Sophos Fusion: progresso real ou apenas outro nome?

À primeira vista, o Sophos Fusion parece um produto novo. O nome é grande, os vídeos são azul-escuro, há fluxos de dados luminosos por todo o lado e, naturalmente, em 2026 não podia faltar o termo AI-native. No curto vídeo de apresentação, o Fusion vê tudo, liga tudo e responde como uma unidade.

Depois de 66 segundos, continuamos a saber pouco mais do que antes.

Tenho de comprar o Sophos Fusion? Substitui o Sophos Central? Preciso de uma licença nova? Melhora a minha firewall? É a próxima geração de XDR e MDR ou apenas um novo rótulo para produtos que já existiam?

A resposta curta é: o Sophos Fusion não é uma licença nova nem um produto individual. É o novo nome e a nova narrativa arquitetónica em torno do Sophos Central. Existem mudanças técnicas reais, sobretudo em XDR e MDR. Ao mesmo tempo, o Fusion é uma lógica comercial muito bem construída para vender produtos adicionais e extras pagos.

As duas coisas podem ser verdadeiras.

O que é realmente o Sophos Fusion

A Sophos descreve o Fusion como um AI-Native Cybersecurity Defense System. Parece uma nova categoria, mas torna-se mais claro quando desmontamos o termo de marketing.

O Fusion pretende ligar Sophos Endpoint, Firewall, Email, Cloud, Network, Identity, Workspace Protection, XDR e MDR a dados de terceiros numa arquitetura comum. A telemetria entra num repositório de contexto partilhado. As deteções não devem ficar isoladas em cada produto: podem desencadear respostas automatizadas noutros pontos de controlo. A IA analisa grandes volumes de alertas e reage dentro de limites autorizados, enquanto as decisões de maior risco continuam humanas.

A Sophos apresenta cinco componentes:

• Control Points: Produtos Sophos e ferramentas de terceiros fornecem dados e executam respostas.
• Unified Context Lake: A telemetria é guardada e avaliada com contexto comum.
• Synchronized Security: Uma deteção num ponto pode provocar uma resposta noutro.
• Agentic Autonomy: A IA pode investigar e reagir dentro de limites definidos.
• Compounding Intelligence: O conhecimento da base protegida pela Sophos deve melhorar a proteção de todos.

Isto tem valor. Um endpoint comprometido, um utilizador suspeito, um e-mail malicioso e uma ligação de rede anómala pertencem muitas vezes ao mesmo incidente. Separados, obrigam uma pessoa a reconstruir as relações. Juntos, podem tornar deteção e resposta mais rápidas e precisas.

A ideia, porém, não é nova. O Synchronized Security liga Endpoint e Firewall há anos. O Central já era a gestão comum. O XDR reúne várias fontes, o MDR investiga-as como serviço e um Data Lake também não nasceu com o Fusion.

O Fusion é, portanto, menos uma plataforma totalmente nova e mais a consolidação, expansão e mudança de nome de uma estratégia existente. A aquisição da Secureworks fornece tecnologia, detetores e experiência operacional. O novo nome fornece a história para vender tudo como um grande salto.

O Fusion é um produto ou uma licença nova?

Não. Pelo menos, não diretamente.

A Sophos diz que o Fusion não é um produto separado, um bundle ou uma SKU própria. Os clientes atuais não têm de encomendar nada. O Sophos Central adotará gradualmente o nome Fusion, mantendo os workflows existentes.

Essa é a metade tranquilizadora. A outra é que surgem componentes realmente pagos: Sophos Next-Gen SIEM, Sophos AI Defense e Sophos CISO Advantage. As funções XDR e MDR mais fortes continuam ligadas às respetivas licenças. Uma licença Endpoint ou uma firewall não ganha subitamente as capacidades de um SOC.

A lógica de plataforma é clara:

• É preciso comprar o Fusion separadamente? Não, não existe uma SKU Fusion.
• O Central é substituído? O serviço evolui e passa gradualmente a chamar-se Fusion.
• Todas as funções de IA são gratuitas? Não. Algumas estão nos produtos atuais; outras são extras ou níveis superiores.
• Uma firewall melhora automaticamente? Não. O valor exige telemetria, integrações, licenças e respostas ativas.
• É apenas marketing? Não. Mas o marketing promete mais unidade do que um tenant misto oferece hoje.

