Sophos vient de détailler Fusion, la plateforme qui doit réunir la protection des endpoints, du réseau, du courrier, du cloud et des identités avec le SIEM, l’XDR et la détection et réponse gérées. La société préfère parler de « système de cyberdéfense natif à l’IA », mais dans les faits, comme nous l’expliquions lors de l’annonce initiale de Fusion, il s’agit surtout de l’évolution de Sophos Central et de l’aboutissement technique de l’intégration de Taegis après le rachat de Secureworks.

Ce qu’il faut retenir sur Sophos Fusion

• Fusion partage données et contexte entre les principaux contrôles de sécurité.
• Plus de 500 intégrations tierces annoncées, avec les analyses Taegis en cœur du système.
• Le nouveau SIEM et le nouvel XDR arrivent le 15 août 2026.
• Sophos affirme que son IA résout déjà 52 % des cas MDR en 89 secondes en moyenne.

La proposition répond à un problème classique dans les centres opérationnels de sécurité : les entreprises accumulent des produits qui génèrent des alertes sans toujours partager l’information ni coordonner une réponse. Un endpoint peut détecter une activité suspecte pendant que pare-feu, courrier, identité et cloud gardent chacun leur console et leurs règles. Sophos veut faire converger ces signaux vers une couche commune, de sorte qu’une détection puisse déclencher des mesures à plusieurs endroits de l’environnement : une identité compromise pourrait ainsi isoler l’appareil, bloquer les communications via le pare-feu et lancer une investigation sur l’activité dans les applications cloud.

Le fabricant assure que Fusion servira les 625 000 organisations utilisant sa technologie, un chiffre cohérent avec la base de plus de 600 000 clients déjà revendiquée sur ses pages d’entreprise.

Sophos Central absorbe la technologie Taegis de Secureworks

Fusion ne part pas de zéro. Sa base reste Sophos Central, la console depuis laquelle la société gère Endpoint, Pare-feu, Courrier et MDR. La vraie nouveauté technique tient à l’intégration de l’analyse Taegis, la plateforme développée par Secureworks pour l’XDR, le SIEM et les services gérés. Sophos avait bouclé l’acquisition de Secureworks en février 2025 pour environ 859 millions de dollars en espèces, en promettant de combiner les contrôles de prévention de Sophos avec la télémétrie et les opérations de sécurité de Taegis. Fusion marque l’étape suivante de cette union.

Sophos appelle « lac de contexte partagé » la couche où convergent les événements. L’idée : chaque signal garde des informations sur l’utilisateur, le dispositif, l’identité, l’application et les actions précédentes, plutôt que d’apparaître comme une alerte isolée. Ce modèle facilite l’investigation d’attaques qui traversent plusieurs systèmes : une connexion anormale ne suffit pas toujours à confirmer une intrusion, mais prend tout son sens si elle coïncide avec l’exécution d’un outil inconnu, des modifications dans l’annuaire des identités et un transfert de données vers une destination inédite.

Fusion s’appuie sur quatre principes définis par Sophos : contexte partagé pour réunir les signaux dans une même couche de données, sécurité synchronisée pour coordonner les mesures entre contrôles différents, autonomie maîtrisée pour permettre aux agents d’agir dans des limites définies, et intelligence cumulative pour utiliser les menaces observées et améliorer les détections futures.

L’expression « système de cyberdéfense » reste une catégorie que Sophos cherche à imposer pour différencier Fusion d’une simple collection de produits. Sa reconnaissance dépendra de son adoption et de la mesure dans laquelle d’autres fournisseurs reprendront une définition comparable. Rien ne garantit non plus qu’une console unique élimine toute la complexité : les organisations devront toujours ajuster leurs règles, classer leurs actifs, gérer les permissions et décider quelles actions automatiques le système peut exécuter.

L’IA pourra investiguer et répondre, dans des limites définies

Sophos présente Fusion comme une plateforme prête pour des flux conjoints entre humains et agents d’IA, capables d’analyser les alertes, de relier les signaux entre eux et d’exécuter certaines réponses dès lors que les analystes ont préalablement autorisé ce type d’intervention. La société utilise déjà ce modèle dans Sophos Managed Detection and Response. Selon ses données opérationnelles, l’IA résout de bout en bout 52 % des cas gérés sans intervention humaine directe, avec un délai moyen de 89 secondes entre l’alerte et une réponse entièrement automatisée lorsque celle-ci est autorisée.

Ces chiffres, fournis par Sophos, reflètent le fonctionnement de son propre service MDR. Ils ne veulent pas dire que 52 % de tous les incidents se résolvent automatiquement ni que toutes les menaces sont contenues en 89 secondes : la mesure ne couvre que les cas où l’IA a été autorisée à agir dans des limites définies par les analystes. La supervision humaine reste nécessaire pour les enquêtes ambiguës, les incidents touchant des actifs critiques ou les actions aux conséquences importantes pour l’entreprise. Désactiver un compte, isoler un serveur ou bloquer une application peut stopper une attaque, mais risque aussi d’interrompre une opération légitime en cas de mauvais diagnostic.

