Mettere in funzione in sicurezza un tenant Sophos Fusion (in precedenza Sophos Central)

Un nuovo tenant Sophos Fusion non è completamente configurato quando viene protetto il primo Endpoint o collegato il primo firewall. La piattaforma cloud gestisce amministratori, licenze, utenti, impostazioni globali, alert, report, integrazioni e accesso al supporto. Queste basi vanno definite prima del rollout generale dei prodotti.

Attivare l’account senza creare un secondo tenant

Un tenant predisposto da Sophos o da un partner viene attivato tramite l’e-mail di benvenuto. Sophos indica attualmente do-not-reply@fusion.sophos.com come mittente; il solo indirizzo visualizzato non dimostra l’autenticità del messaggio. Prima di aprirla si controllano dominio del mittente, indirizzo destinatario e organizzazione associata.

Se manca l’e-mail, non si crea subito un nuovo trial o un secondo account Central. Si usa invece il percorso ufficiale Sophos Fusion Account Activation oppure si chiede al partner Sophos di verificare indirizzo e invito. Un secondo tenant può dividere licenze, utenti, dispositivi e futuri casi di supporto tra due account.

La pagina di attivazione richiede una nuova password, la Central Admin Portal location che determina la regione dati e l’accettazione degli accordi legali. Prima di selezionare Activate Account, si confrontano una seconda volta organizzazione e regione con l’ordine. Al secondo accesso Central richiede la configurazione dell’MFA; una registrazione riuscita termina con Successful enrollment.

Dopo l’attivazione si controllano Company Info, regione dati, Customer ID, assegnazione del partner e licenze prima di scaricare software. Un tenant trial e un tenant produttivo predisposto dal partner non sono automaticamente lo stesso account. Se non esiste ancora alcun tenant, si avvia un trial tramite il modulo ufficiale Sophos; questo percorso non va usato al posto di un invito mancante.

Comprendere la navigazione attuale

Nel 2026 Sophos ha riorganizzato l’interfaccia Central. Le aree principali si trovano ora qui:

La precedente area People ora si chiama Users & Groups. Global Settings non si trova più sotto My Products, ma resta accessibile direttamente dall’ingranaggio. Screenshot e percorsi di menu vecchi non vanno quindi adottati senza verifica.

In Global Settings > Platform si trovano le funzioni trasversali ai prodotti. Notifications configura alert e-mail per amministratori, Firewall Alerts e User Activity Verification. Directory service sincronizza utenti e dispositivi supportati con Active Directory, Microsoft Entra ID o Google Directory secondo il modello delle fonti. Qui vengono gestiti anche gli Early Access Programs. La navigazione Platform riunisce gli accessi, ma non sostituisce le singole procedure operative e i rispettivi confini dei prodotti.

Sophos Help è la ricerca integrata e l’aiuto alle attività nel portale, accessibile dall’icona Help. Non va confuso con un caso di supporto tecnico: trovare una guida o un percorso interattivo non crea un Case.

Gli operatori seguenti si applicano al campo di ricerca nell’intestazione del sito di documentazione Sophos, non come sintassi garantita di Sophos Help integrato nel portale. La ricerca nella documentazione non distingue maiuscole e minuscole e collega più termini con OR per impostazione predefinita. +begriff rende il termine obbligatorio, -begriff lo esclude, * è un carattere jolly e title:begriff limita la ricerca ai titoli. Le virgolette non creano una vera ricerca di frase. Per risultati precisi si usa per esempio +firewall +policy -email invece di una frase apparente.

Sophos Help mostra pagine di assistenza, video, brevi articoli, Collections e guide interattive. Alcune guide dimostrano soltanto un’attività, altre accettano input e apportano realmente la modifica. Prima di avviarle si verifica il tipo; una modifica eseguita va controllata tecnicamente e nell’Audit Log come ogni altro change amministrativo.

La modalità chiara o scura personale si sceglie dal profilo ed è adottata anche da Sophos Mobile e Sophos Cloud Optix. Le pagine Firewall Management restano chiare indipendentemente dalla scelta. È un limite di visualizzazione, non un errore del browser o del tenant.