O Fusion não é uma licença nova, mas é a arquitetura com que a Sophos poderá explicar e vender muitas licenças adicionais.

O progresso real está em XDR e MDR

Os clientes Sophos XDR e MDR recebem a parte mais concreta da estratégia. As novidades deverão chegar gradualmente a partir de agosto de 2026; os ambientes MSP seguem mais tarde.

No Sophos XDR, uma nova interface Security Operations substitui o Threat Analysis Center. A tecnologia Secureworks acrescenta detetores e lógica de deteção, além de regras personalizadas, mais integrações, respostas bidirecionais e SOAR. Um analista pode não só ver dados de Microsoft 365, Okta e outras fontes, mas também — conforme integração e permissões — executar ações nesses sistemas.

Isto é progresso real. Importar logs é útil; bloquear um utilizador, isolar um dispositivo ou controlar outro ponto de segurança tem muito mais valor operacional.

No Sophos MDR, a mesma arquitetura junta-se ao serviço 24/7. A IA assume mais triagem, investigação e resposta. A Sophos afirma que 52% dos casos são tratados integralmente por IA e que decorrem, em média, 89 segundos entre alerta e resposta automatizada.

Os números precisam de contexto. Os 89 segundos aplicam-se a casos em que a resposta automática é autorizada e possível; não significam que todos os ataques ficam resolvidos nesse tempo. Os 52% também não representam necessariamente a metade mais difícil. Os restantes casos exigem julgamento humano.

A IA é, portanto, um acelerador para trabalho recorrente e bem delimitado, não um SOC mágico. Pode poupar segundos valiosos numa intrusão, mas não substitui dados limpos, analistas qualificados ou limites de autorização sensatos.

Os nomes MDR também mudam: MDR Essentials passa a MDR e MDR Complete a MDR Plus. A Sophos chama-lhe simplificação; clientes e parceiros terão, ainda assim, de voltar a comparar e explicar os níveis no próximo renewal.

O que muda para clientes Endpoint e Central

Para um cliente Endpoint, o nome Fusion muda pouco no início. O agente e as políticas permanecem. O endpoint passa, contudo, a ser apresentado como ponto de controlo do sistema completo.

O ganho aparece quando sinais de endpoint são correlacionados com identidade, e-mail, rede e telemetria de terceiros. Um alerta de malware pode tornar-se um caso ligado: login anómalo, mensagem suspeita e ligação a um destino novo. Idealmente, XDR ou MDR vê um caminho de ataque em vez de quatro eventos isolados.

Mas um nome novo não cria dados. Quem apenas possui Endpoint, não liga fontes adicionais e não autoriza respostas não recebe o mesmo resultado de um ambiente XDR ou MDR integrado.

Assim, «todos os clientes Sophos já fazem parte do Fusion» é formalmente correto, mas enganador: partilham a plataforma estratégica, não o mesmo conjunto de funções.

O que muda para a Sophos Firewall

Para administradores, a resposta é pouco dramática: o Fusion não substitui o SFOS nem cria uma nova licença Firewall. As regras locais continuam locais e o nome não torna uma XGS mais rápida ou estável.

O Fusion interessa quando a firewall funciona como sensor e ponto de resposta. Deteções Endpoint podem limitar o acesso via Synchronized Security e Active Threat Response. A telemetria da firewall complementa investigações XDR/MDR. Novas API permitem gestão central e AI Defense sobre políticas web, grupos URL e regras.

Faz sentido: a firewall vê ligações que o endpoint pode não ver; o endpoint conhece processos e utilizadores que faltam à firewall. Bem combinadas, as duas perspetivas valem mais do que logs separados.

Antes de comprar, importa perguntar:

• Que dados chegam realmente a XDR ou MDR?
• Que respostas podem ser automáticas?
• Que licenças são necessárias?
• O que acontece sem Central ou Internet?
• Que funções são locais e quais dependem da cloud?

