Pianificare Sophos ITDR: prerequisiti, licenze, regioni e ruoli

Prima di configurare Sophos ITDR, definisci la regione, le licenze e i ruoli applicabili. Scegli inoltre se acquisire i dati da Microsoft Entra ID, da Active Directory locale o da entrambi e assegna la gestione quotidiana degli ITDR Findings. Questa breve lista di controllo riassume le sei decisioni.

Verifica rapida prima della configurazione:

Verifica la regione dati del tenant esistente in Account Details > Account Preferences. La matrice ITDR attuale indica US, EU, CAN, AUS, JPN, IND e BRA come disponibili; UAE non è approvata. La verifica regionale seguente spiega la corrispondenza e i limiti.
ITDR è disponibile come soluzione autonoma senza Sophos XDR o Sophos MDR. Accertati che ITDR sia attivato nel tenant corretto; a quel punto deve comparire My Products > Identity. Le offerte si basano sul numero di utenti, ma questo non definisce né uno SKU pubblico definitivo né le regole precise di conteggio. Verifica questi aspetti nel License Schedule e con il Sophos Partner.
Verifica la presenza di una licenza Microsoft Entra ID P1 o P2 per ogni integrazione Entra. Entra ID Free non costituisce una base di pianificazione adeguata.
Designa un amministratore Sophos per la configurazione e un amministratore Entra autorizzato a concedere il consenso amministrativo a livello di tenant. Sono ruoli distinti.
Stabilisci se collegare Microsoft Entra ID, on-premises Active Directory o entrambi. L’integrazione ITDR non sostituisce Central Directory Sync.
Assegna a una persona la verifica e la gestione continuative degli ITDR Findings. Una licenza MDR non trasferisce questa attività ordinaria a Sophos MDR.

Dopo l’attivazione della licenza, ITDR compare in My Products > Identity. La configurazione inizia in My Products > Identity > Settings. Se Identity non è presente, non creare subito un’integrazione: verifica prima regione dati, tenant, stato della licenza e ruolo.

1. Verificare la regione dati prima di acquistare la licenza e scegliere il tenant

La matrice delle regioni ITDR aggiornata al 14 ottobre 2026 indica come disponibili i seguenti gruppi di regioni:

US ed EU
CAN – Canada
AUS – Australia
JPN – Giappone
IND – India
BRA – Brasile

UAE è contrassegnata come non disponibile per ITDR in questa matrice. La disponibilità aggiuntiva per Canada, Australia, Giappone, India e Brasile è stata rilasciata già il 10 agosto 2026. Un tenant esistente in una di queste regioni non è quindi inidoneo soltanto per la propria regione. La matrice utilizza EU come gruppo di regioni; non se ne deducono ulteriori sottoregioni EU né garanzie più dettagliate sulla residenza dei dati. Se la corrispondenza della regione visualizzata nell’account non è chiara, chiariscila con Sophos per quel tenant prima della configurazione.

Conta la regione effettiva del tenant esistente, non la sede dell’azienda né l’indirizzo di fatturazione. Una licenza non elimina una restrizione regionale del prodotto. Se Identity manca in una regione ora supportata, verifica prima il tenant corretto, l’attivazione della licenza ITDR e il ruolo. L’annullamento della licenza o un nuovo tenant non sono una soluzione universale. Le restrizioni regionali di altri prodotti non devono essere interpretate come esclusioni ITDR.

L’approvazione regionale non è una migrazione diretta nello stesso tenant. Secondo l’avvertenza sulle regioni, la regione dati scelta per il tenant non può essere modificata dopo l’invio; non è neppure garantito il trasferimento automatico di configurazioni e dati a un altro tenant. In caso di regione realmente non supportata o incerta, chiarisci la procedura concreta con il Sophos Partner o il supporto prima dell’acquisto o della creazione di un tenant. Prima di un nuovo tenant, approva separatamente protezione e residenza dei dati, prodotti esistenti, integrazioni e impegno di migrazione.

2. Verificare separatamente le licenze Sophos e Microsoft

Un collegamento Entra prevede due requisiti di licenza indipendenti.

Sophos ITDR nel tenant corretto

La documentazione del prodotto ITDR richiede una ITDR license attivata. Solo successivamente dovrebbero essere disponibili My Products > Identity o My Products > Identity > Settings.

