Sophos Fusion: vero progresso o solo un altro nome?

A prima vista, Sophos Fusion sembra un nuovo prodotto. Il nome è grande, i video sono blu scuro, ovunque scorrono dati luminosi e, naturalmente, nel 2026 non può mancare il termine AI-native. Nel breve video introduttivo, Fusion vede tutto, collega tutto e risponde come un’unica entità.

Dopo 66 secondi, però, ne sappiamo poco più di prima.

Devo acquistare Sophos Fusion? Sostituisce Sophos Central? Serve una nuova licenza? Migliora il mio firewall? È la prossima generazione di XDR e MDR o solo una nuova etichetta su prodotti già esistenti?

La risposta breve è: Sophos Fusion non è una nuova licenza né un singolo prodotto. È il nuovo nome e il nuovo racconto architetturale attorno a Sophos Central. Dietro ci sono cambiamenti tecnici reali, soprattutto in XDR e MDR. Allo stesso tempo, Fusion è una logica commerciale costruita molto bene per vendere altri prodotti e add-on a pagamento.

Entrambe le cose possono essere vere.

Che cos’è davvero Sophos Fusion

Sophos descrive Fusion come un AI-Native Cybersecurity Defense System. All’inizio sembra una nuova categoria di prodotto, ma diventa più comprensibile scomponendo il termine di marketing.

Fusion dovrebbe collegare Sophos Endpoint, Firewall, Email, Cloud, Network, Identity, Workspace Protection, XDR e MDR ai dati di prodotti di terze parti in un’architettura condivisa. La telemetria confluisce in un archivio di contesto comune. Le rilevazioni non dovrebbero restare isolate nei singoli prodotti, ma poter attivare risposte automatizzate su altri punti di controllo. L’AI dovrebbe analizzare grandi volumi di avvisi e reagire entro limiti autorizzati, mentre le decisioni più rischiose restano alle persone.

Sophos indica cinque componenti:

• Control Points: I prodotti Sophos e gli strumenti di terze parti collegati forniscono dati e possono eseguire risposte.
• Unified Context Lake: La telemetria di queste fonti viene archiviata e valutata con un contesto comune.
• Synchronized Security: Una rilevazione in un punto può attivare una risposta altrove.
• Agentic Autonomy: L’AI può indagare e reagire entro limiti definiti.
• Compounding Intelligence: Le informazioni ottenute dalla base clienti protetta da Sophos dovrebbero migliorare la protezione per tutti.

Non è poco. Un endpoint compromesso, un utente sospetto, un’e-mail malevola e una connessione di rete insolita spesso appartengono allo stesso incidente. Se i segnali vengono osservati separatamente, una persona deve ricostruire con fatica i collegamenti. Se vengono uniti tecnicamente, rilevamento e risposta possono diventare più rapidi e precisi.

L’idea di fondo, però, non è nuova. Synchronized Security collega Sophos Endpoint e Sophos Firewall da anni. Sophos Central era già il livello di gestione comune. XDR raccoglie dati da più fonti, MDR li analizza come servizio e neppure il Data Lake è un concetto nato con Fusion.

Fusion è quindi meno la nascita di una piattaforma del tutto nuova e più il consolidamento, l’estensione e il cambio di nome di una strategia esistente. L’acquisizione di Secureworks porta tecnologia, rilevatori ed esperienza nelle operazioni di sicurezza. Il nuovo nome porta la storia con cui Sophos può vendere tutto questo come un grande salto.

Fusion è un nuovo prodotto o una nuova licenza?

No. Almeno non direttamente.

Sophos afferma esplicitamente che Fusion non è un prodotto separato, un bundle o una SKU propria. I clienti esistenti non devono ordinare nulla per entrare in Fusion. Sophos Central adotterà gradualmente il nome Fusion nei prossimi mesi, mentre i workflow esistenti dovrebbero continuare a funzionare.

Questa è la metà rassicurante della risposta.