Trovare profilo e funzioni account

L’icona profilo riunisce funzioni personali e aziendali. Vi si trovano contatti e partner, Licensing, selezione lingua e logout. Attivazione e gestione di licenze, trial ed Early Access Program sono processi distinti; una voce nel profilo non dimostra quindi un rollout completato.

Amministratori e ruoli non si gestiscono nel profilo personale. Si apre l’ingranaggio e si usa Global Settings > Access Control > Role Management. Informazioni account, stato licenze e gestione dei diritti restano così volutamente separate.

Usare Help and Guidance

Tramite l’icona Help and Guidance nella taskbar, Sophos offre oltre alla guida prodotto anche Cybersecurity Assessment attuali, corsi e certificazioni, demo, Feature Showcase e altri contenuti. Un Assessment può sostenere l’allineamento a framework di sicurezza, ma non sostituisce né una verifica di compliance indipendente né il controllo tecnico del tenant.

Contenuti di formazione, demo e informazione non vanno confusi con una modifica Central. Prima dell’esecuzione, le guide interattive vanno controllate per capire se mostrino soltanto la procedura o modifichino davvero impostazioni.

Inquadrare Getting Started e Product Setup

Sophos Fusion comprende la dashboard di gestione e i componenti di prodotto installati separatamente sui dispositivi. Il percorso generale Getting Started prende come punto di partenza Antimalware o protezione Endpoint e Server. L’ordine corretto è: attivare il tenant esistente, installare il software appropriato, controllare in Central i dispositivi registrati, configurare le Security Policy e solo dopo automatizzare la creazione di utenti e dispositivi.

Per convalidare l’inventario registrato si usa Gestire l’inventario dei dispositivi Sophos Fusion. La guida separa inventario, stato di protezione e ciclo di vita prima che un vecchio record diventi un’attività di eliminazione.

Al primo login, Central apre automaticamente Product Setup. Se la pagina viene chiusa, la si riapre con Help > Product Setup. Qui si sceglie Endpoint Protection o Server Protection e poi l’installer per il sistema operativo di destinazione. L’installer deve sempre provenire dal tenant corretto e va testato su un dispositivo pilota prima della distribuzione generale.

MDR, Device Encryption, Mobile e altri prodotti Central hanno processi di onboarding propri. L’indice Getting Started generale è quindi una sequenza iniziale, non un manuale di installazione comune a tutti i prodotti. Le funzioni visibili restano organizzate in Central per nome di prodotto, come Endpoint.

Lingue e limiti del browser

L’interfaccia Central supporta inglese, tedesco, francese, giapponese, italiano, spagnolo, portoghese brasiliano, coreano e cinese tradizionale. Gli agent Endpoint hanno elenchi propri: Windows supporta inoltre portoghese europeo, cinese semplificato, polacco e ceco; macOS supporta inglese, tedesco, francese, giapponese, italiano e spagnolo; Linux 7 e 9 supportano inglese e giapponese. La lingua del portale non determina automaticamente quella dell’agent installato.

Per Sophos Fusion Admin sono supportate le versioni attuali di Google Chrome, Microsoft Edge, Mozilla Firefox e Apple Safari su macOS. Per Chrome, Firefox e Safari Sophos punta alla versione corrente e precedente. Un browser non supportato riconosciuto viene reindirizzato a central.sophos.com/unsupported. I dispositivi mobili non sono supportati per Sophos Fusion Admin; in questo contesto Phish Threat è limitato a Chrome. Il browser amministrativo va quindi aggiornato regolarmente e verificato prima di modifiche critiche.

Usare Notifications Center

L’icona a campana apre messaggi di priorità media e bassa, tra cui novità prodotto e avvisi di manutenzione. Il numero indica messaggi non letti o presenti. Le priorità elevate appaiono anche come banner.

A seconda del messaggio sono disponibili Turn on e More info. Nel menu a tre punti, Session dismiss rimuove l’avviso solo fino al login successivo, mentre Permanently dismiss lo nasconde definitivamente per l’utente. La rimozione permanente va scelta solo dopo aver chiarito contenuto, responsabilità e possibili conseguenze.

