Sophos Fusion: ¿avance real o solo otro nombre nuevo?

A primera vista, Sophos Fusion parece un producto nuevo. El nombre es grande, los vídeos son azul oscuro, hay flujos de datos luminosos por todas partes y, por supuesto, en 2026 no puede faltar el término AI-native. En el breve vídeo introductorio, Fusion lo ve todo, lo conecta todo y responde como una unidad.

Después de 66 segundos, uno apenas sabe más que antes.

¿Tengo que comprar Sophos Fusion? ¿Sustituye a Sophos Central? ¿Necesito una licencia nueva? ¿Mejora mi firewall? ¿Es la siguiente generación de XDR y MDR o solo una etiqueta nueva para productos que ya existían?

La respuesta corta es: Sophos Fusion no es una licencia nueva ni un producto individual. Es el nuevo nombre y la nueva historia arquitectónica alrededor de Sophos Central. Detrás hay cambios técnicos reales, sobre todo en XDR y MDR. Al mismo tiempo, Fusion es una lógica comercial muy bien construida para vender productos adicionales y complementos de pago.

Las dos cosas pueden ser ciertas a la vez.

Qué es realmente Sophos Fusion

Sophos describe Fusion como un AI-Native Cybersecurity Defense System. Al principio suena a una categoría de producto nueva, pero se entiende mejor al desmontar el término de marketing.

Fusion pretende conectar Sophos Endpoint, Firewall, Email, Cloud, Network, Identity, Workspace Protection, XDR y MDR con datos de productos de terceros dentro de una arquitectura común. La telemetría llega a un almacén de contexto compartido. Las detecciones no deberían quedar aisladas en cada producto, sino activar respuestas automatizadas en otros puntos de control. La IA debe investigar grandes volúmenes de alertas y responder dentro de límites autorizados, mientras las decisiones de mayor riesgo permanecen en manos humanas.

Sophos identifica cinco componentes:

• Control Points: Los productos de Sophos y las herramientas de terceros conectadas aportan datos y pueden ejecutar respuestas.
• Unified Context Lake: La telemetría de esas fuentes se almacena y evalúa con un contexto común.
• Synchronized Security: Una detección en un lugar puede activar una respuesta en otro.
• Agentic Autonomy: La IA puede investigar y responder dentro de límites definidos.
• Compounding Intelligence: Los conocimientos obtenidos de la base de clientes protegida por Sophos deberían mejorar la protección de todos.

No es poca cosa. Un endpoint comprometido, un usuario sospechoso, un correo malicioso y una conexión de red anómala suelen formar parte del mismo incidente. Si esas señales se analizan por separado, una persona debe reconstruir las relaciones con mucho esfuerzo. Si se combinan técnicamente, la detección y la respuesta pueden ser más rápidas y precisas.

Sin embargo, la idea de fondo no es nueva. Synchronized Security conecta Sophos Endpoint y Sophos Firewall desde hace años. Sophos Central ya era la capa de administración común. XDR recopila datos de varias fuentes, MDR los investiga como servicio y un Data Lake tampoco es un concepto inventado con Fusion.

Por tanto, Fusion es menos el nacimiento de una plataforma completamente nueva que la consolidación, ampliación y redenominación de una estrategia existente. La adquisición de Secureworks aporta tecnología, detectores y experiencia en operaciones de seguridad. El nuevo nombre aporta la historia con la que Sophos puede venderlo todo como un gran salto.

¿Fusion es un producto nuevo o una licencia nueva?

No. Al menos no directamente.

Sophos afirma expresamente que Fusion no es un producto separado, ni un paquete, ni una SKU propia. Los clientes actuales no tienen que pedir nada para formar parte de Fusion. Sophos Central adoptará gradualmente el nombre Fusion durante los próximos meses, mientras los flujos de trabajo existentes deberían continuar.

Esa es la mitad tranquilizadora de la respuesta.