L’altra metà è che attorno a Fusion nascono componenti realmente acquistabili. Tra questi ci sono Sophos Next-Gen SIEM, Sophos AI Defense e Sophos CISO Advantage. Le funzioni XDR e MDR più potenti restano legate alle relative licenze. Chi possiede soltanto Endpoint Protection o un firewall non riceve improvvisamente le capacità di un SOC grazie al nuovo marchio ombrello.

Si crea così una tipica logica di piattaforma:

• Fusion va acquistato separatamente? No, Fusion non ha una SKU propria.
• Sophos Central viene sostituito? Il servizio viene ulteriormente sviluppato e rinominato gradualmente Fusion.
• Tutte le funzioni AI saranno gratuite? No. Alcune sono incluse nei prodotti esistenti, altre arrivano come add-on o licenze superiori.
• Un singolo firewall migliora automaticamente? No. Il valore nasce da telemetria, integrazioni, licenze adatte e risposte abilitate.
• Fusion è solo marketing? No. Ma il marketing promette molta più unità di quanta un tenant misto offra automaticamente oggi.

Fusion non è dunque una nuova licenza. È però l’architettura sulla quale Sophos potrà spiegare e vendere molte licenze aggiuntive.

Il vero progresso è in XDR e MDR

Chi utilizza Sophos XDR o Sophos MDR riceve la parte più concreta della strategia Fusion. Le nuove funzioni dovrebbero essere distribuite gradualmente ai clienti tradizionali da agosto 2026; gli ambienti MSP seguiranno più tardi.

In Sophos XDR, una nuova interfaccia Security Operations sostituisce il precedente Threat Analysis Center. La tecnologia Secureworks porta rilevatori e logiche di rilevamento aggiuntivi. Arrivano inoltre regole personalizzate, più integrazioni, risposte bidirezionali e funzioni SOAR. Un analista non dovrebbe quindi soltanto vedere i dati di Microsoft 365, Okta o altre fonti, ma anche — in base a integrazione e permessi — attivare azioni in quei sistemi.

Questo è un vero progresso. Un’integrazione che importa solo log è utile. Un’integrazione che blocca un utente, isola un dispositivo o controlla un altro punto di sicurezza vale molto di più nell’operatività.

In Sophos MDR, la stessa architettura viene combinata con il servizio 24/7. L’AI dovrebbe assumere una parte maggiore di triage, indagine e risposta. Sophos cita i propri dati operativi: il 52% dei casi verrebbe gestito interamente dall’AI e il tempo medio tra avviso e risposta automatizzata sarebbe di 89 secondi.

Sono numeri forti, ma richiedono contesto. Gli 89 secondi valgono per i casi nei quali una risposta automatizzata è autorizzata e possibile. Non significano che ogni attacco venga risolto in 89 secondi. Il 52% non indica nemmeno che la metà più difficile dei casi non richieda persone. Sophos stessa sottolinea che i casi rimanenti richiedono giudizio umano.

È così che va interpretato: l’AI non è un SOC digitale magico che comprende ogni attacco. È un acceleratore per attività ricorrenti delimitabili con sufficiente chiarezza. Può essere molto prezioso, perché durante una compromissione attiva contano i secondi. Ma non sostituisce dati puliti, analisti qualificati o limiti di autorizzazione sensati.

Anche i nomi MDR cambiano di nuovo. MDR Essentials diventa MDR, mentre MDR Complete diventa MDR Plus. Sophos può definirla una semplificazione. Clienti e partner possono comunque infastidirsi quando i livelli di servizio devono essere nuovamente confrontati, documentati e spiegati al rinnovo.

Cosa cambia per i clienti Endpoint e Central

Per un cliente Sophos Endpoint, all’inizio il nome Fusion cambia poco. L’agente resta installato, le policy rimangono nella gestione centrale e le funzioni di protezione non scompaiono. L’endpoint viene però presentato con più forza come punto di controllo nel sistema complessivo.

La parte tecnica diventa interessante quando i segnali endpoint vengono correlati con identità, e-mail, rete e telemetria di terze parti. Un singolo avviso malware può diventare un caso collegato: poco prima l’utente ha effettuato un accesso insolito, ha aperto un messaggio sospetto e poi ha stabilito una connessione verso una nuova destinazione. Idealmente XDR o MDR vede un percorso d’attacco invece di quattro eventi isolati.