Dall’annuncio di prodotto del 15 ottobre 2026, ITDR è disponibile come soluzione autonoma; Sophos XDR o Sophos MDR non sono prerequisiti per l’acquisto. L’integrazione nativa con entrambi rimane disponibile, ma non equivale all’inclusione delle rispettive funzionalità o prestazioni. Per la valutazione, Sophos offre una prova gratuita di 30 giorni. Anche durante la prova valgono i requisiti tecnici relativi a regione, provider e autorizzazioni; qui non si presume né una conversione automatica in licenza a pagamento né una procedura specifica alla fine della prova.

Sophos prepara le offerte ITDR in base al numero di utenti. L’annuncio non definisce però né uno SKU d’ordine univoco né il criterio preciso di conteggio, ad esempio per ospiti, account disattivati, account di servizio o NHI. Non ricavare quindi la quantità da ordinare dal totale degli oggetti della Directory o dal numero di Risk Score visibili. Non è neppure garantita un’inclusione generalizzata in altri pacchetti. Prima dell’attivazione, verifica per iscritto almeno i seguenti punti:

nome e regione dati del tenant Fusion;
denominazione e durata indicate nel License Schedule;
ambito concordato, numero di utenti dell’offerta con criterio di conteggio confermato e data di inizio;
Sophos Partner responsabile;
ambienti Entra e AD previsti.

L’attivazione e il controllo generali in Sophos Fusion (in precedenza Sophos Central) sono descritti in «Attivare, verificare e rinnovare le licenze Sophos Fusion». Per ITDR, la verifica pratica rimane questa: Identity è visibile nel tenant corretto e l’account amministratore previsto può aprire Settings.

Microsoft Entra ID P1 o P2

Per l’integrazione con Microsoft Entra ID, Sophos richiede Entra ID P1 o P2. Il diritto può derivare da un prodotto autonomo, da un componente aggiuntivo o da un altro piano Microsoft. Sophos cita come esempi Microsoft 365 E3 ed E5, Microsoft Business Premium e Microsoft 365 Frontline Worker F1, F3 ed F5. Ciò che conta, tuttavia, è il diritto P1/P2 effettivo del tenant da collegare, non soltanto il nome visualizzato del pacchetto acquistato.

Entra ID Free non è sufficiente. L’edizione Free mette a disposizione le API Microsoft, ma limita i dati e i Posture Checks eseguibili. Un’integrazione può quindi mostrare lo stato Provisioning Failed. Un endpoint API tecnicamente raggiungibile non costituisce una prova della licenza.

Dopo un aggiornamento da Free a P1 o P2, secondo Sophos le informazioni fornite da Microsoft, come lo stato amministratore o MFA, possono subire un ritardo fino a una settimana. Includi questo ritardo nella pianificazione. Dopo l’aggiornamento, controlla il Authentication Methods Activity Report nel Microsoft Entra admin center e considera che ITDR potrà mostrare lo stato corrente solo dopo l’aggiornamento dei dati da parte di Microsoft.

3. Definire i ruoli prima di concedere il consenso

La configurazione coinvolge due ambiti amministrativi:

Sophos Fusion: le istruzioni per l’integrazione ITDR indicano esplicitamente una Sophos Fusion Administrator role come prerequisito.
Microsoft Entra ID: l’account Entra utilizzato deve poter concedere il consenso amministrativo a livello di tenant.

L’espressione Sophos Fusion Administrator role è troppo generica per identificare un ruolo predefinito distinto o il Custom Role minimo necessario. Le tabelle dei ruoli Fusion pubblicate elencano Super Admin, Admin, Help Desk, Read-only e User, ma non indicano né un’autorizzazione specifica per ITDR né un ruolo con quel nome esatto. Di conseguenza, non si può stabilire un ruolo ITDR minimo preciso: la documentazione non dimostra che Super Admin sia sempre necessario né che un Custom Role creato dall’utente sia sicuramente sufficiente.

Per un’implementazione controllata:

Scegli un account Super Admin o Admin esistente per la configurazione, senza assegnare inutilmente privilegi Super Admin permanenti.
Prima della finestra di manutenzione, usa questo account per verificare che My Products > Identity > Settings > Integrations e l’azione di configurazione prevista siano disponibili.
Chiedi al team di amministrazione Entra separato di indicare un account in grado di eseguire Grant Tenant Wide Admin Consent.
Registra nel log delle modifiche gli account Sophos e Microsoft, la persona responsabile, l’ora e lo scopo del consenso.
Dopo la configurazione, esegui una verifica con il ruolo Fusion previsto con i privilegi minimi: le pagine autorizzate devono essere visibili, mentre le modifiche non autorizzate devono rimanere bloccate.

