni documenti relativi all’aggiornamento compare temporaneamente la denominazione Sophos XDR Powered by Secureworks. Non si tratta di un prodotto XDR separato, ma della descrizione della piattaforma tecnicamente ampliata.

Per la prima volta, l’IA diventa così più tangibile per gli analisti direttamente nell’interfaccia di lavoro quotidiana. Le attività correlate vengono raggruppate in casi, i dati di sicurezza complessi sono presentati in modo più comprensibile e le indagini possono essere effettuate con ricerche in linguaggio naturale. Sophos promuove espressamente questa funzione con «no SQL required». Ciò riduce la barriera d’ingresso, ma non sostituisce né la verifica dei risultati né la comprensione della telemetria sottostante.

Per i team XDR esistenti, si tratta probabilmente del cambiamento più importante introdotto da Fusion. L’attuale piattaforma di query e indagine diventa maggiormente un ambiente di lavoro SOC completo. La tecnologia aggiuntiva, tuttavia, non elimina automaticamente il lavoro operativo. Detection Rules, fonti dati, playbook, autorizzazioni e percorsi di escalation devono continuare a essere gestiti.

Dopo l’aggiornamento XDR/MDR, le connessioni Microsoft 365 Response Actions esistenti devono essere nuovamente autorizzate perché è richiesta un’autorizzazione aggiuntiva. Le credenziali attuali scadono il 1° ottobre 2027; alcune azioni Microsoft possono tuttavia non riuscire già prima di tale data, anche se l’integrazione Microsoft e la protezione esistente continuano a funzionare. Non bisogna quindi rimandare la nuova autorizzazione fino alla scadenza. Per Sophos Firewall occorre inoltre verificare all’interno di un caso se le Response Actions del firewall siano disponibili: aggiungere una connessione Sophos Firewall (Actions) soltanto se le azioni mancano. Il runbook Integrazioni MDR e XDR in Sophos Fusion spiega la procedura per le connessioni esistenti e mancanti. Dettagli come questo dimostrano perché un aggiornamento della piattaforma non dovrebbe essere semplicemente ignorato nonostante l’assenza di downtime.

Secondo Sophos, l’Email Monitoring System (EMS) integrato è incluso in XDR e MDR e non richiede una licenza Fusion aggiuntiva. Non sostituisce né Sophos Email, né Microsoft Defender for Office 365, né un altro gateway e-mail. EMS utilizza regole di journaling in Microsoft 365 o Google Workspace e opera in modalità di monitoraggio accanto alla sicurezza e-mail esistente. Il flusso e la consegna originali delle e-mail rimangono invariati. EMS fornisce un secondo livello di rilevamento e indagine; in Microsoft 365 può inoltre rimuovere a posteriori messaggi dannosi già consegnati.

La mia valutazione: tutte queste nuove funzioni XDR senza una nuova licenza separata e senza un aumento di prezzo annunciato al lancio sembrano quasi insolitamente generose. Microsoft ha appena mostrato come potrebbe proseguire la storia: insieme a funzioni aggiuntive di IA, sicurezza e gestione, i prezzi di alcuni piani Microsoft 365 sono aumentati dal 1° luglio 2026. Per Sophos, l’ultima volta che abbiamo scritto di un aumento di prezzo tra il 7 e il 9 per cento per Intercept X Advanced with XDR è stato nel 2022. Un ulteriore aumento del prezzo di XDR nei prossimi dodici mesi non mi sorprenderebbe. Al momento non vi è alcun annuncio in merito: si tratta espressamente di una previsione personale.

Sophos MDR riceve più automazione e ancora nuovi nomi

Anche per MDR, Sophos fa girare di nuovo la ruota dei nomi: MDR Essentials diventa MDR, MDR Complete diventa MDR Plus. Non è particolarmente sorprendente. I nomi dei prodotti e delle licenze Sophos Central cambiano con tale regolarità che non mi viene in mente quasi nessuna offerta che sia rimasta invariata per quattro anni. Non considererei quindi la ridenominazione in sé una novità sostanziale di Fusion. Sono invece rilevanti i cambiamenti tecnici che vi stanno dietro.

Sophos parla di Threat Hunting continuo supportato dall’IA, di un maggior numero di integrazioni e di ulteriori possibilità di risposta. Anche l’Email Monitoring System viene integrato.

