Gli investimenti cybersecurity si comprano a strati, per questo non funzionano come dovrebbero. Sophos parte da qui con l’evento di annuncio di Sophos Fusion, il sistema di difesa con l’AI nativamente integrata, presentato dal CEO Joe Levy e dal Presidente Raja Patel. È la risposta a un mercato in cui la spesa cresce, gli strumenti si moltiplicano ma le violazioni aumentano lo stesso. La tesi è che il modello costruito un prodotto alla volta ha esaurito la sua spinta, che le piattaforme di consolidamento non bastano più e che l'inflessione portata dall'AI agentica di fine 2025 impone un cambio di paradigma.

"Da circa quarant'anni, la cybersecurity si costruisce un prodotto alla volta. Ogni nuova minaccia ha prodotto un nuovo strumento, di solito anche qualche nuovo vendor", ha detto il CEO, descrivendo una sequenza che ha attraversato indenne tutte le epoche e che è sfociata in una stratificazione che i numeri raccontano con precisione. Citando Omdia, un SOC gestisce in media 10,9 console di sicurezza; Gartner, invece, ha rilevato oltre 45 strumenti di security distinti nell'azienda media, di cui la maggior parte non dialoga né si integra bene con il resto. Morale: il mondo spende circa 240 miliardi di dollari l'anno in cybersecurity, ma questa spesa non si converte necessariamente in risultati migliori, anzi, il divario si allarga di pari passo con il complicarsi della tecnologia.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Non è una banale questione di budget, perché "oggi nel mondo esistono circa 359 milioni di organizzazioni, ma ci sono meno di 35.000 CISO a tempo pieno". Un rapporto che si aggira intorno a uno su diecimila, quindi la maggioranza delle organizzazioni non dispone della leadership per definire la strategia, scegliere il giusto mix di prodotti, configurare le policy, misurare e ridurre il rischio in modo verificabile. E secondo il CEO la questione non è circoscritta alle piccole imprese, anzi, ci sono grandi aziende con decine di migliaia di dipendenti in cui la cui security non ha tenuto il passo delle acquisizioni, dell'accumulo di debito tecnico o della crescente complessità operativa.

Il momento di svolta è arrivato a novembre 2025, quando i modelli di frontiera sono passati da un'assistenza rudimentale ad agenti capaci di eseguire lavori multi-step in autonomia. Per chi difende, si tratta dello strumento più potente mai avuto per colmare il divario di competenze. Purtroppo, per chi attacca ha lo stesso potere, "ma senza i limiti dell’ufficio acquisti, senza revisione legale, senza approvazione del board". Chi attacca beneficia di una scioltezza procedurale di cui la difesa non gode.

La novità di Sophos

Per rispondere alle esigenze del mercato, Sophos ha "costruito l'unica cosa che questo momento richiede. Non un altro strumento da aggiungere a una pila già esistente, ma un sistema che si potenzia da solo, in cui ogni componente rafforza tutti gli altri, e in cui il risultato finale supera la somma delle singole parti", ha dichiarato Levy. Il protagonista è Sophos Fusion, definito come un sistema di difesa AI-native. Guai a chiamarlo piattaforma, perché non si tratta di un insieme di soluzioni che lavorano di concerto grazie a un overlay intelligente. Levy prende le distanze dal concetto di piattaforma spiegando che "la piattaforma tradizionale consolidava gli acquisti, un sistema consolida la difesa".

Ecco che quindi Sophos Fusion è presentato come un sistema che nativamente opera come un'unica entità, al cui interno opera la threat intelligence Sophos, punti di controllo che prendono dati da fonti terze (perché si tratta di un sistema aperto) e punti di controllo che rispondono alle minacce senza intervento umano grazie a orchestrazione, automazione e workflow agentici. Il sistema offre al suo interno email, firewall, cloud, identità, endpoint, XDR, MDR e presto un next-gen SIEM, AI defense e Sophos CISO Advantage, e costituisce la prossima evoluzione di Sophos Central.

Negli ultimi diciotto mesi, a partire dall'acquisizione di SecureWorks, Sophos Central è stato reinventato mediante una modernizzazione radicale di interfacce e workflow, pensata per sfruttare la fusione tra AI e persone. "Abbiamo acquisito SecureWorks per unire due leader e due architetture guida", ha precisato il CEO, indicando nell'AI il tessuto connettivo che consente a endpoint, firewall, email, cloud, network e identità, di prima e terza parte, di ragionare e agire come una cosa sola.

