Lifecycle Produk Sophos: Kenapa EOS di Sophos Tidak Sama Artinya dengan EOS di Fortinet

Beberapa kali kami menerima kabar yang isinya kurang lebih sama: “firewall Sophos kami statusnya sudah EOS, berarti sudah tidak aman, ya?” Yang bertanya biasanya baru menerima pemberitahuan dari distributor, dan sudah siap mengajukan anggaran penggantian darurat.

Hampir selalu, jawabannya: belum. Perangkatnya masih didukung penuh, kemungkinan besar untuk beberapa tahun ke depan. Yang terjadi adalah salah baca istilah — dan salah bacanya masuk akal, karena singkatan yang sama dipakai dua vendor untuk dua hal yang berbeda.

Empat penanda yang dipakai Sophos

Sophos memakai istilah berikut untuk produk keamanan jaringannya, berurutan sesuai waktu terjadinya:

Bagi organisasi yang memakai perangkat dari dua vendor sekaligus — dan itu lumrah, misalnya Fortinet di kantor pusat dan Sophos di cabang — perbedaan ini layak ditulis di satu tempat yang sama supaya tidak dibaca ulang setiap kali ada pengumuman.

Perhatikan baris pertama dan ketiga. Singkatan “EOS” muncul di keduanya, dengan arti yang berlawanan dari sisi urgensi: pada Fortinet ia tanggal paling akhir, pada Sophos ia tanggal paling awal setelah produk dirilis.

Berapa lama dukungan masih berjalan setelah EOS

Ini yang menentukan apakah Anda perlu bergegas atau tidak. Sophos menyebut rentang antara EOS dan EOL sebagai Post-EoS-Support Phase, dan panjangnya berbeda per lini produk. Untuk perangkat keras Sophos Firewall XGS Series, kebijakannya menyebut dukungan berjalan minimal lima tahun setelah tanggal EOS.

Artinya, perangkat XGS yang hari ini berstatus EOS umumnya masih punya sisa masa dukungan yang panjang — cukup untuk merencanakan penggantian lewat siklus anggaran normal, bukan lewat pengajuan darurat.

Karena itu Last Renewal Date jadi tanggal yang paling menentukan dalam praktik. Setelah tanggal itu lewat, kontrak tidak bisa diperpanjang lagi — dan sisa masa dukungan yang secara kebijakan masih tersedia jadi tidak bisa diakses.

Cara mengecek tanggal untuk model Anda sendiri

Tanggal berlaku per model dan bisa direvisi Sophos. Jangan mengandalkan angka dari artikel mana pun, termasuk yang ini, untuk keputusan pengadaan. Periksa langsung:

1. 01

   Buka retirement calendar Sophos

   Sophos menerbitkan kalender terpisah untuk produk jaringan, endpoint, dan email. Perangkat firewall ada di kalender produk jaringan, bersama Sophos Wireless dan RED.

2. 02

   Cari nomor model, bukan nama seri

   Penanda lifecycle ditetapkan per model, bukan per revisi model. Satu keluarga produk bisa punya tanggal berbeda antar varian — model desktop dan model rack dalam generasi yang sama sering tidak berjalan seiring.

3. 03

   Catat tiga tanggal

   EOS, Last Renewal Date, dan EOL. Yang masuk kalender pengadaan adalah Last Renewal Date; yang masuk kalender risiko adalah EOL.

4. 04

   Cocokkan dengan status kontrak Anda

   Tanggal dari kalender hanya separuh gambarannya. Separuh lagi ada di Sophos Central: sampai kapan lisensi dan kontrak dukungan perangkat itu berlaku. Perangkat yang tanggal EOL-nya masih bertahun-tahun lagi tapi kontraknya habis bulan depan tetap perlu tindakan bulan ini.

Sophos menyebut pengumuman EOS dan EOL biasanya terbit sekitar sembilan puluh hari sebelum pemberlakuannya. Rentang itu cukup untuk bersiap, tapi tidak cukup untuk mengadakan perangkat baru dari nol — termasuk pengadaannya, pengirimannya, dan migrasi konfigurasinya. Karena itu memeriksa kalender secara berkala lebih berguna daripada menunggu pemberitahuan datang.

Apa yang berhenti setelah EOL

Perangkat tidak mati pada tanggal EOL. Ia tetap menyala dan tetap meneruskan trafik, dan justru itu yang membuat risikonya mudah ditunda. Yang berhenti adalah hal-hal yang tidak terlihat dari luar:

• Pembaruan firmware berhenti. Rilis SFOS baru tidak lagi menyertakan dukungan untuk model yang sudah EOL, termasuk rilis yang memuat perbaikan keamanan.
• Perbaikan kerentanan berhenti. Bila ditemukan celah pada versi yang dijalankan perangkat itu, tidak akan ada patch yang bisa dipasang.
• Dukungan teknis berhenti. Saat terjadi gangguan, tidak ada lagi jalur eskalasi ke pabrikan.
• Penggantian perangkat keras berhenti. Unit yang rusak tidak lagi bisa ditukar lewat jalur RMA.

