Sophos vs Fortinet 2026: firewall mana yang cocok?

Jika seseorang mencari Sophos vs Fortinet, biasanya itu bukan sekadar soal tabel perbandingan yang rapi. Biasanya ada keputusan pembelian nyata di baliknya: Firewall mana yang saya pasang di Main Office, mana yang saya taruh di Branches, platform mana yang bisa dioperasikan tim saya dengan bersih, dan solusi mana yang dalam tiga tahun tidak malah menciptakan lebih banyak pekerjaan daripada masalah yang diselesaikannya hari ini?

Karena itulah perbandingan ini lebih sulit daripada yang sering disiratkan slide vendor. Sophos Firewall dan Fortinet FortiGate bukan sekadar dua kotak dengan fitur yang sama dalam warna berbeda. Kedua produk berasal dari cara berpikir yang berbeda. Fortinet tumbuh kuat dari sisi jaringan, performance, ASICs, SD-WAN, dan Security Fabric. Sophos lebih kuat datang dari sudut pandang admin security dengan Sophos Central, Security Heartbeat, aturan firewall yang mudah dipahami, dan UI firewall yang bagi banyak admin cukup mudah diakses.

Saya sudah bekerja dengan banyak firewall dan pada dasarnya tidak akan menyebut diri saya sebagai fan religius vendor tertentu. Saat ini secara pribadi saya lebih condong ke Team Sophos, karena cara Sophos menyusun banyak hal dalam pekerjaan harian pada dasarnya cocok dengan saya. Tetapi jujur saja, saya bertanya-tanya sampai kapan. Pelan-pelan saya makin kesal dengan lamanya Sophos akhirnya menangani hal-hal tertentu. Itu bukan berarti saya membela Sophos secara buta. Sebaliknya: justru pada Sophos, saat ini saya terganggu oleh lambatnya beberapa topik penting bergerak maju. Jika analisis konfigurasi dan sekarang bahkan perubahan konfigurasi dipindahkan ke tool browser eksternal seperti Config Studio , karena UI firewall sebenarnya atau Sophos Central tidak menyediakan fungsi seperti itu dengan rapi, maka dari sudut pandang admin ini perkembangan yang sangat patut dipertanyakan. Ditambah lagi bug Sophos Firewall di v21.5 hingga v22 saat ini, yang dalam operasi harian mulai benar-benar berlebihan dan membebani kepercayaan yang seharusnya justru diperkuat oleh sebuah platform firewall.

Kesimpulan singkat: Sophos atau Fortinet?

Kalau harus saya padatkan, saya akan merumuskannya seperti ini:

Fortinet adalah pilihan yang lebih kuat jika performance, routing, SD-WAN, jaringan terdistribusi besar, kedalaman CLI, FortiManager, FortiAnalyzer, dan ekosistem Security Fabric yang luas menjadi prioritas. Siapa pun yang berasal dari dunia network engineering, nyaman dengan CLI dan profiles, serta ingin mengoperasikan banyak lokasi secara standar, akan menemukan banyak substansi di Fortinet. Fortinet terasa memberikan lebih banyak pergerakan per kuartal, tetapi kita juga harus hidup dengan kompleksitas yang lebih tinggi dan tekanan patch yang terasa nyata.

Sophos adalah pilihan yang lebih kuat jika tim security kecil atau menengah mencari firewall yang mudah dipahami, manajemen firewall terpusat yang baik, pengoperasian sederhana, fungsi on-box yang layak, dan logika operasional yang cenderung pragmatis. Terutama di lingkungan yang memang sudah menggunakan Sophos Central, firewall-nya bisa mendapat manfaat tambahan. Namun saya tetap akan membelinya terutama sebagai firewall, bukan karena produk tambahan. Sophos tampak lebih transparan dan di SFOS v22 juga lebih memperhatikan hardening, tetapi dalam keseharian admin, pengembangan produk terlalu sering terasa lambat.

Dengan kata lain: bagi saya, Sophos sering menjadi produk yang lebih baik untuk tim kecil dan menengah. Fortinet lebih sering menjadi platform yang lebih kuat untuk realitas yang lebih besar. Itu perbedaan penting. Produk yang baik mengurangi gesekan dalam pekerjaan harian. Platform yang kuat memberi lebih banyak kedalaman, lebih banyak komponen, dan lebih banyak kemungkinan scaling. Tergantung timnya, keduanya bisa menjadi jawaban yang tepat.

Tetapi: Fortinet membawa lebih banyak tekanan CVE dan patch, setidaknya jika melihat beberapa tahun terakhir dan juga advisory FortiOS saat ini. Sophos saat ini bagi saya lebih membawa frustrasi operasional karena pengembangan yang lambat, stagnasi UI, dan bug firmware. Keduanya nyata. Jadi kita tidak memilih antara “baik” dan “buruk”, melainkan antara dua profil risiko yang berbeda.

Rekomendasi jujur saya: Untuk UKM klasik, Sophos Central, jaringan yang masih terkelola ukurannya, dan tim admin yang tidak ingin hidup di CLI setiap hari, Sophos Firewall sering menjadi solusi yang lebih nyaman. Untuk lanskap jaringan yang lebih besar, SD-WAN yang menuntut, kebutuhan performance sangat tinggi, dan tim dengan fokus network engineering yang kuat, saya akan mengevaluasi Fortinet dengan sangat serius.

Cara saya menilai perbandingan ini

Perbandingan yang adil antara Sophos Firewall dan Fortinet FortiGate tidak boleh berhenti di “punya fitur X”. Di lingkungan nyata, pertanyaan lain yang lebih penting:

• Seberapa cepat seorang engineer bisa membangun perubahan rule dengan aman?
• Seberapa baik saya mengenali efek samping pada NAT, VPN, Web Protection, atau TLS Inspection?
• Seberapa banyak yang saya lihat di log saat sesuatu tidak berfungsi?
• Seberapa mahal paket totalnya dengan management, reporting, support, ZTNA, WAF, dan perlindungan email?
• Seberapa sering saya harus patching di malam hari?
• Seberapa andal HA, upgrade, dan Remote-Access-Clients berjalan?
• Seberapa bersih semuanya bisa diautomasi?
• Seberapa cocok platform ini dengan tim yang harus mengoperasikannya?

Karena itu saya juga tidak menyusun artikel ini sebagai “daftar fitur melawan daftar fitur”. Daftar fitur berguna, tetapi sering menipu lewat hal yang tidak disebutkan. Sebuah firewall secara teori bisa melakukan semuanya tetapi tetap menyebalkan dalam operasional harian. Atau ia bisa terlihat kurang spektakuler, tetapi justru menjadi alat yang lebih baik saat dioperasikan.

Perbandingan cepat

Security-Advisories dan disiplin patch

Sebelum membahas UI, SD-WAN, atau licensing, pada firewall kita harus membahas disiplin patch. Kedua vendor membuat perangkat edge. Keduanya langsung menjadi fokus penyerang. Dan keduanya dalam beberapa tahun terakhir memiliki celah keamanan yang tidak boleh diabaikan begitu saja.

Pada Fortinet tekanannya sangat terlihat. Advisory resmi FortiGuard menunjukkan beberapa kasus kritis yang relevan bagi admin: CVE-2024-47575 di FortiManager menurut Fortinet memungkinkan unauthenticated code execution dan dieksploitasi in the wild. CVE-2024-55591 dan CVE-2025-24472 memengaruhi FortiOS/FortiProxy dan bisa memberi penyerang hak Super-Admin. CVE-2025-59718 dan CVE-2025-59719 memengaruhi FortiCloud SSO Login di beberapa produk Fortinet dan juga ditandai sebagai exploited.