Sophos cita due valori per dimostrare il livello di automazione: secondo il produttore, il 52 per cento dei casi MDR viene gestito dall’IA dall’inizio alla fine entro i limiti definiti dagli analisti. Per quanto riguarda gli 89 secondi, tuttavia, le formulazioni pubbliche non sono uniformi. L’annuncio di Fusion e la pagina del prodotto MDR misurano il tempo dall’alert alla risposta automatizzata. In una precedente comunicazione sull’Agentic SOC, il conteggio inizia invece solo con la creazione di un caso e si applica ai casi che l’IA è autorizzata a gestire interamente. Un alert e la creazione di un caso non sono la stessa cosa. Il valore va quindi considerato una metrica operativa di Sophos e non un tempo di risposta end-to-end verificato in modo indipendente o una garanzia valida per ogni incidente.

Un cambiamento concreto sarà probabilmente più evidente nel lavoro quotidiano rispetto al nuovo nome: con l’aggiornamento verranno dismessi gli attuali report MDR settimanali e mensili. Una nuova funzione di reporting self-service è prevista soltanto per una fase successiva del 2026. Fino ad allora rimarrà disponibile la MDR Dashboard con intervalli di tempo selezionabili liberamente, viste personalizzabili ed esportazione in PDF. Chi utilizza i report periodici per i clienti, gli audit o i controlli interni dovrebbe quindi sostituire l’attuale invio con una nuova procedura prima dell’aggiornamento.

Per i clienti MDR esistenti è quindi importante soprattutto monitorare la data di aggiornamento annunciata, controllare le integrazioni e pianificare le modifiche ai report o ai workflow. Chi utilizza già MDR con telemetria di terze parti trova nell’articolo Sophos MDR integra i dati di telemetria di terze parti i principi alla base di questa evoluzione.

Next-Gen SIEM è nuovo e comporta costi aggiuntivi

Next-Gen SIEM non è un omaggio gratuito per ogni account Central. Viene offerto come add-on opzionale per XDR e MDR. I vantaggi riguardano soprattutto una conservazione dei dati più lunga, funzioni di compliance aggiuntive e integrazioni personalizzate. Secondo la FAQ pubblica di Sophos, il periodo di conservazione standard è di un anno; sono previste opzioni per tre, cinque, sette o dieci anni.

Il modello di licenza è degno di nota: Sophos intende calcolare Next-Gen SIEM in base al numero di utenti e server protetti, anziché al volume di dati acquisiti. Questo può ridurre i costi legati al volume dei log, spesso difficili da prevedere nei prodotti SIEM. Da questo elemento, tuttavia, non si può ancora concludere che l’offerta sia più conveniente; occorre valutare congiuntamente utenti, server, conservazione e integrazioni necessarie.

Le proprie fonti dati dovrebbero poter essere collegate tramite Custom Integrations. Tuttavia, nella FAQ pubblica sull’aggiornamento, Sophos definisce ancora coming soon i parser supportati dall’IA annunciati a questo scopo. Non dovrebbero quindi essere pianificati in un progetto di implementazione come una funzione già disponibile.

Per le organizzazioni che utilizzano già Splunk, Microsoft Sentinel, Google Security Operations, Elastic, QRadar o un’altra piattaforma SIEM, questa non è automaticamente una ragione per cambiare. L’offerta diventa interessante quando XDR o MDR costituiscono già il processo centrale delle Security Operations e una piattaforma SIEM separata risulterebbe troppo complessa o costosa. Prima di un passaggio occorre confrontare fonti dati, retention, possibilità di ricerca, esportazione, compliance, costi e strategia di uscita.

Per le aziende svizzere ed europee, anche la residenza dei dati va inserita nell’elenco delle verifiche. Sophos Central offre, tra le altre, regioni dati a Francoforte, Germania, e Dublino, Irlanda; al momento non è indicata una regione Central in Svizzera. La regione viene scelta al momento della creazione dell’account. I dati dei clienti rimangono vincolati a tale regione e non possono essere trasferiti tra regioni. Un successivo cambio di regione non è quindi una semplice opzione dell’account.

L’attuale informativa sulla privacy di XDR conferma questo vincolo regionale per Sophos Central e l’attuale Data Lake. La documentazione di Secureworks indica per Taegis sedi separate negli Stati Uniti e nell’UE, in Germania. Non è invece spiegato pubblicamente in modo inequivocabile come un tenant Central esistente venga associato a queste regioni Taegis durante l’aggiornamento a Fusion e se tutti i nuovi flussi di dati di Context Lake, SIEM e terze parti rimangano invariati nella regione esistente. Proprio questo aspetto dovrebbe essere confermato per iscritto prima di un’implementazione.

