Sophos ha ampliado su plataforma Fusion con una solución que convierte datos operativos de ciberseguridad en evaluaciones de riesgo, planes de mejora e informes para la dirección. El movimiento lleva la IA agéntica más allá de la detección y respuesta ante amenazas, hacia decisiones empresariales como la priorización de inversiones, la asignación de presupuesto y la rendición de cuentas sobre el nivel de protección.
La nueva herramienta, denominada Sophos CISO Advantage, analiza el entorno tecnológico y el perfil de amenazas de cada organización. A partir de esa información, genera una evaluación específica y una hoja de ruta que ordena las actuaciones según su prioridad, coste e impacto esperado. Su propósito es conectar el trabajo cotidiano de los equipos de seguridad con una estrategia que pueda comprender y financiar la dirección.
De los datos técnicos a una hoja de ruta empresarial
El sistema compara los controles existentes con marcos de referencia como NIST Cybersecurity Framework, CIS v8, Cyber Essentials Plus y NCSC Cyber Assessment Framework. Esta revisión permite identificar carencias, situarlas dentro de un esquema reconocido y traducirlas en medidas concretas. La plataforma también genera evidencias cuantificables para mostrar cómo evoluciona el programa de seguridad y si las acciones ejecutadas reducen el riesgo detectado.
El planteamiento responde a una dificultad habitual en la gestión de la ciberseguridad: las organizaciones pueden disponer de herramientas de prevención, detección y respuesta, pero carecer de un proceso común para interpretar sus resultados y decidir qué corregir primero. Evaluaciones separadas, hojas de cálculo y soluciones puntuales complican la comparación entre periodos, la justificación del gasto y la presentación de resultados ante consejos de administración, reguladores o aseguradoras.
CISO Advantage se integra en Sophos Fusion, el sistema de defensa de la compañía, y combina automatización mediante IA agéntica con criterio humano. Sophos sostiene que cada evaluación incorpora inteligencia sobre amenazas en tiempo real y datos agregados procedentes de más de 625.000 organizaciones protegidas por sus productos. Esa base pretende ajustar las recomendaciones al entorno analizado, en vez de limitar el diagnóstico a referencias genéricas.
La solución debe funcionar, según la compañía, como un sistema de registro continuo del programa de seguridad. Esto permite relacionar los riesgos identificados, las medidas acordadas, el presupuesto requerido y los avances obtenidos. Para los responsables empresariales, el cambio relevante reside en disponer de una lectura más accesible del riesgo técnico y de una secuencia de inversiones vinculada a objetivos verificables.
Una función de CISO apoyada por automatización
La propuesta está orientada tanto a empresas que carecen de un responsable de seguridad dedicado como a organizaciones con un CISO y un equipo propio. En el primer caso, la plataforma estructura tareas de evaluación y planificación que suelen depender de especialistas externos. En el segundo, puede ayudar a consolidar información dispersa y preparar informes periódicos sobre controles, prioridades y evolución del riesgo.
Rob Harrison, vicepresidente sénior de Gestión de Productos en Sophos, vincula esta capacidad con la necesidad de responder ante los órganos de dirección: «Sophos CISO Advantage cambia esta situación. Lo hemos diseñado en torno a la pregunta que todos los consejos de administración plantean ahora a su equipo de seguridad: ¿Estamos más seguros que el trimestre pasado y pueden demostrarlo? Dar una respuesta creíble al alcance de cualquier organización, y no sólo de aquellas que pueden contar con un gran equipo de seguridad, es la forma en que el sector empieza a cerrar la brecha de resiliencia».
La automatización puede acelerar el análisis y ordenar las recomendaciones, aunque las decisiones finales sobre aceptación del riesgo, presupuesto y prioridades siguen dependiendo de cada organización. La utilidad empresarial de la herramienta estará ligada a la calidad de los datos disponibles, a la revisión de sus propuestas y a la capacidad del equipo para ejecutar la hoja de ruta. Sophos presenta precisamente la combinación de IA y criterio humano como base del servicio.
Los MSP ganan una vía para comercializar servicios de CISO
CISO Advantage admite tres modelos de uso. Una empresa puede gestionar directamente su programa con su equipo interno, recurrir inicialmente a un proveedor de servicios gestionados para implantarlo y asumir después la gestión, o mantener de forma continua el servicio en manos de ese socio. Esta flexibilidad amplía el alcance de la plataforma más allá de los departamentos de seguridad con recursos propios.
Para los proveedores de servicios gestionados, conocidos como MSP, la herramienta permite convertir las funciones de liderazgo de seguridad que ya prestan a algunos clientes en un servicio estructurado, escalable y facturable. Podrán utilizar un mismo sistema para realizar evaluaciones, mantener planes de mejora y entregar informes periódicos, sin depender de procesos manuales diferentes para cada organización. La oferta se comercializa mediante licencia anual o suscripción mensual a través de MSP Flex.
La implantación comienza en Norteamérica, Reino Unido y el resto de Europa en octubre de 2026. Sophos prevé extender la disponibilidad al resto del mundo antes de que termine ese año. También prepara CISO Advantage Plus, una versión para grandes empresas con capacidades adicionales de convergencia, gestión de riesgos y gobernanza, cuyo lanzamiento está previsto para mediados de 2027.
La incorporación de esta capa estratégica amplía el papel de Fusion: además de reunir señales y operaciones de defensa, podrá utilizar esa información para orientar decisiones sobre riesgo e inversión. Para empresas y MSP, la consecuencia operativa será poder gestionar evaluaciones, prioridades presupuestarias y pruebas de progreso dentro de un flujo común, con el objetivo de reducir la dependencia de análisis fragmentados y facilitar una supervisión periódica por parte de la dirección.