Itu bukan berarti Fortinet tidak aman. Artinya: siapa pun yang mengoperasikan FortiGate atau FortiManager membutuhkan proses PSIRT yang sangat disiplin. Management interfaces tidak boleh terbuka ke internet, akses FortiCloud-SSO dan admin harus di-hardening secara sadar, MFA wajib, dan versi firmware tidak boleh dibiarkan berbulan-bulan hanya karena “semuanya stabil”.

Sophos juga bukan tanpa cacat. Laporan Pacific Rim dari Sophos X-Ops justru layak dibaca karena Sophos di sana menjelaskan dengan sangat terbuka bagaimana kelompok berbasis China selama bertahun-tahun menyerang perangkat perimeter, termasuk Sophos Firewalls. Selain itu, pada akhir 2024 ada advisory Sophos Firewall kritis dengan CVE-2024-12727, CVE-2024-12728, dan CVE-2024-12729. Dalam kasus seperti ini Sophos sangat menekankan hotfix otomatis yang aktif secara default. Menurut saya itu keuntungan nyata, tetapi tidak menggantikan konsep upgrade dan hardening yang bersih.

Pandangan saya: Fortinet terasa lebih seperti “cepat, kuat, tetapi kamu harus terus mengikutinya”. Sophos sejak v22 tampak lebih memperhatikan Secure-by-Design dan transparansi, tetapi saat ini berjuang dengan lebih banyak frustrasi bug operasional. Di kedua dunia berlaku hal yang sama: minimalkan WAN management, paksa MFA, matikan portal yang tidak perlu, subscribe advisory, dan jangan perlakukan patch window sebagai sesuatu yang opsional.

Arsitektur security: dua filosofi berbeda

Pada Fortinet, FortiOS adalah pusatnya. FortiGate, FortiManager, FortiAnalyzer, FortiClient, FortiSwitch, FortiAP, FortiSASE, FortiWeb, FortiMail, dan banyak produk lain melekat pada ide Security Fabric. Dengan itu Fortinet tidak hanya menjual firewall, melainkan platform yang sangat besar, tempat network dan security diharapkan menyatu.

Secara teknis ini kuat. Dalam beberapa tahun terakhir Fortinet sangat konsisten mengembangkan SD-WAN, SASE, ZTNA, akselerasi ASIC, cloud firewalls, dan manajemen terpusat. Pendekatan hardware-nya menjadi pembeda nyata: tergantung model, Fortinet menggunakan Security Processing Units sendiri, yaitu Network Processors, Content Processors, atau Security Processors. Itulah alasan FortiGate dalam banyak datasheet terlihat begitu agresif pada IPsec, session handling, Threat Protection, dan SSL Inspection. Dengan FortiOS 8.0, Fortinet memosisikan platform ini lebih jauh ke arah kontrol AI, SASE, Post-Quantum-Kryptografie, dan SD-WAN yang disederhanakan. Apakah semua istilah marketing itu dibutuhkan dalam keseharian saat ini adalah pertanyaan lain. Tetapi arahnya jelas: Fortinet bergerak cepat dan sangat luas.

Sophos mengambil pendekatan berbeda. Sophos Firewall sangat diarahkan pada pengalaman admin yang mudah dipahami, Sophos Central, Security Heartbeat, Web Protection, WAF, VPN, SD-WAN, dan semakin banyak fungsi detection terintegrasi seperti NDR Lite dan Active Threat Response. Sophos tidak terlalu menjual gambaran sistem operasi jaringan yang sangat dalam, melainkan firewall yang juga bisa diadministrasikan dengan rapi tanpa tim spesialis jaringan murni.

Hardware XGS juga bukan sekadar “firewall x86 biasa”. Sophos menggabungkan Multi-Core-CPU dengan Xstream Flow Processor, sebuah NPU untuk FastPath-Offloading. Flow tepercaya dapat dipindahkan setelah pemeriksaan pertama, agar resource CPU tetap tersedia untuk TLS Inspection, DPI, IPS, dan tugas security berat lainnya. Ini bukan strategi ASIC mentah yang sama seperti Fortinet, tetapi jelas lebih baik daripada reputasi lama yang sebagian masih terbawa Sophos dari masa XG sebelumnya.

Dari sudut pandang security ini menarik. Jika firewall mendapat lebih banyak konteks tentang user, device, dan health status, itu lebih bernilai daripada blocklist terisolasi. Sophos dengan Security Heartbeat dan Synchronized Security sudah bertahun-tahun memiliki argumen bagus yang dalam operasional memang bisa membantu. Dengan SFOS v22, hadir tambahan topik Secure-by-Design seperti kernel yang di-hardening, control plane baru, Health Check, Remote Integrity Monitoring, integrasi NDR, dan Active Threat Response.

Masalah saya bukan arahnya. Masalah saya adalah kecepatan dan implementasinya. Sophos punya ide bagus, tetapi sering butuh waktu sangat lama sampai ergonomi admin benar-benar ikut menyusul. Banyak topik quality-of-life yang akan membuat instalasi besar jauh lebih nyaman sudah bertahun-tahun terbuka atau sekarang malah masuk ke tool eksternal. Dibandingkan itu, Fortinet terlihat lebih gelisah, lebih kompleks, tetapi juga jauh lebih cepat.

Aturan firewall dan NAT

Pada aturan firewall dan NAT, perbedaan antarplatform sangat cepat terasa.

Sophos lebih mudah dipahami bagi banyak admin. UI rule-nya jelas secara visual, zona ditonjolkan, konteks user dan app mudah dijangkau, dan banyak pengaturan berada di tempat yang kita harapkan. Terutama jika sebuah tim tidak setiap hari mendalami firewall, ini bisa menjadi keuntungan nyata. Sebuah rule di Sophos sering terbaca seperti objek operasional: source, destination, service, user, Web/IPS/App-Policies, logging. Itu mudah diakses.

Fortinet sebagai gantinya lebih presisi dan lebih dalam. Siapa pun yang mengenal FortiGate dengan baik mendapat sangat banyak kontrol melalui policies, objects, Central NAT, Policy NAT, VIPs, IP Pools, Proxy/Flow-Mode, profiles, dan CLI. Di lingkungan besar ini adalah keuntungan, karena standar dapat dimodelkan dengan lebih bersih. Pada saat yang sama, kedalaman ini bisa membuat tim baru kewalahan. FortiGate jarang terasa “sederhana” jika ingin dioperasikan dengan benar-benar rapi.

Menurut saya Sophos punya tiga kelemahan. Pertama, ruleset besar di GUI tidak senyaman yang seharusnya untuk dipelihara. Kedua, NAT rules dalam pekerjaan harian masih menjadi area tempat saya menginginkan fungsi clone, bulk edit, dan analisis yang lebih baik langsung di firewall. Ketiga, antarmuka WebAdmin pada banyak perubahan kecil masih terasa lebih lamban daripada yang seharusnya di 2026. Config Studio V2 membantu membaca, membandingkan, dan sekarang juga mengedit konfigurasi. Tetapi justru itulah poinnya: mengapa untuk workflow seperti itu saya harus keluar dari firewall sebenarnya?

Fortinet juga punya gesekan di sini. Siapa pun yang mengambil alih ruleset FortiGate yang buruk dokumentasinya bisa sama-sama terjebak dalam pertumbuhan objek liar, VIP historis, IP Pools lama, dan kekacauan profile. Tetapi Fortinet memberi engineer berpengalaman lebih banyak alat untuk mengoperasikan ruleset besar secara profesional, terutama dalam kombinasi dengan FortiManager.