Sophos elenca, tra le altre, ISO 27001, ISO 27017, ISO 27018, SOC 2 e C5 Germany nelle proprie certificazioni aziendali. C5 è il catalogo dei criteri dell’Ufficio federale tedesco per la sicurezza informatica per i servizi cloud. Questo elenco è utile, ma non sostituisce la verifica dell’ambito concreto di applicazione. Per un progetto di compliance è necessario chiarire se il componente Fusion, la regione e il trattamento dei dati richiesti siano effettivamente coperti dal rispettivo certificato o report.

AI Defense e CISO Advantage sono offerte aggiuntive

Con Fusion, Sophos non introduce soltanto un’architettura, ma amplia anche il portafoglio:

• Sophos AI Defense è disponibile in generale dal 13 ottobre 2026. L’add-on a pagamento per i clienti EDR, XDR e MDR idonei rende visibili l’uso dell’IA e la Shadow AI, valuta i rischi delle app e offre policy di accesso e reporting. Sophos indica inoltre Sophos EDR Endpoint Protection come prerequisito. La configurazione documentata richiede un account aggiornato alla nuova piattaforma Fusion con Security Operations. I clienti Taegis idonei possono acquistarlo già dalla disponibilità generale senza attendere la migrazione a Fusion; questa eccezione all’acquisto non garantisce di poter usare la configurazione Fusion prima dell’upgrade.
• Sophos CISO Advantage non è un agent tecnico per Endpoint o Firewall, ma un programma di sicurezza. La disponibilità generale è stata annunciata il 1° ottobre 2026; il rollout regionale inizia in Nord America, nel Regno Unito e nel resto d’Europa. L’offerta attuale comprende valutazioni iniziali della sicurezza, mappatura rispetto a framework come NIST CSF e CIS, confronti con organizzazioni simili, una roadmap di miglioramento con priorità definite e report per team tecnici, direzione e consiglio di amministrazione. L’offerta richiede una licenza separata, annuale di tipo Term oppure mensile tramite MSP Flex, e non è automaticamente inclusa negli ambienti Fusion/MDR esistenti. Prima dell’acquisto occorre confermare la disponibilità nel paese specifico e l’ambito dei servizi necessari. CISO Advantage Plus, con assurance continua e funzioni avanzate di rischio, governance e compliance automatizzata, è previsto indicativamente per la metà del 2027 e non è disponibile oggi. Una convalida automatica e continua dei controlli non va quindi pianificata come funzionalità di base garantita.

Per AI Defense occorre distinguere il modello di protezione a lungo termine dall’ambito oggi documentato. Attualmente è possibile analizzare le applicazioni IA osservate, classificarne i rischi e consentire, segnalare con avvisi o bloccare gli accessi tramite sensori Sophos supportati. Sebbene i comunicati stampa della disponibilità generale descrivano già la verifica in tempo reale di prompt e caricamenti, le successive informazioni per i partner indicano esplicitamente verifica e protezione dei prompt come elementi della roadmap. Anche la distinzione tra account privati e aziendali e le ulteriori funzioni di protezione degli agenti vi sono assegnate a release future. Queste funzioni non vanno quindi pianificate come protezione attuale garantita. L’articolo introduttivo Sophos AI Defense: rilevare e controllare l’uso dell’IA spiega prerequisiti, sensori, priorità delle policy e un progetto pilota limitato con convalida e ripristino.

In questo modo diventa visibile l’aspetto commerciale di Fusion. Il sistema in sé non ha una licenza, ma crea il quadro nel quale vengono venduti prodotti e servizi aggiuntivi. Non è automaticamente un male. Deve soltanto essere distinto chiaramente dall’architettura tecnica.

Cosa cambia per Sophos Firewall?

Per le installazioni Sophos Firewall esistenti vale innanzitutto quanto segue: Fusion non sostituisce né il firewall, né SFOS, né il modello di licenza del firewall. Un XGS Firewall continua a funzionare localmente, applica le regole, ispeziona il traffico e mantiene le proprie funzioni Network, Web, Zero-Day o Xstream Protection. Anche Central Firewall Management rimane Central Firewall Management.