Sul significato di mercato di questa impostazione è tornato Patel in chiusura, chiamando in causa il giudizio degli analisti. Il cybersecurity defense system è un paradigma moderno per il settore e rappresenta, nella visione dell'azienda, la giusta evoluzione della piattaforma. "Gartner ha definito una nuova categoria emergente per la security, costruita come un sistema unico progettato da un singolo fornitore, invece che come un insieme di prodotti puntuali", ha dichiarato il Presidente, aggiungendo che la società di analisi sta costruendo un nuovo magic quadrant per la sicurezza integrata.

Le novità tecniche

A entrare nel dettaglio dei prodotti è stato il Presidente Raja Patel, che ha annunciato la disponibilità generale del sistema tra agosto e ottobre. Il nucleo è Sophos MDR, il SOC agentico che ha al suo attivo oltre 40.000 clienti, che lavora di concerto con il servizio di managed detection and response e con un’attivtà continua di threat hunting abilitato dall'AI, grazie al lavoro del team di ricerca X-Ops.

Il secondo tassello è Sophos XDR, ora powered by SecureWorks. Le soluzioni di detection e response sono state ricostruite sugli analytics Taegis di SecureWorks, con migliaia di detector aggiuntivi per offrire una nuova esperienza per l'analista, che beneficia anche dell’automazione SOAR integrata. In affiancamento arriva un nuovo next-generation SIEM con conservazione dei dati a lungo termine, reportistica di compliance e analytics sugli stessi dati unificati, con un modello di prezzo per utente e server anziché per volume di dati, ideato per prevenire costi fuori controllo.

Gli ultimi due componenti spostano il baricentro verso l'AI: Sophos AI Defense mette in sicurezza l'AI che i clienti stanno adottando, con visibilità e controllo sugli strumenti in uso negli ambienti (inclusa la Shadow AI). Sophos CISO Advantage assume compiti di livello CISO e, tramite gli MSP, li eroga ad aziende in diversi stadi di maturità, con valutazione continua del rischio, mappatura della compliance e benchmarking tra pari. Alle imprese che un CISO lo hanno già offre un modo più efficiente di gestire il rischio, validare i controlli e comunicare i progressi al board; a quelle che ne sono prive fornisce una leadership pratica ancorata al loro ambiente reale.

Il tratto che secondo Patel qualifica l'intera architettura è la natura AI-native, da distinguere dall'AI aggiunta come funzione: "la maggior parte dei prodotti su questo mercato ha aggiunto l'AI come livello sopra a quello che già avevano. In Sophos Fusion l'AI è l'architettura, è lo strato che connette tutto", ha spiegato il Presidente.

Ci sono quattro elementi che secondo Patel fanno di Fusion un sistema. Il primo è un contesto condiviso con ogni segnale di ogni control point che confluisce nello stesso data layer in tempo reale, così che l'intero sistema percepisca ciò che percepisce una sua singola parte. Il secondo è la sicurezza sincronizzata, per cui una detection su un laptop può innescare nello stesso istante un'azione sul firewall, sulla identità e sulla email, perché il dato nasce condiviso. Il terzo è l'autonomia con governance umana, con il sistema che indaga e risponde da solo entro i confini fissati e ricalibrati di continuo dagli analisti, mentre le persone restano responsabili dell'esito finale. Il quarto è l'intelligenza che si somma: ogni minaccia rilevata tra le oltre 625.000 organizzazioni protette rende più intelligente la difesa di ogni altro cliente.

L'AI di base è composta da una combinazione di tecnologia proprietaria e partnership: Levy ha sottolineato che "è una combinazione di reti neurali che costruiamo noi stessi da molti, molti anni, insieme al lavoro con molti dei Frontier Lab". Il funzionamento concreto di Sophos Fusion è stato illustrato con una demo video che ripercorre un attacco reale dall'inizio alla chiusura, da cui si deduce che "nessun singolo alert racconta la storia. L'attacco diventa visibile quando lo si guarda nel suo complesso”, con la chiusura dell’incidente che resta sempre affidata alle persone.