Penilaian saya: Sophos menang dalam keterbacaan dan onboarding. Fortinet menang dalam kedalaman, scaling, dan kontrol engineering.

VPN, ZTNA, dan Remote Access

Remote Access adalah salah satu area tempat kedua vendor saat ini berada di bawah tekanan. SSL VPN klasik pada banyak vendor telah menjadi topik security dan operasi. Pada saat yang sama semua orang ingin bergerak ke ZTNA, karena akses user tidak lagi hanya berarti “tunnel ke jaringan”.

Sophos dengan Sophos Connect menawarkan IPsec maupun SSL VPN. Dengan SFOS v22 MR1, Sophos Connect 2.0 untuk macOS dengan dukungan SSL-VPN adalah langkah penting. Pada saat yang sama, Sophos menghapus varian Legacy-Remote-Access-IPsec lama di v22 MR1. Secara teknis itu bisa dipahami, tetapi secara operasional ini pemotongan keras: firewall dengan konfigurasi legacy lama tidak bisa begitu saja di-update ke v22 MR1 dan setelahnya.

Fortinet bergerak lebih jelas menjauh dari SSL-VPN-Tunnel klasik. Di FortiOS 7.6, SSL VPN pada model kecil dengan RAM 2 GB sudah dihapus, dan mulai FortiOS 7.6.3 SSL-VPN-Tunnel-Mode menurut Fortinet diganti oleh IPsec VPN. Konfigurasi SSL-VPN-Tunnel yang sudah ada tidak otomatis begitu saja diambil saat upgrade. Jadi siapa pun yang mengoperasikan FortiGate dengan Remote Access harus merencanakan migrasi IPsec atau ZTNA secara aktif dan tidak baru menyadari saat maintenance window bahwa arsitektur lama berakhir.

Untuk setup baru, pada Sophos saya akan bertanya dengan jelas: Apakah user benar-benar butuh akses penuh ke jaringan, atau ZTNA lebih bersih? Sophos ZTNA jauh lebih masuk akal ditempatkan di Sophos Central daripada gagasan VPN lama di firewall. Jika identity, device status, dan Central memang sudah menjadi bagian dari model operasional, Sophos di sini sangat menarik.

Fortinet juga punya ZTNA yang kuat dalam portfolio. FortiGate bisa menghubungkan keputusan ZTNA policy dengan FortiClient EMS dan informasi security posture. Fortinet lebih luas di sini, tetapi juga lebih kompleks. Sebagai gantinya, ini cocok untuk lingkungan lebih besar, tempat FortiClient EMS, FortiAuthenticator, FortiSASE, atau FortiManager memang sudah menjadi bagian arsitektur.

Pada Site-to-Site VPN, saya melihat Fortinet secara tradisional sangat kuat. IPsec, routing, integrasi SD-WAN, ADVPN, Hub-and-Spoke, lanskap Branch besar, dan debugging CLI adalah wilayah asli Fortinet. Sophos tentu juga bisa Site-to-Site IPsec, dan untuk banyak lingkungan itu sepenuhnya cukup. Tetapi begitu semuanya menjadi sangat besar, sangat dinamis, atau sangat berat routing, Fortinet terasa lebih matang.

Sebagai gantinya, Sophos punya RED dan SD-RED sebagai argumen kesederhanaan yang kuat. Untuk kantor cabang kecil yang harus terhubung tanpa spesialis jaringan lokal, konsep ini tetap menarik. Fortinet juga bisa menangani cabang dengan sangat baik, tetapi jalannya lebih khas Fortinet: kuat, detail, kurang “colok dan selesai”.

SD-WAN

Jika topik utamanya SD-WAN, Fortinet harus diperhitungkan serius. Fortinet telah banyak berinvestasi dalam Secure SD-WAN dan di pasar juga sangat dikenal karena itu. Performance-SLA, link monitoring, Application Steering, overlay designs, ADVPN, orkestrasi terpusat, FortiManager, FortiAnalyzer, dan koneksi SASE adalah paket yang sangat bulat jika direncanakan dengan bersih.

Sophos SD-WAN lebih pragmatis. Kita mendapat SD-WAN routes, gateway monitoring, profiles, orkestrasi VPN melalui Central, dan dengan SD-RED sebuah opsi Branch sederhana. Untuk banyak lingkungan UKM dan midmarket, itu cukup. Saya mengenal banyak jaringan yang tidak membutuhkan desain SD-WAN sangat kompleks. Di sana yang lebih penting adalah failover, prioritas, VoIP, SaaS, dan beberapa tunnel Branch berjalan dengan rapi.

Tetapi Fortinet unggul dalam keluasan. Jika pelanggan merencanakan banyak lokasi, beberapa underlay, jalur dinamis, application steering, template terpusat, reporting terdiferensiasi, dan modernisasi WAN jangka panjang, saya tidak akan meremehkan Fortinet. Sophos bisa mencakup banyak dari itu, tetapi Fortinet di sini terasa seperti vendor yang memperlakukan SD-WAN sebagai kompetensi inti. Sophos lebih terasa seperti SD-WAN adalah bagian penting firewall, tetapi bukan pusat identitas produk.

Dan di sini juga ada poin praktis: Sophos di v22 memiliki fix nyata seputar policy-based IPsec, SD-WAN routing, dan VPN traffic. Bahwa fix itu diperlukan bukan kriteria diskualifikasi, tetapi menunjukkan bahwa upgrade Sophos di lingkungan yang berat SD-WAN/VPN harus dites dengan sangat bersih.

Web Protection

Web Protection adalah area tempat Sophos menurut saya bekerja dengan nyaman. Categories, Web Policies, Exceptions, TLS Inspection, Malware Scanning, keterkaitan user, dan reporting relatif mudah dipahami. Untuk sekolah, UKM, dan jaringan perusahaan klasik, ini bisa sangat cocok karena banyak Web Policies tetap bisa dipahami tanpa pengetahuan spesialis yang terlalu dalam.

Fortinet juga kuat. FortiGuard Web Filtering, Application Control, Antivirus, DNS-Filter, SSL Inspection, DLP, dan Security Profiles sangat powerful. FortiGate memungkinkan kombinasi yang sangat halus dan di tangan yang berpengalaman punya kedalaman luar biasa. Sebagai konsekuensinya, pengoperasiannya kurang self-explanatory. Profiles, Inspection Modes, dan policy inheritance benar-benar harus dipahami.

Jadi perbedaannya bukan “siapa bisa Web Protection”, melainkan “siapa bisa mengoperasikannya dengan bersih di tim sendiri”. Sophos membuat awalnya lebih mudah. Fortinet memberi lebih banyak kenop pengaturan.

Untuk Security Engineers ada satu poin penting lagi: TLS Inspection bukan hanya fitur, melainkan model operasional. Distribusi sertifikat, exclusions, kategori banking/health/privacy, QUIC, HTTP/3, performance, troubleshooting, dan perlindungan data harus dijelaskan dengan bersih. Di sini saya tidak akan pernah memutuskan hanya berdasarkan datasheet. Saya akan menjalankan pilot nyata dengan aplikasi paling penting dan mengukur apa yang rusak dalam keseharian.

IPS dan TLS Inspection

Pada IPS dan TLS Inspection, kedua vendor hadir dengan janji kuat. Sophos berbicara tentang Xstream Architecture, Single Streaming DPI Engine, TLS-1.3-Inspection, dan FastPath untuk aplikasi tepercaya. Fortinet berbicara tentang FortiASIC, Security Processors, FortiGuard-Services, dan performance tinggi melalui hardware offloading.