Poin kedua yang paling serius. Firewall berdiri tepat di batas antara jaringan internal dan internet; kerentanan yang sudah diketahui publik pada posisi itu adalah undangan terbuka, dan perangkat EOL tidak punya cara untuk menutupnya.

Siklus firmware berjalan terpisah dari perangkat kerasnya

Satu hal yang kerap luput: perangkat keras dan versi firmware punya jadwal masing-masing. Sebuah XGS bisa saja masih jauh dari EOL, sementara versi SFOS yang berjalan di dalamnya sudah melewati akhir dukungannya sendiri.

Kondisi itu lebih umum daripada yang diperkirakan, terutama pada perangkat yang dibiarkan berjalan tenang selama bertahun-tahun tanpa pernah disentuh. Perangkatnya sehat, kontraknya aktif, tapi firmware-nya tertinggal beberapa cabang versi dan sudah tidak menerima perbaikan keamanan.

Kapan sebaiknya mulai merencanakan penggantian

Karena jendela EOS–EOL pada XGS terhitung panjang, perencanaannya sebaiknya dihitung mundur dari EOL, bukan dari EOS:

Baris kedua sering diremehkan. Firewall yang dibeli lima tahun lalu dipilih berdasarkan beban lima tahun lalu — sebelum inspeksi trafik terenkripsi jadi kebutuhan wajib, dan sebelum jumlah perangkat yang terhubung bertambah seperti sekarang. Mengganti satu-lawan-satu dengan model setara sering menghasilkan perangkat yang sudah sempit sejak hari pertama.

Kalau perangkat Anda masih seri XG

Sophos XG Series adalah pendahulu XGS, dan lifecycle-nya sudah tuntas — akhir dukungan perangkat keras XG Series jatuh pada 31 Maret 2025. Unit seri itu yang masih beroperasi hari ini berjalan tanpa pembaruan firmware, tanpa perbaikan kerentanan, dan tanpa jalur dukungan.

Bila armada Anda masih memuat unit XG, itu bukan lagi perkara perencanaan anggaran melainkan perkara paparan yang sedang berjalan. Jalur penggantiannya sendiri relatif lurus: XGS adalah penerus langsungnya, dan konfigurasi SFOS bisa dipindahkan — meski tetap perlu ditinjau ulang alih-alih disalin buta.

Menyusun daftar armada yang berguna

Untuk organisasi dengan perangkat tersebar di beberapa lokasi, daftar yang berguna memuat lebih dari sekadar nama model:

Daftar semacam ini juga menjawab dua pertanyaan yang lazim muncul saat audit: apakah organisasi tahu persis perangkat apa saja yang dimilikinya, dan apakah ada yang sudah melewati masa dukungan. Keduanya sulit dijawab meyakinkan tanpa inventaris tertulis.

Kaitannya dengan kepatuhan

Untuk sektor yang diatur ketat — bank daerah, BPR, dan rumah sakit termasuk — perangkat yang melewati EOL bukan sekadar risiko teknis, melainkan temuan.

Alasannya sulit dibantah: pengendalian keamanan mensyaratkan sistem menerima pembaruan keamanan, dan perangkat yang tidak lagi menerima patch tidak memenuhi syarat itu. Argumen bahwa perangkatnya masih berfungsi normal tidak menjawab pertanyaan yang sedang diajukan pemeriksa. Kerangka pengendaliannya dibahas terpisah di sistem manajemen keamanan informasi.

Kabar baiknya, jarak EOS ke EOL yang panjang pada Sophos memberi ruang yang cukup — asalkan tanggalnya diketahui lebih dulu, bukan ditemukan saat pemeriksaan sedang berlangsung.

Penutup

Kalau hanya satu hal yang perlu diingat dari tulisan ini: pemberitahuan EOS dari Sophos bukan alarm kebakaran. Ia pemberitahuan bahwa hitung mundur sudah dimulai, dan hitung mundurnya biasanya panjang. Yang perlu dikerjakan sekarang cukup tiga langkah — buka kalender resminya, catat Last Renewal Date dan EOL tiap perangkat, lalu cocokkan dengan masa berlaku kontraknya. Setelah itu penggantian bisa masuk siklus anggaran biasa, dan tidak ada lagi keputusan yang diambil terburu-buru.

Untuk perbandingan cara kerja vendor lain, penanda lifecycle Fortinet dibahas terpisah di FortiGate EOL dan EOS, dan cara Sangfor — yang menghitung sebagian masa dukungannya dari tanggal pembelian unit, bukan dari tanggal model — di lifecycle produk Sangfor.