Una pagina visibile non dimostra che sia consentito apportare modifiche. Viceversa, in assenza della licenza appropriata, le autorizzazioni dipendenti dalla licenza possono mancare del tutto. I dettagli sui ruoli predefiniti e personalizzati sono disponibili in «Assegnare correttamente i ruoli amministrativi di Sophos Fusion». Né quell’articolo né questo affermano l’esistenza di uno specifico “ITDR Custom Role” finché Sophos non pubblicherà una matrice di autorizzazioni ITDR verificabile.

4. Scegliere i provider di identità e l’ambito delle identità monitorate

ITDR supporta i seguenti provider di identità:

Microsoft Entra ID per i dati di identità nel cloud;
on-premises Active Directory tramite il sensore ITDR separato.

È possibile aggiungere più tenant Microsoft Entra ID tramite Identity Settings. Questo non significa che un’unica verifica di licenza, consenso o responsabilità valga automaticamente per tutti i tenant. Per ogni collegamento, documenta l’ID o il nome univoco del tenant, il diritto P1/P2, l’account usato per il consenso, la persona responsabile delle attività operative e l’ambito previsto.

Il perimetro monitorato comprende identità umane e non umane attive:

Human identities: ad esempio dipendenti, ospiti e utenti esterni.
Non-Human Identities (NHI): ad esempio applicazioni, Service Principals, Service Accounts, computer e altre identità che autenticano o autorizzano accessi oppure eseguono transazioni tra sistemi.

La visibilità comprende anche gli agenti AI Microsoft, con i relativi diritti di accesso e rapporti di responsabilità. Identità di runtime, Blueprint Principal e account utente associato opzionale vengono esaminati separatamente nei dettagli di Directory e NHI.

La visibilità non equivale alla copertura dei punteggi: le FAQ attuali del prodotto limitano ancora i Risk Score alle identità utente attive; Service Principals, applicazioni e utenti eliminati o disattivati non ricevono un punteggio. L’annuncio più ampio di una valutazione di ogni identità umana e non umana non costituisce quindi una garanzia affidabile di disponibilità generale. Per pianificazione e collaudo vale l’ambito utente documentato; se serve un punteggio NHI, chiedine prima conferma per il tenant specifico. I limiti dell’Identity Risk Score spiegano questa distinzione.

5. Definire le responsabilità tra cliente e MDR

ITDR è un software che deve essere monitorato dal cliente, non un servizio gestito. Il processo operativo deve quindi indicare il responsabile e il suo sostituto, fissare i tempi di triage e definire sia le responsabilità sia la procedura di correzione.

Se Sophos MDR dispone di una licenza separata, il MDR Operations Team esamina anche le minacce alle identità. Si applicano limiti chiari:

MDR si concentra principalmente sulle minacce attive alle identità.
MDR esamina soltanto un sottoinsieme di Findings critici o di gravità elevata che possono indicare una minaccia attiva.
Il cliente rimane responsabile del monitoraggio e della gestione continuativi degli ITDR Findings.
Il contesto Entra ID aggiuntivo può aiutare MDR a valutare più rapidamente utenti e rischi correlati nelle indagini relative e non relative alle identità.

Una licenza MDR non comporta quindi il triage completo di tutti gli ITDR Findings né la correzione automatica di ogni rischio per le identità. Prima della messa in produzione, stabilisci chi gestisce i Findings ordinari, quando inoltrare a MDR un incidente attivo e chi approva le modifiche in Entra ID o AD.

6. Mantenere distinti i confini tra i prodotti

ITDR integra altre funzionalità Sophos, ma non le sostituisce. Questa distinzione evita che un avvio ITDR riuscito venga erroneamente considerato come collaudo di altri prodotti.

Central Directory Sync

Le integrazioni dei sensori Entra e AD forniscono a ITDR dati di identità e directory per Posture, Directory e Findings. Il monitoraggio del dark web viene configurato separatamente per i domini importati automaticamente da Entra oppure aggiunti e verificati manualmente. Né queste integrazioni ITDR né il monitoraggio del dark web sostituiscono Central Directory Sync. Una configurazione ITDR non conferma quindi che utenti o gruppi Central siano sincronizzati per altri prodotti e non sostituisce le regole di mapping, filtro o eliminazione. I prerequisiti per la sincronizzazione delle directory separata sono descritti in «Sophos Central Directory Sync: prerequisiti e architettura».