Namun pertanyaan penentu bukan vendor mana yang punya slide arsitektur lebih cantik. Yang menentukan adalah profil beban apa yang benar-benar dimiliki:

• Seberapa banyak traffic yang benar-benar didekripsi?
• Berapa banyak user yang berada di belakang setiap appliance?
• Aplikasi mana yang berjalan stabil melalui TLS Inspection?
• Berapa banyak IPS profiles yang aktif?
• Exception apa yang diperlukan?
• Apa yang terjadi pada download besar, SaaS, VoIP, video conference, dan update?
• Bagaimana perilaku HA di bawah beban?

Fortinet punya keunggulan performance dalam banyak skenario, terutama jika hardware yang cocok dengan akselerasi ASIC digunakan dan desainnya sesuai. Sophos XGS juga kuat, tetapi pada Sophos saya akan memeriksa lebih detail seberapa banyak TLS Inspection dan IPS yang benar-benar berjalan bersamaan. Bukan karena Sophos pada dasarnya tidak mampu, melainkan karena angka marketing dalam praktik cepat menjadi tidak relevan begitu policy nyata, user nyata, dan exception nyata masuk.

Saran saya: Pada kedua vendor, jangan membeli appliance hanya berdasarkan throughput firewall teoritis. Yang relevan adalah throughput dengan fungsi perlindungan aktif yang benar-benar kalian butuhkan.

WAF dan Reverse Proxy

WAF adalah contoh bagus betapa berbedanya ekspektasi bisa terjadi.

Sophos Web Server Protection praktis untuk banyak skenario reverse proxy klasik. Kita bisa memublikasikan web server internal, mengelola sertifikat, menggunakan Let’s Encrypt, menetapkan policies, Form Hardening, URL Hardening, Cookie Signing, dan sekarang juga mempertimbangkan topik MFA. Untuk lingkungan kecil dan menengah, ini sering tepat seperti yang dibutuhkan.

Tetapi ini bukan Enterprise-WAF penuh dalam arti produk khusus dengan logika app security yang mendalam, bot management, API-Security, positive security yang luas, learning mode, dan workflow tuning besar. Sophos juga mendokumentasikan batas konkret: maksimal 60 WAF rules, tidak ada dukungan WebDAV, dan tidak ada dukungan untuk versi Microsoft Exchange setelah 2013 dalam WAF templates. WebSocket passthrough memungkinkan, tetapi Sophos sendiri menunjukkan bahwa karena format protokolnya, check tidak diterapkan. Jadi siapa pun yang ingin melindungi Nextcloud, skenario Exchange modern, APIs, atau aplikasi yang berat WebSocket dengan bersih harus mengetes dengan sangat detail.

FortiGate sendiri menawarkan fungsi WAF/Web-Application-Firewall dalam Security Profiles, tetapi dalam portfolio Fortinet, FortiWeb adalah produk WAF yang serius. Ini penting untuk perbandingan: Sophos Firewall memiliki WAF terintegrasi yang dalam keseharian bisa sangat berguna. Fortinet memiliki produk WAF khusus yang lebih kuat, tetapi tidak otomatis dalam logika operasional dan lisensi yang sama seperti FortiGate.

Pandangan praktis saya: Jika kalian ingin memublikasikan beberapa layanan web internal dengan rapi, Sophos sering nyaman. Jika WAF adalah topik AppSec strategis, saya tidak akan melihat Sophos Firewall maupun FortiGate saja sebagai jawaban, melainkan mengevaluasi arsitektur WAF khusus.

E-Mail Security

E-Mail Security dalam perbandingan firewall selalu agak tricky, karena banyak pelanggan sebenarnya tidak lagi ingin firewall menjadi layer mail security utama mereka. Di lingkungan Microsoft 365, keputusan terpenting sering berada pada Exchange Online Protection, Microsoft Defender for Office 365, DMARC, DKIM, SPF, awareness, post-delivery response, dan proses SOC yang bersih.

Di sisi firewall, Sophos memiliki MTA mode, mail policies, SPX encryption, dan fungsi perlindungan email klasik. Selain itu ada Sophos Email di Central, sekarang dengan Sophos Email Plus, DMARC Manager, dan fungsi message lainnya. Tentang Sophos Email Plus saya menulis terpisah: Sophos Email Plus: nilai tambah atau upsell? .

Tetapi harus jujur: E-Mail Security pada Sophos Firewall kini terasa usang. Bukan rahasia besar bahwa Sophos memang membiarkan modul ini tetap berjalan, tetapi selama bertahun-tahun tidak ada fungsi baru yang benar-benar relevan masuk ke sana. Secara strategis Sophos jelas ingin mendorong pelanggan lebih kuat ke arah Sophos Central dan Sophos Email. Secara teknis itu bisa masuk akal, tetapi dari sisi harga, bagi banyak pelanggan ini kembali jauh lebih mahal daripada model lama “kan sudah termasuk di firewall”.

Fortinet di FortiGate punya fungsi email filter, tetapi produk khusus sebenarnya adalah FortiMail. Jadi siapa pun yang menilai Fortinet secara serius untuk E-Mail Security harus melihat FortiMail dan bukan hanya daftar fitur FortiGate.

Pendapat saya: Hari ini saya tidak akan membeli firewall karena ia “juga bisa email”. Email terlalu penting. Jika stack yang ada adalah Microsoft 365, setiap solusi tambahan harus mampu bersaing dengan Microsoft Defender for Office 365 dan penyedia khusus. Sophos dengan Sophos Email punya tambahan yang dekat dengan Central, Fortinet dengan FortiMail punya produk spesialis yang matang. Firewall itu sendiri tidak lagi seharusnya menjadi argumen utama di sini.

Central Management

Sophos Central adalah salah satu argumen terkuat untuk Sophos jika bicara manajemen firewall. Melihat beberapa firewall secara terpusat, memeriksa versi firmware, backup, reporting, dan administrasi dasar dari cloud terasa nyaman dalam keseharian. Terutama untuk tim kecil, sangat bernilai tidak perlu mengoperasikan management appliance terpisah, sistem reporting sendiri, dan beberapa console.

Sophos Central bagi banyak admin terasa lebih mudah diakses daripada stack Fortinet klasik yang terdiri dari FortiGate, FortiManager, FortiAnalyzer, FortiClient EMS, dan komponen lain. Ini bukan argumen kecil jika tim hanya beberapa orang dan operasi firewall bukan satu-satunya pekerjaan.

Tetapi Sophos Central tidak otomatis lebih baik hanya karena terpusat. Fungsi dasarnya ada, tetapi banyak di antaranya terasa sama selama bertahun-tahun. Melihat beberapa firewall, memeriksa versi firmware, mengelola backup, dan rollout pengaturan sederhana: ya, bisa. Tetapi begitu kita menginginkan lebih dari “set pengaturan yang satu ini sama di mana-mana” atau menambahkan beberapa host object, semuanya cepat menjadi melelahkan. Mendorong global settings dengan bersih ke beberapa firewall belum benar-benar terselesaikan dengan rapi dan di lingkungan yang lebih kompleks cenderung menimbulkan sakit kepala ketimbang mengurangi pekerjaan.

Beberapa fungsi firewall lebih baik secara lokal daripada di Central. Beberapa workflow audit dan change belum terasa sedewasa yang seharusnya. Dan justru karena itulah Config Studio V2 bagi saya menjadi sinyal bermata dua: Ia menunjukkan bahwa Sophos memahami fungsi analisis dan editing yang dibutuhkan admin. Tetapi ia juga menunjukkan bahwa fungsi-fungsi itu tidak tinggal di tempat yang sebenarnya saya harapkan.