La otra mitad es que alrededor de Fusion sí aparecen componentes que se pueden comprar. Entre ellos están Sophos Next-Gen SIEM, Sophos AI Defense y Sophos CISO Advantage. Las funciones más potentes de XDR y MDR siguen ligadas a las licencias correspondientes. Quien solo tenga Endpoint Protection o un firewall no recibe de repente las capacidades de un SOC gracias a la nueva marca paraguas.

Así surge una lógica de plataforma muy conocida:

• ¿Hay que comprar Fusion por separado? No, Fusion no tiene una SKU propia.
• ¿Se sustituye Sophos Central? El servicio sigue evolucionando y se renombra gradualmente como Fusion.
• ¿Todas las funciones de IA serán gratuitas? No. Algunas están incluidas en productos existentes y otras llegan como complementos o licencias superiores.
• ¿Un firewall individual mejora automáticamente? No. El valor aparece con telemetría, integraciones, licencias adecuadas y respuestas activadas.
• ¿Fusion es solo marketing? No. Pero el marketing promete mucha más unidad de la que un tenant mixto ofrece hoy de forma automática.

Fusion no es, por tanto, una licencia nueva. Pero sí es la arquitectura con la que Sophos podrá explicar y vender muchas licencias adicionales en el futuro.

El progreso real está en XDR y MDR

Los usuarios de Sophos XDR o Sophos MDR reciben la parte más tangible de la estrategia Fusion. Las nuevas funciones se desplegarán gradualmente para los clientes convencionales a partir de agosto de 2026; los entornos MSP llegarán más tarde.

En Sophos XDR, una nueva interfaz de Security Operations sustituye al anterior Threat Analysis Center. La tecnología de Secureworks aporta detectores y lógica de detección adicionales. También llegan reglas personalizadas, más integraciones, respuestas bidireccionales y funciones SOAR. Un analista no solo debería ver datos de Microsoft 365, Okta u otras fuentes, sino también —según la integración y los permisos— ejecutar acciones de vuelta en esos sistemas.

Eso sí es un progreso real. Una integración que solo importa registros resulta útil. Una integración que bloquea a un usuario, aísla un dispositivo o controla otro punto de seguridad tiene mucho más valor operativo.

En Sophos MDR, la misma arquitectura se combina con el servicio 24/7. La IA debe asumir una parte mayor del triaje, la investigación y la respuesta. Sophos cita sus propias cifras operativas: el 52 % de los casos se gestionaría íntegramente mediante IA y el tiempo medio entre una alerta y una respuesta automatizada sería de 89 segundos.

Las cifras impresionan, pero necesitan contexto. Los 89 segundos se aplican a casos en los que una respuesta automatizada está autorizada y es posible. No significan que todos los ataques queden resueltos en 89 segundos. El 52 % tampoco indica que la mitad más difícil de los casos no necesite personas. Sophos subraya que los casos restantes requieren juicio humano.

Esa es la interpretación correcta: la IA no es un SOC mágico digital que comprende todos los ataques. Es un acelerador para trabajos repetitivos que pueden delimitarse con suficiente claridad. Puede ser muy valioso, porque durante una intrusión activa cada segundo cuenta. Pero no sustituye datos limpios, analistas cualificados ni límites razonables de autorización.

Los nombres de MDR también vuelven a moverse. MDR Essentials pasa a llamarse MDR y MDR Complete, MDR Plus. Sophos puede presentarlo como una simplificación. Aun así, clientes y partners tienen derecho a molestarse cuando los niveles de servicio deben compararse, documentarse y explicarse de nuevo en la siguiente renovación.

Qué cambia para los clientes de Endpoint y Central

Para un cliente con Sophos Endpoint, el nombre Fusion cambia poco al principio. El agente sigue instalado, las políticas continúan en la administración central y las funciones de protección no desaparecen de un día para otro. Sin embargo, el endpoint se presenta con más fuerza como punto de control dentro del sistema completo.

La parte técnica se vuelve interesante cuando las señales del endpoint se correlacionan con identidad, correo, red y telemetría de terceros. Una sola alerta de malware puede convertirse entonces en un caso conectado: el usuario inició sesión de forma anómala poco antes, abrió un mensaje sospechoso y después estableció una conexión con un destino nuevo. Idealmente, XDR o MDR ve una ruta de ataque en vez de cuatro eventos aislados.