Ma vale anche qui una regola: un nuovo nome non crea dati. Chi possiede solo una licenza endpoint, non collega fonti aggiuntive e non autorizza risposte non ottiene lo stesso effetto di un ambiente XDR o MDR completamente integrato.

La frase «tutti i clienti Sophos fanno già parte di Fusion» è quindi formalmente corretta, ma in pratica fuorviante. Tutti utilizzano la stessa piattaforma strategica. Ciò non significa che tutti possiedano le stesse funzioni.

Cosa cambia per Sophos Firewall

Per gli amministratori firewall, la risposta più importante è piacevolmente poco spettacolare: Fusion non sostituisce SFOS e non introduce una nuova licenza Firewall. Il firewall resta un firewall, le regole locali restano locali e il nuovo marchio non rende un’appliance XGS esistente più veloce o stabile.

Fusion diventa rilevante quando il firewall viene integrato come sensore e punto di risposta in una catena più ampia. Le rilevazioni endpoint possono limitare l’accesso alla rete tramite Synchronized Security e Active Threat Response. La telemetria del firewall può completare le indagini XDR e MDR. Nuove API offrono ulteriori possibilità per la gestione centrale e AI Defense, comprese policy web, gruppi URL e regole.

Ha senso. Un firewall vede connessioni che sull’endpoint possono risultare incomplete o invisibili. Al contrario, l’endpoint comprende processi e contesto utente che mancano al firewall. Se le due prospettive vengono unite correttamente, il risultato supera la somma dei singoli log.

Nessuno dovrebbe comunque comprare un firewall solo perché sul sito compare Fusion. Le domande decisive restano le stesse:

• Quali dati fornisce davvero il firewall a XDR o MDR?
• Quali risposte possono essere attivate automaticamente?
• Quali licenze sono necessarie?
• Cosa succede se Central o la connessione Internet non sono disponibili?
• Quali funzioni restano locali e quali dipendono dal servizio cloud?

Anche il nuovo approccio Hardware-as-a-Service per gli MSP rientra nella strategia. Rapporti mensili per hardware, licenze e servizi possono semplificare l’acquisto. Ma legano anche il cliente più strettamente a Sophos e al partner che lo gestisce. Non è automaticamente negativo. Semplicemente non va venduto come necessità tecnica quando è anche un modello commerciale.

Switch, Wireless, Workspace, ZTNA, Email e ITDR

I numerosi annunci Sophos attorno al lancio di Fusion fanno sembrare che ogni prodotto stia diventando contemporaneamente parte di un grande nuovo sistema. In parte è vero.

Sophos Switch e gli Access Point AP6 forniscono ulteriori dati di connessione al Data Lake tramite Live Discover. Workspace Protection rende visibili i dati del Protected Browser e interrogabili via XDR. ITDR calcola un punteggio di rischio identità da configurazione, comportamento e problemi rilevati. Casi e notifiche e-mail vengono avvicinati all’interfaccia centrale Security Operations.

Sono elementi dai quali può nascere una visione più collegata. I segnali di rete e identità sono particolarmente preziosi, perché gli attacchi moderni raramente restano su un solo endpoint.

Altri annunci dello stesso mese sono semplicemente normale manutenzione di prodotto. Il supporto multi-dominio di ZTNA, la compatibilità con la beta di macOS, Config Studio 2.6 o nuove impostazioni di notifica non diventano automaticamente innovazioni Fusion perché arrivano nello stesso momento. Sophos continua a sviluppare i prodotti. È positivo, ma non dimostra che ogni prodotto reagisca già a tutti gli altri in tempo reale.

Qui aiuta una distinzione semplice:

• Telemetria disponibile: Un prodotto fornisce dati.
• Contesto disponibile: I dati vengono assegnati correttamente a un caso comune.
• Risposta disponibile: Un altro prodotto può eseguire un’azione utile.
• Automazione disponibile: La risposta può avvenire senza passaggio manuale o approvazione.