Fortinet berbeda di sini. FortiManager dan FortiAnalyzer adalah alat yang powerful, tetapi mereka produk tersendiri. Untuk lingkungan besar, itu bukan kelemahan, melainkan keuntungan. ADOMs, templates, revisions, central policy packages, reporting, logging, dan workflows cocok untuk operasi profesional. Untuk tim kecil, justru itu bisa terasa terlalu berat.

FortiGate Cloud berada di tengah. Ia bukan pengganti FortiManager untuk governance ketat, lingkungan besar, atau policy packages kompleks, tetapi bisa menyediakan manajemen terpusat yang disederhanakan, reporting, traffic analysis, configuration management, dan log retention tanpa management appliance sendiri. Ini penting, karena Fortinet tidak hanya terdiri dari “FortiGate lokal atau full FortiManager stack”. Meski begitu kesan saya tetap: begitu change governance, revisions, fleet management terpusat, dan histori log panjang menjadi serius, di Fortinet kita jauh lebih cepat masuk ke produk platform tambahan.

Penilaian saya: Sophos menang pada manajemen firewall berbasis cloud yang sederhana. Fortinet menang pada pengelolaan fleet firewall profesional di lingkungan lebih besar.

Logging dan Reporting

Bagi saya logging adalah fitur security, bukan sekadar kenyamanan. Jika log hilang, lambat muncul, atau sulit dikorelasikan, masalah firewall langsung berubah menjadi masalah detection.

Sophos menawarkan On-Box-Reporting dan Central Firewall Reporting. Ini praktis untuk banyak lingkungan, karena tanpa sistem tambahan sejenis FortiAnalyzer kita cepat mendapat tampilan yang bisa digunakan. Dalam dunia Sophos, ini cocok dengan ide bahwa tim kecil pun harus bisa melihat secara terpusat apa yang terjadi.

Dokumentasi resmi Sophos secara kasar membedakan tiga tingkat: data Central Firewall Reporting gratis hingga tujuh hari, Xstream Protection hingga 30 hari, dan Central Firewall Reporting Advanced hingga satu tahun. Dalam praktik, kegunaan sebenarnya tentu bergantung pada volume data yang dihasilkan dan modelnya. Meski begitu ini pendekatan yang baik, karena reporting tidak langsung dimulai sebagai proyek sendiri.

Tetapi di sini juga harus jujur: Central Firewall Reporting adalah cloud-only dan berbiaya tambahan. Dalam praktik, tergantung penawaran dan region, kita cepat berada kira-kira di atas 100 dollar per tahun per firewall untuk storage 100 GB. Itu bukan harga yang absurd mahal, tetapi juga bukan sekadar “gratis termasuk” jika kita membutuhkan histori dan data lebih banyak.

Logging pada appliance sendiri berfungsi, tetapi menurut saya tidak benar-benar dimaksudkan untuk mengevaluasi periode yang lebih panjang secara serius. Untuk troubleshooting beberapa hari itu cocok. Jika membutuhkan historical reports, evaluasi compliance, atau analisis bersih dalam jangka lebih panjang, kita kembali ke Central Firewall Reporting atau sistem log eksternal. Dan jika Log Viewer, database reporting, atau Central Uploads bermasalah, saya kehilangan kepercayaan. Kepercayaan pada log itu fundamental.

Fortinet kuat dengan FortiAnalyzer jika dioperasikan dengan benar. Produk ini bukan hanya frontend reporting yang cantik, melainkan bagian dari arsitektur operasional. Logs, events, reports, IOC, integrasi Fabric, dan evaluasi jangka panjang di sana jauh lebih matang daripada reporting minimal on-box. Kekurangannya: lagi-lagi ini komponen tambahan yang harus direncanakan, dilisensikan, dioperasikan, dan dipahami.

Untuk satu firewall, Sophos sering lebih sederhana. Untuk banyak firewall dan proses security operations yang nyata, FortiAnalyzer sulit diabaikan. FortiGate Cloud sebagian bisa menutup celah untuk setup Fortinet yang lebih kecil, tetapi itu tidak mengubah fakta bahwa Fortinet memikirkan workflow reporting dan analisis yang benar-benar kuat sebagai arsitektur platform.

API dan otomasi

Jika saya hanya melihat otomasi, Fortinet unggul bagi saya. FortiOS punya budaya CLI yang kuat, REST-API, opsi otomasi, workflow FortiManager, dan komunitas besar dengan banyak contoh. Siapa pun yang ingin mengoperasikan firewall sebagai infrastructure akan menemukan lebih banyak materi, lebih banyak kematangan, dan lebih banyak kedalaman engineering di Fortinet.

Sophos punya API dan meningkatkan akses secara bertahap. Tetapi secara konseptual ia tetap API firewall berbasis XML dengan HTTP-POST dan tag XML sendiri, bukan pengalaman REST yang paling nyaman. Di SFOS v22, kontrol akses API ditingkatkan, antara lain dengan IP host objects dan sumber yang diizinkan lebih luas. Config Studio V2 juga bisa mengeluarkan perubahan konfigurasi dalam bentuk API atau curl. Itu menarik.

Tetapi di sini kritik saya muncul lagi: Jika tool eksternal tiba-tiba menyediakan persiapan change, bulk analysis, dan output API yang lebih baik daripada pengalaman admin native, itu bukan murni kemajuan. Itu juga gejala. Sophos bergerak, tetapi bagi tim yang serius melakukan otomasi, Fortinet terasa lebih dewasa. Fortinet menyediakan FortiOS-REST-API, FortiManager-JSON-RPC, Terraform provider resmi, dan dukungan Ansible yang luas. Untuk NetOps dan change yang dapat diulang, itu tingkat kematangan yang berbeda.

Sophos cukup jika ingin mengotomasi tugas individual dan mendokumentasikan konfigurasi lebih baik. Fortinet lebih menarik jika perubahan firewall akan menjadi bagian dari disiplin NetOps atau GitOps yang lebih besar.

Performance

Performance adalah area tempat Fortinet secara tradisional tampil sangat percaya diri. Dan itu bukan tanpa alasan. Appliance FortiGate dengan FortiASICs dan Security Processors sangat diarahkan pada throughput dan offloading. Terutama pada rasio harga terhadap performance, Fortinet sering terlihat sangat menarik, khususnya pada appliance entry dan midrange.

Sophos XGS dengan Xstream Flow Processor juga jauh lebih baik daripada persepsi lama terhadap Sophos Firewall. Xstream FastPath, TLS Inspection, DPI, dan hardware modern tidak boleh diremehkan. Dalam banyak skenario UKM dan midmarket, Sophos benar-benar bisa didimensioning dengan cukup.

Namun satu poin sering terlewat: Xstream Flow Processor adalah keuntungan hardware appliance. Dalam deployment virtual di Azure, AWS, VMware, atau Hyper-V, keuntungan dedicated processor ini tidak ada. Dan justru ke sanalah semakin banyak workload firewall bergerak, setidaknya untuk cloud perimeter, lab environment, lokasi sementara, atau arsitektur hybrid. Karena itu saya tidak yakin berapa lama Sophos masih bisa menjadikan arsitektur yang berpusat pada hardware ini sebagai argumen yang begitu sentral.

Meski begitu, untuk performance murni dan jaringan terdistribusi besar, saya biasanya melihat Fortinet di depan. Itu bukan berarti Fortinet otomatis pilihan yang lebih baik. Performance yang tidak dibutuhkan tetap harus dibayar. Dan firewall cepat dengan policy yang dirawat buruk tetap menjadi risiko.

