← Recursos Operação · Microsoft 365 26 de outubro de 2026 8 min de leitura
Sophos ou Microsoft Defender? As contas para quem tem Microsoft 365.
Juntar Sophos ao Business Standard sai caro e continua a deixar buracos. São dois fornecedores e duas faturas, e nada liga a proteção do computador ao acesso ao email e aos ficheiros da empresa: um portátil comprometido continua a entrar, e nos telemóveis pessoais o controlo é limitado. O Business Premium fecha esses buracos e traz a proteção na mesma licença: é o Business Standard inteiro (Teams, Outlook, Word, Excel, SharePoint e OneDrive), mais Defender, Intune e Conditional Access. A diferença é de 6,93 € por utilizador e por mês. Vejam o que cada caminho compra antes de renovarem o Sophos.
Camada a camada: Sophos e o equivalente Microsoft
Quase todas as camadas que o Sophos vende têm equivalente na stack Microsoft. A exceção é a firewall física. As três primeiras já vêm no Business Premium.
| Camada | Sophos | Microsoft | Onde está incluído |
|---|---|---|---|
| Computadores (antivírus + EDR) | Sophos Endpoint (Intercept X) | Defender for Business | Microsoft 365 Business Premium (servidores: licença à parte) |
| Email e phishing | Sophos Email | Defender for Office 365 (Plano 1) | Microsoft 365 Business Premium |
| Telemóveis e tablets | Sophos Mobile | Microsoft Intune | Microsoft 365 Business Premium |
| Ataques à identidade | Sophos ITDR | Defender for Identity + Entra ID P2 | Microsoft Defender Suite for Business Premium (complemento) |
| Acesso remoto às aplicações (ZTNA) | Sophos ZTNA | Microsoft Entra Private Access | Microsoft Entra Suite ou licença avulsa |
| Filtro web | Sophos DNS Protection | Filtro web do Defender for Business; Microsoft Entra Internet Access para regras por utilizador | Filtro base no Business Premium; Entra Internet Access no Microsoft Entra Suite ou avulso |
| Correlação de alertas (SIEM/XDR) | Sophos XDR com Next-Gen SIEM | Microsoft Defender XDR + Microsoft Sentinel | Sentinel paga por volume de dados |
| Quem olha para os alertas | Sophos MDR | Revisão diária dos alertas, tuning do Defender e relatório mensal a uma pessoa nomeada | Serviço HeraPrime |
| Firewall de rede | Sophos Firewall (XGS) | Azure Firewall para o que corre em Azure | Na sede: exceção (ver abaixo) |
O Business Standard tem a proteção base do email (antispam, antimalware e proteção contra falsificação de remetente) e uma gestão básica de telemóveis. Não tem EDR, não tem o Defender for Office 365 e não gere portáteis nem os dados da empresa em telemóveis pessoais. É por isso que quem tem Standard acaba a comprar a segurança a outro fornecedor. O Business Premium, para empresas até 300 utilizadores, inclui as três primeiras linhas.
As contas: quanto custa cada caminho
Preços de tabela da Microsoft em Portugal, consultados a 20 de outubro de 2026, por utilizador e por mês, com subscrição anual paga anualmente, Teams incluído e IVA à parte:
| Plano | Por utilizador e por mês |
|---|---|
| Microsoft 365 Business Standard (em Portugal, «Microsoft 365 Empresas») | 12,13 € |
| Microsoft 365 Business Premium (em Portugal, «Microsoft 365 Empresas Premium») | 19,06 € |
| Diferença | 6,93 € |
Caso 1: Business Standard e Sophos
Subir para Premium não tira nada. O Premium inclui tudo o que está no Standard: Teams, email, Office, SharePoint e OneDrive ficam iguais. A segurança passa a vir na mesma licença que a colaboração. Uma licença, uma consola, uma fatura.
Comparar esta diferença só com a fatura do Sophos é fazer a conta errada, porque os dois caminhos não compram a mesma coisa. Mesmo que o Sophos saia mais barato por utilizador, a combinação continua com um buraco no meio.
Sem Conditional Access no Microsoft Entra ID e sem o Intune completo, Business Standard com Sophos não consegue impedir que um portátil comprometido abra o email e os ficheiros da empresa, nem controlar o que um telemóvel pessoal guarda. O Business Standard não traz nenhum dos dois, e o Sophos não substitui o Conditional Access: protege o computador, mas não decide, a cada acesso, se esse computador pode entrar no Microsoft 365. O Premium traz ambos, mais o Microsoft Purview para proteger a informação. Os 6,93 € por mês compram exatamente o que falta à combinação, e o que hoje pagam ao Sophos por computadores, email e telemóveis deixa de ser preciso.
Caso 2: Business Premium e Sophos
O Defender for Business, o Defender for Office 365 (Plano 1) e o Intune já estão na fatura da Microsoft. A licença Sophos de computadores, email e telemóveis paga a mesma proteção pela segunda vez. Na próxima renovação, essa parte da fatura Sophos deixa de ser precisa.