Solo quando funzionano tutti e quattro i livelli un’integrazione diventa un vero sistema di difesa. Il numero di loghi su una pagina di integrazioni dice sorprendentemente poco.

350 o 500 integrazioni non è la domanda più importante

La prima FAQ pubblica parlava di oltre 350 integrazioni di terze parti. L’attuale pagina Fusion ne indica oltre 500 tra Sophos e terze parti. I numeri possono cambiare per nuovi connettori, un metodo di conteggio diverso o l’inclusione dei prodotti Sophos.

Mostrano anche perché i numeri puramente commerciali vadano letti con cautela.

Un’integrazione può essere un connettore bidirezionale completo. Può anche soltanto importare eventi, fornire una query o basarsi su un’API che il cliente deve configurare. Cinquecento integrazioni non significano cinquecento possibilità di risposta equivalenti.

Per un cliente, cinque integrazioni ben supportate nel proprio ambiente valgono più di cinquecento loghi, 490 dei quali non verranno mai usati. Prima di decidere, per ogni fonte importante occorre chiarire:

• Quali dati vengono acquisiti?
• Quanto rapidamente sono disponibili?
• Quali campi e periodi di conservazione si applicano?
• L’integrazione è inclusa nel prodotto esistente?
• Fusion può solo vedere o anche reagire?
• Chi si assume il rischio di una risposta automatizzata errata?

Il termine architettura aperta suggerisce poca dipendenza dal fornitore. In realtà una piattaforma può essere aperta alle fonti di dati e allo stesso tempo creare un forte vincolo operativo. Più logica di rilevamento, conservazione, workflow e azioni risiedono in Fusion, più difficile diventa un cambiamento successivo.

Aperto in importazione non significa automaticamente aperto in uscita.

Cosa c’è davvero dietro l’AI

Sophos usa l’AI da anni per rilevamento malware, classificazione, prioritizzazione e Threat Hunting. Fusion aggiunge workflow agentici: il sistema dovrebbe raccogliere informazioni, formulare ipotesi, eseguire ulteriori query e reagire entro limiti definiti.

È molto più interessante di una finestra chat con bei riepiloghi. Un sistema che arricchisce un avviso con dati di identità e rete, scarta schemi benigni noti e isola un endpoint con sufficiente confidenza può davvero alleggerire il lavoro degli analisti.

Ma «AI-native» non risponde alle domande di sicurezza più importanti:

• Quali modelli o metodi prendono quali decisioni?
• Come vengono rilevate le decisioni errate?
• Quali azioni richiedono l’approvazione umana?
• Come vengono gestiti Prompt Injection e telemetria manipolata?
• Quali dati dei clienti alimentano addestramento o miglioramento continuo?
• Quali prove restano disponibili per audit e forensics?

Il Sophos AI Security 2026 Report è qui più interessante della pubblicità di Fusion. La ricerca Sophos non descrive l’AI come una nuova magica classe d’attacco. L’AI riduce i tempi, scala metodi esistenti e rende la difesa più difficile con velocità e volume. Allo stesso tempo, dimostrare l’uso concreto dell’AI in molti attacchi resta difficile.

La stessa sobrietà dovrebbe valere per la difesa. L’AI può accelerare indagine e risposta. Non trasforma una telemetria scadente in una buona, non sostituisce una strategia di identità e non corregge una vulnerabilità non patchata. Consentire agli agenti di agire richiede permessi, logging e limiti particolarmente chiari.

La domanda sui prezzi a cui Sophos non ha risposto

Al momento non è stata annunciata una tariffa Fusion. I clienti esistenti non sono obbligati a passare a una nuova licenza solo per il nuovo nome. Va detto chiaramente.

Ma è altrettanto chiaro che Sophos sta costruendo Fusion come motore di crescita. Le informazioni pubbliche per i partner parlano di soluzioni aggiuntive, ricavi ricorrenti, espansione presso i clienti esistenti e nuovi servizi. Next-Gen SIEM è un add-on. AI Defense sarà un add-on per clienti EDR, XDR o MDR. CISO Advantage verrà venduto come servizio MSP strutturato e ricorrente.