Nell’architettura Fusion, il firewall è un punto di controllo. Può fornire dati di rete e reagire alle informazioni provenienti da altri prodotti. A seconda della licenza e della configurazione, ciò comprende tra l’altro:

• Synchronized Security e Security Heartbeat,
• Central Firewall Management e Central Reporting,
• telemetria del firewall nel Data Lake,
• integrazioni XDR e MDR,
• Active Threat Response,
• NDR Essentials e NDR Active Threat Intelligence, nonché
• API per attività di gestione e automazione.

Un esempio realistico: su un endpoint viene rilevato un processo sospetto. I dati di identità mostrano che poco prima l’account interessato ha effettuato un accesso insolito. Contemporaneamente, il firewall rileva una connessione verso un’infrastruttura sospetta. XDR o MDR correla questi segnali, isola l’endpoint e, attraverso un’integrazione supportata, può limitare l’accesso alla rete. È esattamente questa la catena che Sophos intende con «respond as one».

Chi gestisce soltanto un firewall con regole locali, non invia telemetria a Central e non utilizza né XDR né MDR non ottiene praticamente alcuna nuova protezione grazie alla parola Fusion. Chi invece collega consapevolmente il firewall a NDR Active Threat Intelligence, al Data Lake e ad Active Threat Response può integrare le decisioni di rete in un processo di gestione degli incidenti più rapido.

Anche gli altri prodotti Central mostrano questa direzione. Sophos ha annunciato query Live Discover per switch e Access Point AP6. I dati di Workspace Protection possono confluire nelle query XDR. ZTNA supporta più controller di dominio, mentre il Protected Browser e l’estensione del browser offrono una visibilità aggiuntiva sulle applicazioni web e di IA. Non si tratta di funzioni nate da un giorno all’altro grazie a Fusion. Illustrano però come un maggior numero di punti di controllo venga integrato nello stesso livello di Investigation and Response.

Cosa si cela davvero dietro «AI-native»?

Il termine merita una valutazione sobria. Sophos utilizza da anni Machine Learning e Deep Learning nella protezione di endpoint, e-mail e reti. Fusion non diventa AI-native perché, all’improvviso, per la prima volta un modello classifica il malware. La novità è l’ambizione di impiegare l’IA nell’intero processo di Security Operations:

• assegnare priorità agli alert e riepilogarli,
• correlare eventi provenienti da diverse fonti,
• spiegare le decisioni di Detection,
• pianificare le fasi dell’indagine,
• eseguire continuamente il Threat Hunting,
• preparare o attivare Response Actions appropriate e
• riportare i risultati di numerosi incidenti nei rilevatori e nei modelli.

Con Agentic AI, Sophos intende sistemi che non si limitano a rispondere a una singola domanda, ma eseguono autonomamente più fasi di lavoro nell’ambito di un incarico prestabilito. In un SOC, ciò può significare che un agent verifica un alert, raccoglie il contesto relativo all’utente e al dispositivo, cerca eventi correlati, elabora una valutazione del rischio e, quando la situazione è sufficientemente chiara, avvia una misura di contenimento precedentemente autorizzata.

La precisazione importante è entro limiti di fiducia definiti. Quali misure siano consentite automaticamente, quali richiedano un’approvazione e quando intervenga un analista umano è più importante dell’etichetta AI-native. Nel peggiore dei casi, un’IA che decide rapidamente ma dispone di telemetria incompleta, autorizzazioni errate o playbook mal definiti automatizza la reazione sbagliata.

Nel proprio AI Security 2026 Report, Sophos presenta inoltre un’argomentazione molto più differenziata rispetto ai brevi video su Fusion: l’IA comprime le sequenze di attacco e migliora Social Engineering, Reconnaissance e automazione. Non ha però improvvisamente inventato categorie di attacco completamente nuove. Sophos descrive la realtà tra un clamore eccessivo e l’ipotesi, altrettanto errata, che l’IA non svolga alcun ruolo per gli aggressori.

Questa è anche l’interpretazione più sensata di Fusion: l’IA rende un buon sistema di sicurezza più rapido e scalabile, ma non sostituisce la qualità dei dati, una struttura delle autorizzazioni né un processo di gestione degli incidenti.