1. Documentare tenant e proprietà

In Profilo > Company Info si controllano i dati aziendali e di contatto, si aggiornano se necessario e si applicano con Save. Si rileggono poi nome aziendale e contatto primario. Si documentano inoltre Customer ID, regione dati Central, titolare del contratto e contatti di emergenza. Profilo > Partner info mostra i contatti del partner assegnato. L’indicazione documenta l’assegnazione, ma non concede automaticamente Partner Assistance o altri accessi al portale.

In Profilo > My info si vedono il proprio ruolo amministrativo e l’indirizzo di accesso e si gestiscono password e metodi MFA. Abbonamenti e-mail, dettagli dell’account e informazioni sul partner si trovano nelle altre aree del profilo. La gestione delle notifiche e l’amministrazione tenant restano comunque nelle impostazioni dedicate.

Per un Sophos Firewall con SFOS 22, si controlla anche Administration > Licensing > Device registration details. I campi Company name, Contact person e Registered email address provengono dall’account Sophos Fusion a cui è registrato il firewall. Per un account cliente, il firewall mostra i dati del contatto primario; per un account Partner, quelli dell’amministratore principale. Questa origine non va confusa con il proprio indirizzo di accesso in My info o con l’assegnazione del partner mostrata in Partner info.

Se i dati sono errati, una persona autorizzata deve correggere il contatto primario nell’account cliente a cui è registrato il firewall oppure l’amministratore principale nel relativo account Partner. Si rileggono poi i tre campi sul firewall e si confrontano con l’account di registrazione. Se permane una discrepanza, la si chiarisce con il responsabile dell’amministrazione dell’account; non si presume una propagazione immediata né che Synchronize aggiorni i dati di contatto.

Il tenant appartiene all’organizzazione cliente, non a un amministratore personale o a un singolo fornitore. Almeno due responsabili conoscono il processo di recovery e supporto.

2. Proteggere gli accessi amministrativi

Prima di altre modifiche si configurano due Super Admin indipendenti. Ogni amministratore usa un account personale, MFA con due metodi indipendenti e un ruolo adeguato.

Super Admin resta limitato a ruoli, API Credential, impostazioni particolarmente critiche e recovery. Per il lavoro quotidiano si usano Admin, Help Desk, Read-only o Custom Role.

La configurazione completa è descritta in Proteggere l’accesso a Sophos Fusion con MFA, passkey e IdP e Assegnare correttamente i ruoli amministrativi di Sophos Fusion.

3. Verificare licenze e conseguenze tecniche

In Profilo > Licensing si controllano prodotto, edizione, quantità e durata. Un’attivazione o upgrade può modificare immediatamente componenti dell’agent. Le nuove funzioni vanno quindi provate prima sui dispositivi pilota.

I dettagli sono in Attivare, verificare e rinnovare le licenze Sophos Fusion.

Verificare le licenze firewall prima di attivare la gestione

La sola licenza Base Firewall non basta per Sophos Central Firewall Management. Occorre una subscription a pagamento attiva, per esempio Network Protection o un bundle di licenze, oppure una licenza di supporto Sophos che dia diritto alla gestione, come Enhanced Support. Il claim del firewall e la presenza dei dati di registrazione confermano l’assegnazione all’account, non un accesso di gestione funzionante. Questo accesso va configurato separatamente e testato con il ruolo amministrativo previsto; seguire Collegare Sophos Firewall a Sophos Fusion.

Sul firewall si apre Administration > Licensing e si confrontano modello, numero di serie, subscription necessarie e date di scadenza con il tenant corretto. Un firewall connesso a Internet aggiorna automaticamente le licenze ogni 24 ore. Dopo un’attivazione o un rinnovo, si può usare Synchronize per la verifica prima della consegna, poi rileggere stato e scadenze. Subscribed indica una subscription attiva, Evaluating una prova, Not subscribed una subscription assente ed Expired un diritto scaduto. Se manca ancora la licenza prevista, si controllano assegnazione all’account, numero di serie e connessione Internet; Attivare una chiave di licenza Sophos Firewall descrive l’attivazione e gli errori di sincronizzazione.

Prima della consegna si definisce anche il percorso di supporto: la Base License offre risorse di autoassistenza; il supporto personalizzato Sophos tramite telefono, chat o caso richiede un bundle, Enhanced Support o Enhanced Plus Support. Comprendere la Base License di Sophos Firewall chiarisce la distinzione.