Pada saat yang sama, price-performance harus dilihat dengan bersih. Fortinet sering kuat pada throughput per appliance. Namun Sophos dalam paket sering menawarkan banyak nilai untuk uangnya, terutama jika Central Management, logika lisensi HA, Web Protection, WAF, dan kemudahan pengoperasian ikut dinilai. Pertanyaan pentingnya bukan: siapa punya angka datasheet terbesar? Pertanyaan yang benar adalah: platform mana yang mampu menjalankan policy set nyata kalian dengan IPS, TLS Inspection, Web Protection, VPN, logging, dan HA dengan cadangan cukup serta harga renewal yang masih bisa kalian terima?

HA dan stabilitas

High Availability adalah area tempat saya menjadi sangat tidak romantis. HA bukan untuk terlihat hijau cantik di dashboard. HA harus berfungsi tepat pada momen ketika denyut nadi sudah tinggi: firmware upgrade, masalah listrik, WAN outage, appliance rusak, risiko split-brain, log disk penuh, masalah sertifikat, perubahan routing.

Sophos punya argumen lisensi yang kuat pada HA. Licensing untuk pasangan Active-Passive menyenangkan dari sudut pandang pelanggan. Ini keuntungan nyata dan bisa relevan dalam pertimbangan TCO. Namun secara teknis harus dilihat teliti: Sophos sendiri mendokumentasikan bahwa saat failover tidak semua jenis traffic diperlakukan sama. Forwarded TCP termasuk NAT pada dasarnya tercakup, Web Requests bisa drop dan dicoba ulang oleh browser, dan IPsec memiliki batas sendiri tergantung tipe tunnel dan protokol.

Tetapi logika lisensi tidak menggantikan stabilitas. Dalam versi terakhir saya melihat terlalu banyak topik nyata pada Sophos: perubahan status HA, perilaku restart, masalah upgrade, topik logging disk, interfaces, WAF, Let’s Encrypt, dan layanan SSL-VPN. v22 MR1 membersihkan beberapa hal, tetapi justru itu juga menunjukkan bahwa v22 GA dan build awal bukan titik tempat banyak lingkungan bisa rollout dengan santai.

Fortinet juga punya bug. Siapa pun yang mengoperasikan FortiOS 7.2, 7.4, 7.6, atau jalur lebih baru mengenal masalah memory, Conserve Mode, regressions, dan pertanyaan umum patch train mana yang benar-benar stabil. Fortinet bukan malaikat stabilitas ajaib. Ditambah lagi tekanan CVE. FortiGate berada di tepi jaringan dan diserang intensif. Jika advisory PSIRT kritis datang, planned patch bisa cepat menjadi change mendesak.

Perbedaannya: Pada Fortinet saya cenderung merencanakan proses patch dan security advisory lebih kuat. Pada Sophos saat ini saya lebih kuat merencanakan kematangan firmware, bug, dan workaround operasional. Keduanya membutuhkan disiplin.

Licensing dan biaya

Pada licensing kita harus sangat hati-hati, karena harga sangat bergantung pada region, durasi, bundle, renewal, model, jalur pembelian, dan negosiasi. Saya tidak akan menyebut angka jika tidak memilikinya secara bersih dari penawaran konkret.

Secara umum Sophos sering terasa lebih sederhana. Xstream Protection, Central Firewall Management, Central Firewall Reporting, licensing HA, dan gagasan bundle firewall yang relatif jelas membuat diskusi lebih mudah dikelola. Itu tidak otomatis berarti Sophos lebih murah. Tetapi cerita pembeliannya sering lebih mudah dijelaskan.

Namun satu hal pada Sophos terus-menerus membuat saya heran: logika harganya kadang terasa seperti diskounter murah, dengan setiap produk sedang didiskon entah bagaimana. Hampir selalu ada promo, sering beberapa sekaligus. Itu bukan berarti Sophos tidak serius. Produknya serius, dan diskonnya bisa sangat menarik bagi pelanggan. Tetapi kesan luarnya kadang aneh. Jika rasanya semua orang selalu mendapat harga khusus, lama-lama kita bertanya-tanya apa arti list price sebenarnya.

Fortinet sering terlihat sangat menarik pada harga appliance dan performance. Ini bisa sangat kuat terutama pada model FortiGate kecil dan menengah. Tetapi total price cepat bergantung pada FortiGuard bundles, FortiManager, FortiAnalyzer, FortiClient EMS, FortiAuthenticator, FortiSASE, FortiWeb, FortiMail, support level, dan model operasional. Maka Fortinet tidak lagi sekadar “appliance cepat murah”, melainkan platform dengan banyak komponen.

Saran saya: Jangan membandingkan firewall melawan firewall, tetapi target architecture melawan target architecture. Jadi Sophos Firewall plus Central Management, Reporting, ZTNA, atau E-Mail hanya jika benar-benar dibutuhkan melawan FortiGate plus FortiManager, FortiAnalyzer, FortiClient, FortiSASE, FortiMail, atau apa pun yang benar-benar diperlukan. Baru setelah itu TCO terlihat.

Support

Support sulit dibandingkan secara adil, karena pengalaman sangat bergantung pada support level, region, dan case konkret. Meski begitu support bisa menentukan keputusan pembelian.

Dalam praktiknya di tempat kami seperti ini: Jika kami membuka support case di perusahaan, itu jarang pertanyaan sederhana. Hal-hal sederhana biasanya diselesaikan sendiri oleh Security Engineer. Yang sampai ke vendor adalah kasus yang kompleks, sulit direproduksi, atau berada jauh di dalam produk. Kasus seperti itu memang butuh waktu lebih lama, tidak peduli vendornya.

Saya tidak ingin benar-benar menilai support Fortinet, karena sudah terlalu lama sejak terakhir kali saya menggunakannya secara aktif. Tidak adil menjadikan itu penilaian keras hari ini.

Support Sophos dulu benar-benar buruk. Itu harus dikatakan sejelas itu. Sekarang menurut saya sudah cukup baik, tetapi masih sangat bergantung pada support engineer yang kebetulan didapat. Kadang kita mendapat seseorang yang memahami masalah dan melakukan eskalasi dengan rapi. Kadang setelah dua jawaban sudah terasa bahwa kita harus melewati pertanyaan standar dulu, padahal masalahnya jelas sudah lebih dalam.

Untuk kedua vendor berlaku: jalur eskalasi yang baik sangat berharga. Terutama pada firewall, kita tidak hanya membeli hardware dan lisensi, tetapi juga kemampuan untuk dalam keadaan darurat cepat mencapai seseorang yang benar-benar memahami produknya.

Usability dalam keseharian

Di sini Sophos sering menang pada pandangan pertama. UI firewall-nya bagi banyak orang lebih mudah dipahami. Kita lebih cepat menemukan yang dicari. Rule lebih mudah dibaca. Banyak fungsi dijelaskan dengan baik. Untuk tim yang tidak setiap hari membangun firewall, ini keuntungan nyata.

Fortinet terasa sangat baik bagi engineer berpengalaman setelah logikanya dipahami. CLI powerful, strukturnya konsisten, debugging bisa sangat dalam, dan banyak hal bisa diekspresikan dengan presisi. Tetapi learning curve lebih curam.