Dove le affermazioni di marketing sono insufficienti

«Sees everything» e «responds as one» sono promesse ambiziose. Nella pratica vi sono diverse limitazioni:

Una categoria emergente non è ancora uno standard di mercato

Sophos definisce i Cybersecurity Defense Systems una nuova categoria emergente e Fusion il primo e più completo sistema di questo tipo. Come prova, il comunicato stampa su Fusion cita il report Gartner «Tech FutureSight: Protect the Global Attack Surface with an Autonomous Cyber Defense System» del 12 dicembre 2025. Non si tratta né di un Magic Quadrant, né di un Market Guide, né di una valutazione del prodotto Sophos Fusion. Il report descrive l’orientamento generale dei sistemi di difesa autonomi.

Anche la previsione di mercato citata nel comunicato stampa non proviene da Gartner. La Futurum Group prevede che il mercato delle Security Operations crescerà da 18 miliardi di dollari USA a 37 miliardi di dollari USA nel 2029. Ciò non rende errata l’idea tecnica alla base di Fusion. Dimostra però che «Cybersecurity Defense System» è attualmente tanto una narrazione di categoria promossa attivamente da Sophos quanto uno standard di mercato generalmente riconosciuto. Per confrontare i prodotti, le fonti dati, le Response Actions e i processi operativi effettivamente disponibili sono quindi più significativi dell’etichetta della categoria.

Non tutte le integrazioni possono reagire

Le oltre 500 integrazioni sono un dato riferito all’intero sistema per l’architettura Fusion aperta. Il numero non indica quante siano disponibili come connessioni XDR preconfigurate o consentano una risposta bidirezionale. Alcune integrazioni forniscono soltanto log, altre supportano query, altre ancora permettono Response Actions concrete. Prima della pianificazione occorre quindi chiarire per ogni prodotto quale telemetria confluisca nel sistema e quali azioni siano realmente supportate.

Più prodotti Sophos aumentano i vantaggi dell’integrazione

Fusion supporta esplicitamente anche fornitori terzi. Il principale vantaggio in termini di automazione si ottiene tuttavia, come prevedibile, quando sono già presenti molti punti di controllo Sophos. Ciò è tecnicamente plausibile e rappresenta al contempo una chiara strategia di portafoglio e cross-selling. Gli ambienti eterogenei rimangono possibili, ma devono essere valutati sulla base delle integrazioni concrete.

«Parte di Fusion» non significa «tutto incluso»

Sophos definisce ogni prodotto come parte del sistema. Ciò non implica che ogni funzione sia disponibile con ogni licenza. I pacchetti di protezione Firewall, le licenze Endpoint, XDR, MDR, Next-Gen SIEM, AI Defense e i servizi di consulenza mantengono requisiti e prezzi differenti.

L’automazione richiede responsabilità operativa

In caso di emergenza, un isolamento automatico può far risparmiare minuti decisivi. Può però anche disconnettere dalla rete un server critico per la produzione. Sono quindi necessari approvazioni, eccezioni, ruoli, contatti di emergenza e runbook testati regolarmente. Le Network Security Best Practices per Sophos Firewall rimangono rilevanti anche in un’architettura Fusion.

Cosa devono considerare ora gli amministratori

Per la maggior parte dei clienti esistenti non è necessario avviare frettolosamente un progetto di migrazione. I controlli essenziali per la transizione relativi a denominazione, accesso e segnalibri nelle console clienti, Enterprise e partner sono raccolti nel runbook Da Sophos Central a Sophos Fusion Admin. Le seguenti attività specifiche per i prodotti rimangono necessarie e vanno gestite separatamente.

Con XDR o MDR già in uso

• Prestare attenzione all’avviso di aggiornamento nella console. Circa una settimana prima del passaggio dovrebbe comparire una notifica.
• Autorizzare nuovamente ogni connessione Microsoft 365 Response Actions esistente dopo l’aggiornamento del prodotto; a causa di possibili errori nelle azioni, non attendere la scadenza delle credenziali del 1° ottobre 2027.
• Se si utilizza Sophos Firewall, verificare la disponibilità delle Response Actions all’interno di un caso; aggiungere la connessione soltanto se le azioni mancano. La guida all’aggiornamento delle Response Actions accompagna entrambe le verifiche senza duplicare alla cieca le connessioni esistenti.
• Documentare o esportare query salvate, Detection Rules, dashboard, workflow e integrazioni e testarli dopo il passaggio. Sophos non descrive pubblicamente le modalità di migrazione per ciascuno di questi oggetti.
• Sostituire l’invio automatico dei report MDR settimanali o mensili e verificare se la dashboard e l’esportazione in PDF soddisfano i requisiti interni di reporting e audit.
• Verificare quali nuovi rilevatori, funzioni SOAR e Response Actions possano essere attivati in modo opportuno.
• Aggiornare nei documenti, nelle offerte e nei processi interni i cambi di nome da MDR Essentials a MDR e da MDR Complete a MDR Plus.