È un modello di business legittimo. Sophos non è un ente di beneficenza. Se SIEM conserva più dati, AI Defense rende visibile e controllabile l’AI generativa in azienda o un servizio CISO svolge lavoro reale, è ragionevole che costi.

Diventa problematico quando le funzioni AI vengono prima integrate nei prodotti esistenti e poi usate per giustificare prezzi base più alti, anche per clienti che non le hanno chieste o non possono utilizzarle in modo sensato.

Microsoft dimostra che il timore non è immaginario. Nel 2025 Microsoft ha integrato Copilot in Microsoft 365 Personal e Family aumentando contemporaneamente il prezzo negli Stati Uniti di tre dollari al mese. Esistevano opzioni per passare a piani senza Copilot, ma la direzione era chiara: l’AI è diventata parte di un abbonamento esistente e della giustificazione di un prezzo più alto.

Passi simili vengono ipotizzati per Apple, iCloud+ e un maggiore utilizzo dell’AI. Finora è confermato solo che limiti AI più elevati sono legati a determinati piani iCloud+. Un aumento generale del prezzo di iCloud per l’AI non è un fatto al momento dell’articolo e non va presentato come tale.

Per i clienti Sophos la domanda decisiva non è quindi se Fusion sia una nuova licenza oggi. È cosa succederà al prossimo rinnovo:

• Le funzioni XDR e MDR esistenti resteranno allo stesso prezzo?
• Quali funzioni Fusion passeranno ad add-on a pagamento?
• I vecchi pacchetti resteranno disponibili o migreranno a nuovi livelli?
• Le funzioni AI potranno essere disattivate se non portano valore?
• Come saranno fatturati in futuro volume dati, conservazione e automazione?

Non affermerei un aumento di prezzo non annunciato. Ma nei contratti pluriennali chiederei per iscritto limiti di prezzo, descrizioni esatte del servizio e un piano di recesso ed esportazione. Chi si affida solo alla promessa che Fusion «non è un nuovo prodotto» sta rispondendo alla domanda sbagliata.

Il vero rischio è la dipendenza crescente

Il valore di Fusion aumenta quando si collegano più fonti di dati e punti di risposta. Ed è proprio così che aumenta anche la dipendenza.

Un’organizzazione che acquista Endpoint, Firewall, Email, Identity, Switch, Wireless, XDR, MDR e SIEM da Sophos può davvero beneficiare di correlazione stretta e risposta automatizzata. Allo stesso tempo, conoscenze operative, regole di rilevamento, dati storici, processi e contratti passano a un unico fornitore.

È il classico scambio di piattaforma: meno lavoro d’integrazione oggi in cambio di costi di migrazione più alti domani.

Sophos sostiene che i prodotti di terze parti esistenti possano continuare a essere usati e collegati tramite integrazioni aperte. È positivo. Tuttavia, nessuno dovrebbe confondere «aperto» con «intercambiabile». Un connettore facilita l’importazione dei dati. Non garantisce che casi, contesto, query, automazioni e anni di telemetria possano essere esportati senza perdite verso un’altra piattaforma.

Lo scetticismo è comprensibile, soprattutto con Sophos, perché nomi, pacchetti e priorità strategiche sono cambiati ripetutamente. Sophos Cloud è diventato Sophos Central. MTR è diventato MDR. I livelli MDR vengono rinominati di nuovo. La lunga storia di Intercept X è diventata la storia di MDR, e ora Fusion dovrebbe essere il termine che riunisce tutto.

L’affermazione esasperata che Sophos non mantenga mai un nome di prodotto per più di tre anni non è vera. Sophos Central aveva già dieci anni nel 2023 e anche Intercept X è sul mercato da molto tempo. Il problema non è che ogni nome scompaia subito. Il problema è che i clienti devono rivalutare regolarmente nuove logiche di pacchetto, nomi, add-on e priorità strategiche.