4. Definire la fonte utenti

Prima di un’importazione massiva si decide se utenti e gruppi provengano da gestione manuale, CSV, Active Directory, Microsoft Entra ID o Google Directory.

Fonti sovrapposte causano duplicati, gruppi errati e divergenze di licenza. Per le identità aziendali un Directory Service gestito è generalmente più stabile della manutenzione continua via CSV. L’ambito inizia con un gruppo pilota e viene esteso dopo un matching riuscito.

5. Separare Global Settings e policy

Global Settings vale per l’intero tenant o fornisce elenchi centrali e funzioni di piattaforma. Le policy applicano valori di protezione specifici del prodotto a utenti, dispositivi o gruppi selezionati.

Un’esclusione globale è quindi molto più rischiosa di un’esclusione assegnata in modo ristretto.

6. Configurare alert e notifiche

Gli alert appaiono nel portale, mentre le e-mail vengono inviate separatamente tramite regole. Destinatari, gravità ed escalation vanno separati per responsabilità. Una singola mailbox privata non è un canale di alert affidabile.

Va inoltre controllata regolarmente la campana Notifications, che contiene novità prodotto, avvisi di manutenzione e altri messaggi medi o bassi. Solo le priorità alte appaiono come banner. Session dismiss nasconde fino all’accesso successivo, Permanently dismiss rimuove definitivamente per l’utente.

7. Preparare audit e conservazione

Nel portale, l’Audit Log mostra al massimo 90 giorni di modifiche amministrative. Prima della produzione si stabilisce quindi se bastino export mensili o servano API o SIEM.

Il primo test controllato è una modifica innocua, poi ricercata ed esportata nell’Audit Log. Ruoli, fuso orario e conservazione vengono così convalidati prima di un incident.

I report pianificati ricevono responsabile operativo e controllo della scadenza. In particolare, i report legacy personali si fermano dopo sei mesi e non possono essere semplicemente trasferiti quando cambia amministratore. La procedura completa è in Pianificare, esportare e monitorare i report Sophos Fusion.

8. Configurare dashboard e Account Health

Central Overview viene verificata come punto di partenza. Le dashboard personali si costruiscono per attività, non come raccolta di tutti i widget. Account Health viene trattato come richiesta di verifica, non come certificato.

Per l’esercizio sono disponibili Configurare dashboard Sophos Fusion per le attività operative e Usare correttamente Sophos Fusion Account Health Check.

9. Ridurre accessi API e di terzi

API Credential, Partner Assistance e Remote Assistance sono percorsi separati. Ciascuno riceve scopo documentato, diritti minimi, durata e responsabile.

I secret API vengono conservati e monitorati in un Secret Store. Remote Assistance resta disattivata per impostazione predefinita e viene concessa per un periodo limitato solo per uno specifico caso di supporto. Differenze e durate sono spiegate in Proteggere Partner Assistance e Remote Assistance in Sophos Fusion.

In Account preferences > Privacy, condivisioni dati per sample, log, Threat Graph, Intercept X, AI generativa e Intelix non vanno attivate indiscriminatamente.

10. Testare il passaggio operativo

Il tenant è consegnato solo quando un secondo amministratore può svolgere senza conoscenze del configuratore:

• accesso e spiegazione del recovery MFA,
• verifica di ruolo e licenze,
• valutazione della fonte utenti e ultimo sync,
• apertura di un alert e identificazione del responsabile,
• export dell’Audit Log,
• controllo di API Credential e accessi al supporto,
• ricerca di Customer ID e partner Sophos.

Checklist di accettazione

• Due Super Admin indipendenti con MFA e recovery testati
• ruoli secondo Least Privilege
• Company Info, Customer ID e regione dati corretti e documentati
• licenze, durata ed effetto sul pilota verificati
• definita una fonte principale per utenti e gruppi
• e-mail degli alert ed escalation testate
• export audit e conservazione testati
• accessi API, Partner e supporto inventariati
• privacy e condivisione dati approvate
• report pianificati con responsabile e controllo scadenza
• dashboard, Account Health e review mensile definiti
• passaggio operativo superato da una seconda persona

Domande frequenti