XDR e MDR

Gli ITDR Findings non sono XDR Detections. Sophos descrive ora il raggruppamento automatico dei Findings ad alto rischio in Case contestualizzati e possibilità di risposta diretta da ITDR. Questo non trasforma automaticamente un singolo Finding in una XDR Detection e non rende equivalenti gli stati di Finding e Case; la distinzione tra Case e risposta chiarisce questi livelli. I diritti di licenza e i ruoli XDR non devono comunque essere interpretati come licenza o autorizzazione ITDR. MDR rimane un servizio con licenza separata e con l’ambito d’indagine limitato descritto sopra; non prende in carico i Findings quotidiani.

Firewall, NDR e Active Threat Response

Le funzionalità di identità di Sophos Firewall, NDR o NDR Essentials e Active Threat Response rimangono prodotti o workflow distinti. Una Identity visibile in ITDR non configura una regola firewall, non convalida un sensore NDR e non attiva automaticamente un’azione firewall o ATR. Queste integrazioni richiedono verifiche proprie per licenze, ruoli, dati e collaudo.

ZTNA

Sophos ZTNA controlla l’accesso alle applicazioni tramite la propria configurazione di gateway, connettore, criterio e Identity. ITDR valuta i rischi e gli errori di configurazione relativi alle identità; non fornisce automaticamente un percorso di accesso ZTNA e non sostituisce un criterio ZTNA. Un’origine Identity comune non rende identici i workflow dei due prodotti.

7. Collaudo prima dell’onboarding tecnico

Avvia l’autorizzazione Entra o la distribuzione del sensore solo dopo aver documentato i seguenti punti:

Sono stati identificati il tenant Fusion specifico e la relativa regione.
La regione del tenant corrisponde a un gruppo ITDR approvato US, EU, CAN, AUS, JPN, IND o BRA; UAE non è approvata ed eventuali dubbi sulla corrispondenza sono stati chiariti prima della configurazione.
La licenza ITDR è attivata nel tenant corretto e My Products > Identity è visibile.
Sono stati archiviati License Schedule, durata e contatto del partner; il numero di utenti usato per l’offerta e il relativo criterio di conteggio sono confermati. Non sono stati presunti SKU o criteri quantitativi privi di riscontro.
Il diritto P1 o P2 è stato verificato per ogni tenant Entra.
Per ogni provider sono documentati tenant o dominio, persona responsabile e ambito desiderato.
L’account di configurazione Fusion può aprire Identity > Settings > Integrations ed eseguire l’azione necessaria.
Un account Entra separato può concedere il consenso amministrativo a livello di tenant.
Le identità umane e le NHI sono state incluse nell’ambito previsto.
Sono state definite la responsabilità del cliente per i Findings e l’eventuale escalation a MDR.
Directory Sync, XDR, MDR, Firewall/NDR/ATR e ZTNA sono stati trattati come workflow distinti.

Criterio di successo: la preparazione è completa solo quando la voce di menu è visibile e risultano documentati la regione, entrambi i livelli di licenza, entrambi gli ambiti amministrativi, il perimetro di ciascun provider e la persona responsabile delle attività operative. L’integrazione vera e propria e la qualità dei relativi dati vanno poi convalidate separatamente.

Limiti della documentazione

Questo articolo si basa sui contenuti relativi a prodotto, ruoli e FAQ verificati al 20 settembre 2026; la disponibilità regionale è stata aggiornata il 16 ottobre 2026 sulla base della matrice del 14 ottobre 2026 e delle note di rilascio del 10 agosto 2026. La disponibilità autonoma, la prova, la base delle offerte e la distinzione dei Case sono state integrate il 20 ottobre 2026 sulla base dei nuovi annunci; l’ambito dei punteggi è stato verificato rispetto alle FAQ attuali del prodotto. L’articolo non descrive test indipendenti del prodotto o di laboratorio. In particolare, le informazioni disponibili non coprono:

uno SKU ITDR pubblico e definitivo o un modello generale di conteggio delle licenze;
un Custom Role ITDR minimo e preciso o i nomi delle singole autorizzazioni ITDR;
una migrazione diretta dello stesso tenant tra regioni dati Fusion;
un impegno specifico di ITDR per la conservazione o la fine del ciclo di vita;
un effetto automatico di ITDR su Central Directory Sync, XDR, Firewall, NDR, Active Threat Response o ZTNA.

Se uno di questi aspetti è necessario per una decisione di acquisto, protezione dei dati o autorizzazione, richiedine la conferma per il tenant specifico al Sophos Partner o a Sophos Support prima della configurazione, anziché dedurlo dalla documentazione di prodotti affini.