O modelo Hardware-as-a-Service para MSP também se enquadra: pagamentos mensais podem simplificar compras, mas prendem o cliente mais à Sophos e ao parceiro. É um modelo comercial, não uma necessidade técnica.

Switch, Wireless, Workspace, ZTNA, Email e ITDR

Os muitos anúncios à volta do Fusion sugerem que todos os produtos se tornaram um único sistema. Parte disso é real.

Sophos Switch e AP6 enviam dados de ligação para o Data Lake via Live Discover. Workspace Protection expõe dados do Protected Browser a XDR. ITDR calcula um risco de identidade. Casos e notificações de e-mail aproximam-se da interface Security Operations.

São blocos úteis, sobretudo porque ataques modernos atravessam endpoint, rede e identidade. Mas suporte multi-domínio ZTNA, compatibilidade beta com macOS, Config Studio 2.6 ou novas notificações continuam a ser manutenção normal, não prova de que tudo reage a tudo em tempo real.

É preciso distinguir:

• Telemetria: o produto fornece dados.
• Contexto: os dados pertencem ao mesmo caso.
• Resposta: outro produto pode agir.
• Automação: a ação ocorre sem passagem manual.

Só com os quatro níveis existe um verdadeiro sistema de defesa. A quantidade de logótipos pouco diz sobre isso.

350 ou 500 integrações não é a pergunta principal

A primeira FAQ dizia mais de 350 integrações de terceiros; a página atual fala em mais de 500 integrações Sophos e externas. Podem existir novos conectores, outra contagem ou inclusão dos próprios produtos.

Uma integração pode ser bidirecional ou apenas importar eventos, disponibilizar uma query ou depender de configuração manual de API. Quinhentas integrações não são quinhentas respostas equivalentes.

Cinco integrações bem suportadas no ambiente real valem mais do que 500 logótipos. Para cada fonte, pergunte:

• Que dados entram e com que rapidez?
• Que campos e retenção existem?
• Está incluída na licença?
• O Fusion vê ou também reage?
• Quem assume o risco de uma resposta errada?

Uma arquitetura aberta pode aceitar muitas fontes e continuar a criar forte dependência operacional. Quanto mais deteção, histórico, workflows e resposta vivem no Fusion, mais difícil é sair.

Aberto para importar não significa aberto para exportar.

O que está realmente por trás da IA

A Sophos usa IA há anos para malware, classificação, priorização e Threat Hunting. O Fusion acrescenta workflows agênticos: recolher informação, formular hipóteses, executar queries e agir dentro de limites.

Isto é mais útil do que um chat com resumos. Um sistema que enriquece um alerta com identidade e rede, descarta padrões benignos e isola um endpoint com confiança suficiente pode aliviar analistas.

Mas AI-native não responde ao essencial:

• Que modelos decidem o quê?
• Como são detetados erros?
• Que ações exigem aprovação humana?
• Como são tratados Prompt Injection e telemetria manipulada?
• Que dados alimentam treino ou melhoria?
• Que provas ficam para auditoria e forensics?

O Sophos AI Security 2026 Report é mais sóbrio do que o marketing: a IA acelera e escala métodos existentes, mas provar o seu uso concreto em ataques continua difícil.

O mesmo rigor deve valer na defesa. A IA acelera investigação e resposta, mas não corrige telemetria fraca, identidade mal desenhada ou vulnerabilidades sem patch. Agentes com poder de ação exigem permissões, logs e limites claros.

A pergunta de preço sem resposta

Não existe uma taxa Fusion anunciada e ninguém é obrigado a mudar de licença apenas pelo nome.

Mas a Sophos constrói o Fusion como motor de crescimento. Next-Gen SIEM é um add-on, AI Defense será outro para clientes EDR/XDR/MDR e CISO Advantage será um serviço MSP recorrente. É legítimo cobrar por armazenamento, controlo de IA ou trabalho CISO real.

O problema surge se funções AI integradas servirem depois para aumentar preços base, mesmo para clientes que não as pediram. A Microsoft integrou Copilot no Microsoft 365 Personal e Family em 2025 e aumentou simultaneamente o preço nos EUA em três dólares mensais. Havia alternativas sem Copilot, mas a direção ficou clara.