Sophos kehilangan poin ketika ruleset menjadi besar dan kita sadar bahwa bulk operations, change diffs, object cleanup, NAT cloning, audit trails yang lebih baik, dan fungsi pencarian yang lebih dalam tidak se-elegan yang seharusnya. Di sinilah Config Studio V2 sekaligus menarik dan menjengkelkan. Saya suka idenya: konfigurasi bisa dibaca, dibandingkan, dan dipersiapkan dengan lebih baik. Tetapi saya menganggap sangat patut dipertanyakan bahwa Sophos tidak menyediakan fungsi admin seperti itu lebih konsekuen di SFOS atau Sophos Central sendiri.

Fortinet kehilangan poin jika sebuah tim tidak punya minat atau waktu untuk benar-benar mempelajari FortiOS. FortiGate yang dioperasikan buruk bisa sangat cepat menjadi tidak jelas. Fortinet memberi imbalan pada pengetahuan. Sophos pada awalnya lebih memaafkan.

Kecepatan pengembangan dan roadmap

Poin ini bagi saya saat ini salah satu yang paling penting.

Fortinet terasa cepat. Kita bisa memutar mata terhadap istilah marketing seperti AI, Fabric, SASE, dan Quantum-Safe, tetapi Fortinet terus menghadirkan topik platform baru, memelihara FortiOS secara luas, terus mengembangkan SD-WAN dan SASE, dan dengan FortiOS 8.0 sudah punya narasi besar berikutnya di pasar.

Sophos terasa lebih lambat. SFOS v22 membawa topik arsitektur penting, dan v22 MR1 adalah langkah yang diperlukan. Tetapi banyak topik ergonomi admin terasa terlalu lambat selama bertahun-tahun. UI firewall tidak berkembang secepat yang saya inginkan. Central Firewall Management membantu, tetapi tidak cukup dalam di semua tempat. Dan Config Studio V2 bagi saya hampir menjadi simbol sempurna: Sophos membangun fungsi yang masuk akal, tetapi di luar tempat kerja sebenarnya.

Ini bukan hanya soal selera. Kecepatan pengembangan memengaruhi biaya operasi. Jika sebuah vendor membiarkan sepuluh rasa sakit kecil admin selama bertahun-tahun, setiap tim membayarnya dalam klik, workaround, dokumentasi, troubleshooting, dan frustrasi. Fortinet lebih cepat menghadirkan fungsi yang terlihat, tetapi juga membawa lebih banyak risiko melalui keluasan fitur, migrasi, dan tekanan advisory. Sophos lebih lambat, tetapi terlihat berinvestasi pada hardening, Health Check, dan arsitektur internal. Pertanyaannya adalah tradeoff mana yang lebih cocok dengan operasi kalian.

Karena itu kesimpulan saya di sini jelas: Fortinet tampak lebih dinamis secara strategi produk. Sophos sering tampak lebih pragmatis, tetapi terlalu lambat. Siapa pun yang membeli Sophos hari ini sebaiknya tidak hanya memeriksa daftar fitur saat ini, tetapi juga jujur bertanya apakah bisa hidup dengan tempo pengembangannya.

Di mana Sophos jelas masuk akal

Saya akan sangat serius memilih Sophos Firewall jika beberapa poin ini berlaku:

• Kalian sudah menggunakan Sophos Central secara intensif untuk firewall management atau memang menginginkan model operasional ini.
• Tim admin kecil dan membutuhkan antarmuka yang mudah dipahami.
• Arsitektur jaringan tidak ekstrem besar atau berat routing.
• Security Heartbeat, Active Threat Response, dan tampilan firewall terpusat lebih penting daripada kedalaman CLI maksimal.
• Licensing HA dan logika platform sederhana menentukan keputusan pembelian.
• Web Protection, WAF untuk skenario reverse proxy umum, dan SD-WAN yang masih terkelola ukurannya sudah cukup.
• Kalian ingin solusi yang bisa dioperasikan bersama oleh Security Engineers dan generalist admins.

Sophos bukan firewall yang akan saya pilih jika saya mencari sistem operasi jaringan yang paling dalam secara teknis. Tetapi ia bisa menjadi firewall yang lebih baik jika operasi nyata harus lebih sederhana, lebih terintegrasi, dan lebih mudah dipahami.

Di mana Fortinet jelas masuk akal

Saya akan memilih Fortinet jika poin-poin ini menjadi prioritas:

• Banyak lokasi, routing kompleks, atau SD-WAN yang menuntut.
• Kebutuhan kuat pada FortiManager, FortiAnalyzer, templates, dan manajemen policy terpusat.
• Kebutuhan performance tinggi dengan IPS, TLS Inspection, dan VPN.
• Tim yang benar-benar menguasai CLI, debugging, dan arsitektur Fortinet.
• Fortinet Security Fabric sudah ditetapkan secara strategis.
• FortiSASE, FortiClient EMS, FortiMail, FortiWeb, atau FortiAnalyzer menjadi bagian dari target architecture.
• Posisi pasar, scaling, dan ekosistem teknis luas menjadi kriteria penting.

Fortinet tidak otomatis lebih nyaman. Tetapi di lingkungan besar dan menuntut secara teknis, ia sering menjadi platform yang lebih kuat.

Alternatif FortiGate: Apakah Sophos alternatif yang baik?

Ya, Sophos bisa menjadi alternatif FortiGate yang sangat baik, tetapi tidak di setiap skenario.

Jika seseorang mencari “Fortigate Alternative”, biasanya maksudnya: Saya ingin kompleksitas lebih rendah, stres CVE Fortinet lebih sedikit, antarmuka yang lebih nyaman, atau manajemen firewall terpusat yang lebih sederhana. Tepat di situ Sophos menarik. Sophos Firewall bukan salinan FortiGate, melainkan model operasional yang berbeda.

Sebaliknya, siapa pun yang menggunakan FortiGate karena SD-WAN, performance, FortiManager, FortiAnalyzer, CLI, dan operasi jaringan besar tidak otomatis akan merasa Sophos sebagai pengganti. Migrasi bisa dilakukan, tetapi harus jujur memeriksa fungsi Fortinet mana yang benar-benar digunakan. Terutama pada ADVPN, NAT kompleks, banyak VDOM, FortiManager templates, dan penggunaan FortiAnalyzer yang mendalam, perpindahan ke Sophos bisa menjadi lebih berupa proyek daripada sekadar ganti produk.

Begini cara saya akan menguji kedua firewall

Jika keputusan benar-benar terbuka, saya tidak akan mulai dari datasheet. Saya akan mulai dengan lab kecil yang tidak nyaman tapi realistis. Bukan traffic synthetic best-case, melainkan tepat hal-hal yang nanti membuat masalah dalam operasi.

Tes pertama adalah tes ruleset. Saya akan membangun rule tipikal: client ke internet dengan Web Protection dan TLS Inspection, server ke server dengan service terbatas, DNAT untuk aplikasi web internal, akses hairpin dari LAN, Site-to-Site-VPN, beberapa user group, dan exception terarah. Setelah itu saya akan memeriksa seberapa cepat engineer lain memahami apa yang dibangun. Kedengarannya sepele, tetapi ini sangat jujur. Firewall yang hanya dipahami admin awal bukan model operasional yang baik.

Tes kedua adalah tes troubleshooting. Saya akan sengaja memasukkan kesalahan: NAT salah, TLS Inspection rusak, aplikasi SaaS diblokir, IPS false positive, VPN phase 2 mismatch, masalah DNS, return path asimetris. Lalu saya akan mengukur seberapa cepat tim dengan logs, packet capture, policy lookup, CLI, dan reporting sampai ke akar masalah. Di sini usability sangat cepat terpisah dari marketing.