Pero también aquí se aplica una regla: un nombre nuevo no genera datos. Quien solo tenga una licencia de endpoint, no conecte fuentes adicionales y no autorice respuestas no obtiene el mismo efecto que un entorno XDR o MDR completamente integrado.

La frase «todos los clientes de Sophos ya forman parte de Fusion» es formalmente correcta, pero en la práctica induce a error. Todos utilizan la misma plataforma estratégica. Eso no significa que todos dispongan de las mismas funciones.

Qué cambia para Sophos Firewall

Para los administradores de firewall, la respuesta más importante es gratamente poco espectacular: Fusion no sustituye SFOS ni introduce una licencia nueva de firewall. El firewall sigue siendo un firewall, las reglas locales siguen siendo locales y el nuevo nombre no hace que un dispositivo XGS existente sea más rápido o estable.

Fusion cobra importancia cuando el firewall se integra como sensor y punto de respuesta en una cadena más amplia. Las detecciones del endpoint pueden restringir el acceso a la red mediante Synchronized Security y Active Threat Response. La telemetría del firewall puede complementar las investigaciones de XDR y MDR. Las nuevas API ofrecen más posibilidades para la gestión central y AI Defense, incluidas políticas web, grupos de URL y reglas.

Eso tiene sentido. Un firewall ve conexiones que pueden estar incompletas o ser invisibles en el endpoint. A la inversa, el endpoint entiende procesos y contexto de usuario que el firewall no conoce. Si ambas perspectivas se combinan correctamente, el resultado es mayor que la suma de los registros individuales.

Aun así, nadie debería comprar un firewall solo porque ahora aparece Fusion en la web. Las preguntas decisivas siguen siendo las mismas:

• ¿Qué datos entrega realmente el firewall a XDR o MDR?
• ¿Qué respuestas pueden activarse automáticamente?
• ¿Qué licencias son necesarias?
• ¿Qué ocurre si Central o la conexión a Internet no están disponibles?
• ¿Qué funciones permanecen locales y cuáles dependen del servicio cloud?

El nuevo modelo de hardware como servicio para MSP también encaja en esta estrategia. Las relaciones mensuales de hardware, licencias y servicios pueden simplificar la compra. Pero también vinculan más estrechamente al cliente con Sophos y con el partner gestor. No es necesariamente malo. Simplemente no debería venderse como una necesidad técnica cuando también es un modelo comercial.

Switch, Wireless, Workspace, ZTNA, Email e ITDR

La cantidad de anuncios de Sophos alrededor del lanzamiento de Fusion transmite la impresión de que todos los productos pasan a formar parte de un gran sistema nuevo al mismo tiempo. Una parte está justificada.

Sophos Switch y los puntos de acceso AP6 aportan datos de conexión adicionales al Data Lake mediante Live Discover. Workspace Protection permite visualizar los datos de Protected Browser y consultarlos a través de XDR. ITDR calcula una puntuación de riesgo de identidad a partir de la configuración, el comportamiento y los problemas detectados. Los casos y las notificaciones de correo se integran más estrechamente en la interfaz central de Security Operations.

Son piezas con las que puede formarse una visión más conectada. Las señales de red e identidad son especialmente valiosas, porque los ataques modernos rara vez se quedan en un solo endpoint.

Otros anuncios del mismo mes son simplemente mantenimiento normal de producto. La compatibilidad multidominio en ZTNA, la beta de macOS, Config Studio 2.6 o los nuevos ajustes de notificaciones no se convierten automáticamente en innovaciones de Fusion por aparecer al mismo tiempo. Sophos sigue desarrollando sus productos. Es positivo, pero no demuestra que cada producto ya responda a todos los demás en tiempo real.