Per i partner significa ogni volta una nuova presentazione. Per i clienti significa chiedersi ogni volta se la licenza attuale contenga ancora il prodotto acquistato in origine.

Cosa dovrebbero verificare ora clienti e amministratori

Fusion non è un motivo per cambiare prodotto in fretta. È però una buona occasione per inventariare con lucidità l’architettura Sophos esistente.

Per prima cosa bisogna stabilire quali prodotti e licenze siano davvero presenti. Non quale slide Fusion li copra in teoria, ma quali fonti siano attive nel tenant, quali periodi di conservazione si applichino e quali risposte funzionino oggi.

Poi va testato uno scenario d’attacco realistico. Un endpoint viene isolato? Il firewall blocca l’accesso? I segnali di identità ed e-mail compaiono nello stesso caso? L’analista deve ancora passare tra più interfacce? La decisione automatizzata viene spiegata bene?

Per i clienti XDR e MDR è rilevante anche il passaggio alla nuova interfaccia Security Operations. Alcune integrazioni di risposta, tra cui Microsoft 365 e Okta, possono richiedere una nuova autorizzazione. Vanno controllati anche report e workflow esistenti, perché Sophos ritira alcuni report MDR mentre i nuovi report self-service arriveranno più tardi.

Prima del prossimo rinnovo bisogna mettere sul tavolo i limiti commerciali: prezzo attuale, prezzo di rinnovo previsto, funzioni Fusion incluse, costi di archiviazione e conservazione SIEM, AI Defense, livello MDR e possibilità di esportazione.

Infine serve un piano di uscita. Non perché Sophos scomparirà domani, ma perché ogni buona architettura dovrebbe sopravvivere a un cambio di fornitore. Quali log possono essere esportati? Quali funzioni Firewall ed Endpoint continuano senza connessione cloud? Quanta cronologia si perde? Quali integrazioni andrebbero ricostruite?

Chi sa rispondere a queste domande usa Fusion consapevolmente. Chi non sa farlo viene usato da Fusion.

La mia conclusione

Sophos Fusion è più di un nuovo logo, ma meno della rivoluzione descritta dal marketing.

Il valore reale sta nel collegamento più stretto tra telemetria, contesto e risposta. I clienti XDR e MDR possono beneficiare soprattutto dei rilevatori Secureworks, di più integrazioni, SOAR, azioni bidirezionali e indagini automatizzate più rapide. Segnali aggiuntivi da rete, Workspace e identità possono trasformare singoli avvisi in una visione complessiva migliore.

Per un cliente con un solo Sophos Firewall o una licenza endpoint di base, invece, il termine Fusion cambia poco. I prodotti non diventano automaticamente più intelligenti perché ora fanno parte di un «Defense System». Senza licenze, fonti dati, configurazione e risposte autorizzate adeguate, Fusion resta soprattutto un nuovo titolo sopra Sophos Central.

La mia preoccupazione maggiore non è quindi la tecnologia. Molta della tecnologia ha senso.

Mi preoccupa la combinazione di marchio ombrello, add-on, abbonamenti e dipendenza crescente dal fornitore. Sophos potrà presentare quasi ogni estensione futura come elemento mancante del sistema Fusion. Più un cliente acquista, meglio può funzionare la difesa coordinata, ma più costosa e difficile diventa l’uscita.

Fusion non dovrebbe essere valutato chiedendo: «Contiene AI?»

Le domande migliori sono: quale rilevazione concreta migliora? Quale risposta diventa più rapida? Quale lavoro sparisce per il mio team? Quale funzione costa in più? Quali dati posso riprendere? E cosa succede al prezzo al prossimo rinnovo?

Se Sophos risponde con chiarezza e le promesse tecniche reggono nell’uso quotidiano, Fusion può essere una solida evoluzione di Central.

Altrimenti Fusion sarà soprattutto la prossima grande parola con cui un fornitore avvolge prodotti noti, nuovi add-on e vecchie dipendenze in una confezione più moderna.

Alla prossima,
Joe

FAQ