Tes ketiga adalah tes change. Bagaimana rasanya perubahan nyata? Membuat object, menggunakannya di beberapa rule, mengaktifkan logging untuk beberapa rule, clone NAT, membuat web exception, memindahkan policy, memahami diff, menyiapkan rollback, mendokumentasikan perubahan. Sophos pada awalnya sering lebih nyaman, Fortinet menjadi lebih kuat dengan CLI, FortiManager, dan automation begitu perubahan harus bisa diulang.

Tes keempat adalah tes upgrade dan HA. Saya tidak akan pernah membeli platform tanpa sebelumnya menjalankan firmware upgrade dengan HA, VPN, WAF, Web Protection, TLS Inspection, dan logging. Pada Sophos, saat ini saya terutama tertarik apakah versinya benar-benar cukup matang dan apakah bug yang diketahui mengenai use case saya. Pada Fortinet, saya terutama tertarik patch train mana yang dianggap stabil dan seberapa cepat saya bisa bereaksi terhadap advisory PSIRT kritis.

Tes kelima adalah tes biaya dan model operasional. Bukan “berapa harga appliance?”, melainkan: Berapa biaya target architecture termasuk management, reporting, support, Remote Access, ZTNA, WAF, komponen email, HA, perangkat cadangan, monitoring, dan kemampuan eskalasi? Fortinet bisa terlihat sangat menarik pada perangkat dan kemudian menjadi lebih kompleks lewat komponen tambahan. Sophos bisa terlihat lebih sederhana, tetapi jika produk tambahan dan fungsi Central tidak benar-benar cocok, semuanya juga tidak otomatis murah di sana.

Baru setelah tes-tes ini saya akan mengambil keputusan. Dan jika sebuah vendor di lab saja sudah menyebalkan pada tugas harian sederhana, dalam operasi nyata ia jarang tiba-tiba menjadi ajaib lebih baik.

Rekomendasi pribadi saya

Jika seorang Security Engineer bertanya kepada saya: “Sophos Firewall vs Fortinet, apa yang harus saya beli?”, saya tidak menjawab dengan nama vendor. Saya bertanya dulu tentang tim, model operasional, dan risiko.

Untuk UKM dengan sedikit lokasi, Remote Access normal, SD-WAN yang masih terkelola, Sophos Central, dan tim admin kecil, saya akan sangat serius merekomendasikan Sophos. Bukan karena Sophos lebih baik di semua tempat. Melainkan karena firewall dalam konteks ini sering lebih mudah dioperasikan dan menuntut lebih sedikit pengetahuan spesialis dalam keseharian.

Untuk perusahaan dengan banyak lokasi, tim jaringan kuat, SD-WAN yang menuntut, kebutuhan performance tinggi, dan pengelolaan fleet firewall terpusat secara profesional, saya akan sangat serius merekomendasikan Fortinet. Bukan karena Fortinet bebas risiko. Melainkan karena platform ini memainkan kekuatannya di sana.

Apakah saya tetap melihat Sophos secara kritis hari ini? Ya. Sangat. Sophos harus lebih cepat. Firewall membutuhkan lebih banyak ergonomi admin native, workflow bulk yang lebih baik, fungsi Central yang lebih kuat, dan lebih sedikit konstruksi bantu eksternal. Config Studio berguna, tetapi tidak boleh menjadi alasan untuk membiarkan platform inti berjalan lambat.

Apakah saya melihat Fortinet secara kritis? Sama, ya. Fortinet powerful, tetapi kompleks. Attack surface-nya menonjol, perangkat FortiGate sering langsung berada di edge, dan advisory PSIRT kritis adalah bagian dari realitas. Siapa pun yang mengoperasikan Fortinet membutuhkan proses patch dan hardening yang disiplin. “Sudah berjalan tiga tahun, jangan disentuh” bukan strategi pada Fortinet.

Pada akhirnya yang menang bukan vendor dengan daftar fitur terpanjang. Yang menang adalah platform yang bisa dioperasikan tim kalian dengan aman, bersih, dan berkelanjutan.

Hal yang sengaja dibiarkan terbuka dalam perbandingan ini

Saya sengaja tidak memasukkan tabel benchmark generik. Angka throughput tanpa model identik, paket lisensi identik, porsi TLS identik, inspection mode identik, dan traffic mix identik cepat menjadi lebih banyak teater daripada teknik. Kedua vendor bisa menunjukkan angka mengesankan. Keduanya jatuh jika salah dimensioning atau dioperasikan dengan ekspektasi tidak realistis.

Saya juga sengaja tidak berpura-pura bahwa WAF, E-Mail Security, ZTNA, Reporting, atau pengelolaan fleet terpusat adalah fitur firewall murni. Dalam proyek nyata, itu hampir selalu keputusan arsitektur. Pada Sophos banyak hal bergantung pada Sophos Central dan subscription yang cocok. Pada Fortinet banyak hal bergantung pada FortiManager, FortiAnalyzer, FortiClient EMS, FortiMail, FortiWeb, atau FortiGate Cloud. Siapa pun yang hanya membandingkan checkbox firewall pada akhirnya tidak membandingkan sistem yang nanti benar-benar dioperasikan.

Dan justru karena itu perbandingan ini tetap menarik: Sophos lebih mudah disukai. Fortinet lebih mudah dibayangkan dalam skala besar. Sisi mana yang lebih baik tidak terlalu ditentukan datasheet, melainkan pertanyaan seberapa matang operasi kalian sebenarnya.

FAQ tentang Sophos vs Fortinet

Kesimpulan

Saya sendiri benci jika perbandingan tidak menunjukkan pemenang yang jelas. Kita membaca artikel panjang, ingin jawaban di akhir, lalu muncul lagi “tergantung”. Tetapi pada Sophos vs Fortinet, memang benar-benar tidak sesederhana itu. Keduanya vendor mapan, keduanya punya kekuatan nyata, keduanya punya kelemahan nyata, dan keduanya bisa menjadi pilihan yang lebih baik di lingkungan yang tepat.

Sophos adalah firewall yang lebih manusiawi. Lebih mudah dipahami, lebih terintegrasi, sering lebih nyaman untuk tim kecil, dan kuat jika Sophos Central memang sudah ditetapkan. Tetapi Sophos harus berhati-hati agar tidak kehilangan kepercayaan karena pengembangan lambat dan tool admin yang dipindahkan keluar.

Fortinet adalah platform jaringan yang lebih powerful. Lebih cepat, lebih dalam, lebih kuat pada SD-WAN, management, dan performance. Tetapi Fortinet menuntut lebih banyak disiplin, lebih banyak know-how, dan proses patch yang sangat serius.

Jika saya harus membeli hari ini, saya tidak akan bertanya: “Firewall mana yang punya lebih banyak fitur?” Saya akan bertanya: “Platform mana yang masih bisa dioperasikan tim saya dengan bersih pada minggu-minggu buruk?”

Saya akan memperbarui situasi ini lagi pada 2027. Jika Sophos terlihat mengejar dalam tempo pengembangan, Central Management, dan firewall UX, atau Fortinet menjadi lebih baik dalam disiplin patch, kompleksitas, dan model operasional, itu harus masuk ke penilaian. Perbandingan seperti ini bukan keputusan religius untuk selamanya, melainkan snapshot dengan tanggal kedaluwarsa.

Bagi saya, itulah jawaban sebenarnya.

Sampai lain waktu,
Joe kalian

Sources

• Sophos Firewall v22 release notes
• Sophos Central Firewall reporting storage
• Sophos Firewall architecture and FastPath documentation
• Sophos Pacific Rim report
• Sophos Firewall WAF rules documentation
• Fortinet Secure Processors overview
• FortiOS 7.6.3 SSL VPN tunnel mode migration notice
• Fortinet PSIRT advisories