Aquí ayuda una distinción sencilla:

• Telemetría disponible: Un producto aporta datos.
• Contexto disponible: Los datos se asignan correctamente a un caso común.
• Respuesta disponible: Otro producto puede ejecutar una acción útil.
• Automatización disponible: Esa respuesta puede ejecutarse sin cambio manual ni autorización adicional.

Solo cuando funcionan las cuatro capas, una integración se convierte en un verdadero sistema de defensa. El número de logotipos en una página de integraciones dice sorprendentemente poco al respecto.

350 o 500 integraciones no es la pregunta más importante

La primera FAQ pública hablaba de más de 350 integraciones de terceros. La página actual de Fusion menciona más de 500 integraciones de Sophos y terceros. Estas cifras pueden cambiar por nuevos conectores, otra forma de contar o la inclusión de productos propios.

También muestran por qué las cifras puramente comerciales deben leerse con cautela.

Una integración puede ser un conector bidireccional completo. También puede limitarse a importar eventos, ofrecer una consulta o depender de una API que el cliente debe configurar. Quinientas integraciones no equivalen a quinientas opciones de respuesta con la misma capacidad.

Para un cliente, cinco integraciones bien soportadas en su entorno valen más que quinientos logotipos de los que nunca utilizará 490. Por eso, antes de decidir, conviene aclarar para cada fuente importante:

• ¿Qué datos se incorporan?
• ¿Con qué rapidez están disponibles?
• ¿Qué campos y periodos de conservación se aplican?
• ¿La integración está incluida en el producto actual?
• ¿Fusion solo puede observar o también responder?
• ¿Quién asume el riesgo de una respuesta automatizada incorrecta?

El término arquitectura abierta suena a poca dependencia del fabricante. En realidad, una plataforma puede estar abierta a fuentes de datos y, al mismo tiempo, crear una fuerte dependencia operativa. Cuanta más lógica de detección, conservación, flujos de trabajo y respuestas residan en Fusion, más difícil será cambiar después.

Abierto para importar no significa automáticamente abierto para salir.

Qué hay realmente detrás de la IA

Sophos utiliza IA desde hace años para detección de malware, clasificación, priorización y Threat Hunting. Fusion añade flujos de trabajo agénticos: el sistema debe recopilar información, formular hipótesis, ejecutar consultas adicionales y responder dentro de límites definidos.

Eso es mucho más interesante que una ventana de chat con resúmenes atractivos. Un sistema que enriquece una alerta con datos de identidad y red, descarta patrones benignos conocidos y aísla un endpoint cuando existe suficiente confianza puede aliviar realmente a los analistas.

Pero «AI-native» no responde a las preguntas de seguridad más importantes:

• ¿Qué modelos o métodos toman cada decisión?
• ¿Cómo se detectan las decisiones erróneas?
• ¿Qué acciones requieren autorización humana?
• ¿Cómo se gestionan Prompt Injection y la telemetría manipulada?
• ¿Qué datos de clientes se usan para entrenamiento o mejora continua?
• ¿Qué pruebas permanecen disponibles para auditoría y análisis forense?

El Sophos AI Security 2026 Report resulta en este punto más interesante que la publicidad de Fusion. La propia investigación de Sophos no describe la IA como una clase mágica de ataque. La IA acorta plazos, escala métodos existentes y dificulta la defensa mediante velocidad y volumen. Al mismo tiempo, demostrar el uso concreto de IA en muchos ataques sigue siendo difícil.

La misma mirada sobria debería aplicarse a la defensa. La IA puede acelerar investigación y respuesta. No convierte una mala telemetría en buena, no sustituye una estrategia de identidad ni corrige una vulnerabilidad sin parchear. Quien permita actuar a agentes necesita permisos, registros y límites especialmente claros.

La pregunta de precio que Sophos no ha respondido

Actualmente no existe una tarifa Fusion anunciada. Los clientes actuales no están obligados a cambiar de licencia solo por el nuevo nombre. Conviene decirlo claramente.

Pero otra cosa también está clara: Sophos construye Fusion como motor de crecimiento. La información pública para partners habla de soluciones adicionales, ingresos recurrentes, expansión dentro de clientes existentes y nuevos servicios. Next-Gen SIEM es un complemento. AI Defense será un complemento para clientes con EDR, XDR o MDR. CISO Advantage debe venderse como servicio MSP estructurado y recurrente.