Cinco perguntas para testar a vossa combinação Microsoft 365 e Sophos
Se têm Microsoft 365 e Sophos, levem estas perguntas à próxima reunião de renovação. As respostas dizem se a vossa segurança está ligada ou se são dois produtos lado a lado.
- Um portátil com malware continua a conseguir abrir o email da empresa? No Business Premium bem configurado, não: em computadores Windows geridos pelo Intune, o Conditional Access corta o acesso até o Defender dar o computador como limpo.
- Um telemóvel pessoal consegue guardar ficheiros da empresa onde quiser? No Business Premium, as políticas do Intune protegem os dados dentro das aplicações, mesmo em telemóveis não registados, e controlam o que se pode guardar ou copiar.
- Quando o Sophos deteta uma ameaça num computador, o acesso desse computador ao Microsoft 365 é bloqueado automaticamente? Sem Intune e Conditional Access, não há forma nativa de o fazer: o corte depende de uma ação manual, vossa ou dos analistas do Sophos MDR, se o tiverem contratado.
- Quanto pagamos por utilizador e por ano, somando Microsoft 365 e Sophos? O Business Premium custa 19,06 € por utilizador e por mês, com as três primeiras linhas da tabela incluídas.
- Quem coordena a resposta quando um incidente atravessa as duas consolas? Com uma só stack, há um parceiro responsável. Com duas, há duas faturas e dois fornecedores a coordenar.
Porque uma só stack protege melhor
O que protege não é cada produto isolado. É a ligação entre eles. No Microsoft 365, cada acesso ao email e às aplicações ligadas ao Microsoft Entra ID passa pelo Conditional Access, que cruza três sinais: quem é o utilizador e se tem MFA, se o dispositivo cumpre as regras do Intune e se o Defender detetou risco nesse computador. Um portátil Windows com malware fica sem acesso às aplicações da empresa até o problema estar resolvido.
Com dois fornecedores, essa ligação depende de integrações entre consolas, que têm de ser configuradas, licenciadas e mantidas, e o bloqueio do acesso continua a fazer-se do lado Microsoft. Uma stack é uma consola, uma fatura e um parceiro responsável quando algo corre mal.
A NIS2 pesa no mesmo sentido. O artigo 27.º do regime jurídico da cibersegurança (DL 125/2025) define nove áreas de medidas para entidades essenciais e importantes, do tratamento de incidentes à autenticação multifator, exigíveis a partir de junho de 2028. Em Microsoft, cada medida é uma configuração concreta que se documenta e se mostra numa auditoria. Ver o mapa das nove medidas →
E a firewall do escritório?
A firewall à porta do escritório protege um modelo que já não existe: toda a gente lá dentro e tudo o que está dentro é de confiança. Hoje as pessoas trabalham em casa e no cliente, o email está no Microsoft 365 e o ERP corre cada vez mais em Azure. O perímetro passou a ser a identidade de cada pessoa e o estado de cada dispositivo. É o princípio do Zero Trust: verificar cada acesso, dar só o acesso necessário e partir do princípio de que a rede já foi comprometida.
O teste a fazer é uma pergunta: os portáteis e telemóveis da empresa andam dentro e fora da firewall? Se a resposta for sim, estão no pior caso. A firewall dá uma segurança que não existe, e cada dispositivo que esteve em casa, no cliente ou na rede de um hotel traz para dentro o que apanhou lá fora. Quando está fora, a firewall não o vê. Quando volta, já está do lado de dentro.
Fazemos este modelo com Microsoft e Azure. O Microsoft Entra Private Access substitui a VPN: dá acesso às aplicações internas uma a uma, com as regras do Conditional Access. O que corre em Azure fica atrás do Azure Firewall.
Firewall física, só onde é precisa: uma fábrica com máquinas que não aceitam agente, servidores locais que ainda não migraram, um requisito contratual de um cliente. Aí implementamo-la como exceção, dentro do mesmo desenho Zero Trust.
Quando o Sophos faz sentido
Sem Microsoft 365, a conta é outra. O Defender deixa de vir incluído e perde-se a ligação ao Entra e ao Intune. Nesse caso, o Sophos pode ser a escolha certa, e um parceiro especializado nesse fabricante serve-vos melhor do que nós.
Já temos Sophos. E agora?
A mudança faz-se por fases e nenhum computador fica desprotegido. O Microsoft Defender Antivirus fica em modo passivo ao lado do Sophos, e o EDR do Defender vê e regista as ameaças durante o piloto. O plano que seguimos:
- Inventário de licenças. Que licenças Microsoft 365 a empresa já paga e o que está ativo nelas.
- Piloto. Defender for Business ativo num grupo de computadores, com o Sophos ainda instalado.
- Configuração. MFA, Conditional Access, políticas do Intune e proteção do email.
- Saída na renovação. O Sophos sai na data de renovação, para não pagarem dois fornecedores.
Perguntas frequentes
O Defender não é o antivírus gratuito do Windows?
Temos de pagar o Defender à parte?
Temos Business Standard. Serve?
Sophos é marca registada da Sophos Ltd. A HeraPrime não é parceira Sophos.