In presenza di requisiti SIEM, SOC o di compliance

• Confrontare Next-Gen SIEM con il SIEM esistente, non soltanto in base alla sua affinità con gli altri prodotti.
• Documentare fonti dati, retention, possibilità di ricerca, esportazione, residenza dei dati, ruoli, costi e strategia di uscita.
• Verificare se le integrazioni di terze parti forniscano soltanto eventi o supportino anche Response Actions.
• Prima di prendere una decisione, chiarire per iscritto quali regioni dati e certificazioni coprano i componenti e i flussi di dati effettivamente necessari.

In caso di interesse per AI Defense

• Verificare la licenza EDR, XDR o MDR idonea, Sophos EDR Endpoint Protection e lo stato tecnico dell’upgrade Fusion; la sola idoneità all’acquisto non conferma una configurazione utilizzabile.
• Innanzitutto, inventariare quali servizi di IA siano già utilizzati e quali dati vi confluiscano.
• Considerare congiuntamente Shadow AI, utilizzo del browser, accessi API e controlli Web, DNS, Endpoint o SSE esistenti; non tutti i percorsi di accesso sono automaticamente rilevati con la stessa completezza.
• Nonostante la disponibilità generale, verificare prima policy e azioni di blocco con un gruppo limitato e dati di test autorizzati. Non presumere che la protezione dei prompt e le altre funzioni della roadmap siano già efficaci.

Fusion non abilita automaticamente diritti aggiuntivi per XDR, MDR o SIEM. Le integrazioni, le Response Actions e le nuove offerte mantengono i propri requisiti specifici; le decisioni relative a prodotti e compliance devono quindi basarsi su fonti dati, funzionalità, regioni, ruoli e licenze disponibili.

La mia valutazione di Sophos Fusion

Sophos Fusion non è una nuova licenza né un singolo prodotto, ma rappresenta certamente un nuovo orientamento. Dopo l’acquisizione di Secureworks, il produttore non vuole più vendere soltanto Endpoint, Firewall e singoli prodotti Central, bensì un Cyber Defense System integrato. Sul piano tecnico è coerente: gli attacchi attraversano identità, endpoint, e-mail, browser, cloud e rete. Una difesa che riunisce questi segnali e reagisce più rapidamente è più sensata di cinque console isolate.

Il lancio contiene comunque molto marketing. Il breve video si limita ad affermazioni come «vedere tutto» e «reagire come un’unica entità», senza spiegare le licenze, le integrazioni e i processi operativi necessari. Anche il termine AI-native, da solo, dice poco. Ciò che conta sono le novità concrete: rilevatori Secureworks in XDR e MDR, un contesto condiviso, più Response Actions, SOAR, Next-Gen SIEM e un chiaro ampliamento dei punti di controllo.

Per i clienti Sophos esistenti, la conclusione è quindi:

• Nessuna licenza Fusion separata e nessun secondo portale di gestione.
• La denominazione Fusion viene introdotta gradualmente e può coesistere con identificatori e percorsi tecnici Central.
• Firewall, Endpoint, Email, Switch, Wireless e ZTNA rimangono prodotti autonomi.
• XDR e MDR ricevono i cambiamenti immediati più rilevanti.
• Le nuove funzioni possono richiedere licenze o add-on aggiuntivi.
• Il vantaggio concreto dipende dalla telemetria attivata, dalle integrazioni supportate e da validi processi di gestione degli incidenti.

Fusion non è quindi né una semplice ridenominazione né la promessa di sicurezza completamente automatizzata presentata nel video. È una seria strategia di piattaforma il cui valore dovrà essere dimostrato nell’uso operativo.

FAQ

Maggiori informazioni

• Avanet: Da Sophos Central a Sophos Fusion Admin
• Sophos: Panoramica di Sophos Fusion
• Sophos Community: Upgrade Center per l’espansione di XDR e MDR