Es un modelo de negocio legítimo. Sophos no es una organización benéfica. Si SIEM almacena más datos, AI Defense hace visible y controlable la IA generativa en una empresa o un servicio CISO realiza trabajo real, es razonable que cueste dinero.

El problema aparece cuando primero se integran funciones de IA en productos existentes y más tarde se utilizan para justificar precios base superiores, incluso para clientes que no las pidieron o no pueden utilizarlas de forma sensata.

Microsoft demuestra que esta preocupación no es imaginaria. En 2025, Microsoft integró Copilot en Microsoft 365 Personal y Family y aumentó al mismo tiempo el precio en Estados Unidos tres dólares al mes. Existían opciones para cambiar a planes sin Copilot, pero la dirección estaba clara: la IA pasó a formar parte de una suscripción existente y de la justificación de un precio mayor.

También se especula con pasos parecidos en Apple, iCloud+ y un mayor uso de IA. Por ahora solo está confirmado que los límites superiores de IA están vinculados a determinados planes iCloud+. Un aumento general del precio de iCloud por la IA no es un hecho en el momento de publicar este artículo y no debería presentarse como tal.

Para los clientes de Sophos, la pregunta decisiva no es si Fusion es una licencia nueva hoy. La pregunta es qué ocurrirá en la próxima renovación:

• ¿Las funciones actuales de XDR y MDR seguirán al mismo precio?
• ¿Qué funciones de Fusion pasarán a complementos de pago?
• ¿Seguirán ofreciéndose los paquetes antiguos o se migrarán a niveles nuevos?
• ¿Podrán desactivarse las funciones de IA cuando no aporten valor?
• ¿Cómo se cobrarán en el futuro el volumen de datos, la conservación y la automatización?

No afirmaría que habrá una subida de precio no anunciada. Pero en contratos plurianuales pediría por escrito límites de precio, descripciones exactas del servicio y un plan de cancelación y exportación. Quien solo confíe en la promesa de que Fusion «no es un producto nuevo» está respondiendo a la pregunta equivocada.

El riesgo real es la dependencia creciente

El valor de Fusion aumenta cuantos más orígenes de datos y puntos de respuesta se conectan. Precisamente así aumenta también la dependencia.

Una organización que compre Endpoint, Firewall, Email, Identity, Switch, Wireless, XDR, MDR y SIEM de Sophos puede beneficiarse realmente de una correlación estrecha y una respuesta automatizada. Al mismo tiempo, el conocimiento operativo, las reglas de detección, los datos históricos, los procesos y los contratos pasan a un único fabricante.

Es el intercambio clásico de una plataforma: menos trabajo de integración hoy a cambio de costes de cambio mayores mañana.

Sophos anuncia que los productos de terceros existentes pueden seguir utilizándose y conectarse mediante integraciones abiertas. Es positivo. Aun así, nadie debería confundir «abierto» con «intercambiable». Un conector facilita la importación de datos. No garantiza que casos, contexto, consultas, automatizaciones y años de telemetría puedan exportarse sin pérdidas a otra plataforma.

El escepticismo es comprensible, especialmente con Sophos, porque los nombres, paquetes y prioridades estratégicas han cambiado repetidamente. Sophos Cloud se convirtió en Sophos Central. MTR pasó a MDR. Los niveles de MDR vuelven a cambiar de nombre. La larga historia de Intercept X se transformó en la historia de MDR, y ahora Fusion debe ser el término bajo el que se reúne todo.

La afirmación exagerada de que Sophos nunca mantiene un nombre de producto durante más de tres años no es cierta. Sophos Central ya cumplió diez años en 2023 e Intercept X también lleva muchos años en el mercado. El problema no es que todos los nombres desaparezcan enseguida. El problema es que los clientes deben reevaluar regularmente nuevas lógicas de paquetes, denominaciones, complementos y prioridades estratégicas.