Fusion devra permettre à chaque organisation de définir ce qu’un agent peut faire ou ce qui doit être approuvé au préalable, une distinction particulièrement sensible dans les hôpitaux, administrations, industries ou institutions financières, où une réponse automatisée peut toucher des processus essentiels. Le fabricant évoque plus de 500 intégrations externes dans la nouvelle plateforme, alors que la documentation publique de Sophos MDR n’en mentionnait jusqu’ici que plus de 350 : la différence tient peut-être à des connecteurs supplémentaires, mais Sophos devra préciser quelles intégrations seront disponibles, et à quelles dates.

Un nouveau SIEM sans facturation au volume de données

Le Sophos Next-Gen SIEM sera l’une des premières capacités de Fusion à arriver sur le marché, avec une disponibilité générale prévue pour le 15 août 2026, une rétention prolongée, des rapports de conformité et une analyse directement sur la couche de données commune. La différence commerciale tient surtout à la tarification : Sophos affirme facturer selon les utilisateurs et les serveurs protégés, plutôt que principalement sur le volume de données ingérées.

Une facturation basée sur l’ingestion de données pousse parfois les entreprises à filtrer leurs logs pour maîtriser le coût, ce qui réduit l’information disponible lors des investigations. Le modèle de Sophos veut que ses clients envoient toute leur télémétrie sans craindre une facture imprévue. Le vrai bénéfice dépendra des prix par utilisateur et par serveur, des périodes de rétention incluses et des éventuelles surtaxes pour les grands environnements, des détails que l’annonce ne précise pas encore.

Le XDR de Sophos sera lui aussi lancé le 15 août. La nouvelle version utilisera l’analyse Taegis, intégrera mille détecteurs et proposera une automatisation via des playbooks d’orchestration et de réponse (SOAR). Le MDR de Sophos bénéficiera le même jour d’une extension de la recherche continue de menaces et des capacités de réponse sur endpoints, pare-feu, cloud, courrier et identités.

Calendrier des nouveautés de Sophos Fusion

Perspectives

Sophos AI Defense se concentrera sur les outils d’intelligence artificielle utilisés en entreprise : découverte des services autorisés et applications non contrôlées, application de politiques et surveillance de l’accès aux données. Cette stratégie s’appuyait déjà sur Workspace Protection, une solution qui supervise les applications web, les outils IA non autorisés et les environnements de travail hybrides. Fusion étend ce contexte à l’ensemble des contrôles de sécurité.

CISO Advantage sera lancé à partir d’octobre, en regroupant validation des contrôles, évaluation des risques, comparaison avec des organisations similaires et conformité aux cadres réglementaires. Ce service repose sur la technologie et l’équipe d’Arco Cyber, rachetée par Sophos en février 2026, avec l’objectif d’offrir une orientation équivalente à celle d’un responsable de la sécurité de l’information pour les entreprises qui n’en ont pas, et de préparer des données d’aide à la décision pour celles qui en disposent déjà.

Fusion renforce aussi le modèle de canal de Sophos : les fournisseurs de services gérés pourront administrer protection, détection, réponse et conseil depuis une seule plateforme, ce qui simplifie leurs opérations tout en concentrant davantage de fonctions critiques dans une seule technologie. L’enjeu n’est pas d’ajouter une nouvelle plateforme, mais de réduire la fragmentation entre les outils existants, un mouvement qui s’inscrit dans une pression plus large sur le marché de la cybersécurité depuis que OpenAI et Anthropic s’y invitent à leur tour. Le succès dépendra de la capacité de la couche commune à maintenir la qualité de Taegis, à connecter des produits tiers sans limiter leurs fonctionnalités, et à automatiser les réponses tout en laissant aux analystes le contrôle des décisions sensibles.

Questions fréquentes

Qu’est-ce que Sophos Fusion ?

C’est l’évolution de Sophos Central vers une architecture qui partage données, analyses et réponses entre endpoint, réseau, courrier, identités, cloud, SIEM, XDR et MDR.

Fusion remplacera-t-elle des outils d’autres fabricants ?

Pas nécessairement. Sophos affirme que la plateforme supportera plus de 500 intégrations pour ajouter des produits tiers à sa couche de données et de réponse.

L’IA pourra-t-elle bloquer des menaces sans intervention humaine ?

Oui, quand l’organisation aura autorisé ce type de réponse et défini ses limites. Les cas ambigus ou sensibles resteront sous contrôle analytique préalable.

Quand Sophos Fusion sera-t-elle disponible ?

Par phases : SIEM, XDR et améliorations de MDR à partir du 15 août 2026, puis AI Defense et CISO Advantage en octobre.