Também se especula sobre Apple, iCloud+ e maior uso de IA. Só está confirmado que limites superiores de IA se ligam a certos planos iCloud+. Um aumento geral por causa da IA não é um facto.

Na próxima renovação, pergunte:

• XDR e MDR mantêm o preço?
• Que funções passam a extras?
• Os pacotes antigos continuam?
• É possível desligar IA sem valor?
• Como serão cobrados volume, retenção e automação?

Não afirmaria uma subida não anunciada. Em contratos longos, pediria limites de preço, serviços exatos e um plano de cancelamento e exportação por escrito.

O risco real é a dependência crescente

Quanto mais fontes e respostas são ligadas, maior o valor do Fusion — e a dependência.

Comprar Endpoint, Firewall, Email, Identity, Switch, Wireless, XDR, MDR e SIEM à Sophos pode melhorar correlação e resposta, mas concentra conhecimento, regras, histórico, processos e contratos num fornecedor.

É a troca clássica: menos integração hoje, maior custo de mudança amanhã. Integrações abertas são positivas, mas um conector não garante exportação sem perdas de casos, contexto, queries, automações e anos de telemetria.

O ceticismo também vem das mudanças de nomes e pacotes: Sophos Cloud tornou-se Central, MTR tornou-se MDR, os níveis MDR voltam a mudar e a história Intercept X deu lugar a MDR e agora Fusion.

Dizer que a Sophos nunca mantém um nome mais de três anos é exagero: Central já tinha dez anos em 2023 e Intercept X existe há muito. O problema é a repetida reavaliação de pacotes, nomes, extras e estratégia.

Para parceiros é outra apresentação; para clientes, outra dúvida sobre se a licença ainda inclui o produto comprado.

O que clientes e administradores devem verificar

O Fusion não exige uma mudança apressada. É ocasião para inventariar produtos, licenças, fontes ativas, retenção e respostas reais — não slides.

Teste um cenário: o endpoint é isolado? A firewall bloqueia? Identidade e e-mail aparecem no mesmo caso? O analista muda de interface? A decisão automática é explicada?

Clientes XDR/MDR devem preparar a nova interface. Integrações de resposta como Microsoft 365 e Okta podem exigir nova autorização. Relatórios e workflows também precisam de revisão, porque alguns relatórios MDR desaparecem antes dos novos self-service.

Antes do renewal, esclareça preço atual e futuro, funções incluídas, armazenamento SIEM, AI Defense, nível MDR e exportação.

Por fim, crie um plano de saída: que logs saem, o que funciona sem cloud, quanto histórico se perde e que integrações teriam de ser refeitas?

Quem responde a estas perguntas usa o Fusion conscientemente. Quem não responde é usado pelo Fusion.

A minha conclusão

O Sophos Fusion é mais do que um novo logótipo, mas menos do que a revolução do marketing.

O valor real está na ligação entre telemetria, contexto e resposta. Clientes XDR e MDR ganham detetores Secureworks, integrações, SOAR, ações bidirecionais e investigação automatizada. Rede, Workspace e identidade podem formar um quadro melhor.

Para quem tem apenas uma firewall ou Endpoint básico, o termo muda pouco. Sem licenças, fontes, configuração e respostas autorizadas, Fusion é sobretudo um novo título sobre o Central.

A minha maior preocupação não é a tecnologia, que em grande parte faz sentido. É a combinação de marca, add-ons, subscrições e dependência. Quanto mais o cliente compra, melhor a defesa pode funcionar — e mais cara se torna a saída.

Não pergunte apenas «tem IA?». Pergunte: que deteção melhora, que resposta acelera, que trabalho desaparece, que função custa mais, que dados posso recuperar e que preço terei no próximo renewal?

Se a Sophos responder e cumprir na operação diária, Fusion pode ser uma forte evolução do Central. Caso contrário, será a próxima grande palavra para embrulhar produtos conhecidos, novos extras e antigas dependências.

Até à próxima,
Joe

FAQ