Para los partners significa una nueva presentación cada vez. Para los clientes significa preguntarse cada vez si su licencia actual todavía contiene el producto que compraron originalmente.

Qué deben comprobar ahora clientes y administradores

Fusion no es motivo para cambiar de producto con prisas. Pero sí es una buena ocasión para inventariar con calma la arquitectura Sophos existente.

Primero hay que determinar qué productos y licencias están realmente presentes. No qué diapositiva de Fusion los cubre en teoría, sino qué fuentes de datos están activas en el tenant, qué periodos de conservación se aplican y qué respuestas funcionan hoy.

Después conviene probar un escenario de ataque realista. ¿Se aísla un endpoint? ¿Bloquea el firewall el acceso? ¿Aparecen las señales de identidad y correo en el mismo caso? ¿El analista todavía debe cambiar entre varias interfaces? ¿Se explica bien la decisión automatizada?

Para clientes de XDR y MDR también es relevante la transición a la nueva interfaz de Security Operations. Algunas integraciones de respuesta, incluidas Microsoft 365 y Okta, pueden requerir una nueva autorización. También deben revisarse los informes y flujos existentes, porque Sophos retira ciertos informes de MDR mientras los nuevos informes de autoservicio llegarán más adelante.

Antes de la próxima renovación deben ponerse sobre la mesa los límites comerciales: precio actual, precio esperado de renovación, funciones de Fusion incluidas, costes de almacenamiento y conservación en SIEM, AI Defense, nivel de MDR y opciones de exportación.

Por último, hace falta un plan de salida. No porque Sophos vaya a desaparecer mañana, sino porque toda buena arquitectura debería sobrevivir a un cambio de fabricante. ¿Qué registros pueden exportarse? ¿Qué funciones de firewall y endpoint siguen operativas sin conexión cloud? ¿Cuánto historial se pierde? ¿Qué integraciones habría que reconstruir?

Quien pueda responder estas preguntas utiliza Fusion de forma consciente. Quien no pueda, está siendo utilizado por Fusion.

Mi conclusión

Sophos Fusion es más que un logotipo nuevo, pero menos que la revolución que describe el marketing.

El valor real está en una conexión más estrecha entre telemetría, contexto y respuesta. Los clientes de XDR y MDR pueden beneficiarse especialmente de detectores de Secureworks, más integraciones, SOAR, acciones bidireccionales e investigaciones automatizadas más rápidas. Las señales adicionales de red, Workspace e identidad también pueden convertir alertas individuales en una visión general mejor.

Para un cliente con un único Sophos Firewall o una licencia básica de endpoint, el término Fusion cambia poco. Los productos no se vuelven más inteligentes solo porque ahora se llamen parte de un «Defense System». Sin licencias, fuentes de datos, configuración y respuestas autorizadas adecuadas, Fusion sigue siendo principalmente un nuevo título sobre Sophos Central.

Mi mayor preocupación, por tanto, no es la tecnología. Gran parte de ella tiene sentido.

Me preocupa la combinación de una marca paraguas, complementos, modelos de suscripción y dependencia creciente del fabricante. Sophos puede presentar casi cualquier ampliación futura como una pieza que falta en el sistema Fusion. Cuanto más compre un cliente, mejor podrá funcionar la defensa coordinada, pero más caro y difícil será salir.

Fusion no debería evaluarse preguntando: «¿Lleva IA?»

Las preguntas mejores son: ¿Qué detección concreta mejora? ¿Qué respuesta se acelera? ¿Qué trabajo desaparece para mi equipo? ¿Qué función cuesta más? ¿Qué datos puedo volver a sacar? ¿Y qué sucede con el precio en la próxima renovación?

Si Sophos responde con claridad y las promesas técnicas se cumplen en la operación diaria, Fusion puede ser una evolución sólida de Central.

Si no, Fusion será sobre todo la siguiente gran palabra con la que un fabricante envuelve productos conocidos, complementos nuevos y dependencias antiguas en un embalaje más moderno.

Hasta la próxima,
Joe

FAQ