¿Tiene sentido SASE en su entorno?

Expertos de FireMon y Zscaler analizan por qué debería considerar SASE y qué debe saber al realizar la migración

El mundo se ha vuelto híbrido. Algunos activos están on-premise y otros en el cloud. Y todos necesitan gestión. Esa no era una tarea fácil ni siquiera antes del COVID, y ahora que las plantillas son remotas y las cargas de trabajo se han disparado en volumen, el desafío de proporcionar acceso seguro es aún mayor.

El habitual modelo de seguridad de hub-and-spoke no puede proporcionar seguridad eficaz en un entorno híbrido dinámico. Secure Access Service Edge, o SASE (pronunciado «sassy»), es un modelo distribuido que responde a los desafíos de seguridad que enfrentan las empresas hoy. Aunque SASE aún se encuentra en las primeras etapas de adopción, Gartner prevé que su mercado alcanzará casi $11 billion en los próximos cuatro años.

SASE agrupa servicios de WAN y de seguridad de red como CASB y Zero Trust en un único servicio entregado desde el cloud. Sus capacidades se basan en la identidad de la entidad, el contexto en tiempo real, las políticas de seguridad y cumplimiento, y la evaluación continua del riesgo y la confianza durante cada sesión. Las entidades pueden ser personas, grupos de personas, dispositivos, servicios, aplicaciones, dispositivos IoT o ubicaciones de edge computing.

SASE reduce las amenazas al permitir que la política siga al usuario. «A medida que las plantillas y las cargas de trabajo se trasladan a las sucursales, los hogares o las cafeterías, SASE pone todo el stack de seguridad a disposición como una ubicación edge, cerca del usuario», afirmó Naresh Kumar, director de gestión de producto en Zscaler. «Y como la seguridad se acerca al edge, la experiencia del usuario final no se ve afectada. Esa es una pieza crítica de SASE».

Los 3 principales impulsores de la adopción de SASE

«El mayor desafío que hemos visto desde una perspectiva de seguridad es cómo proteger a todos durante este cambio repentino hacia el trabajo desde cualquier lugar», dijo Kumar. «Sucursales, SaaS, plantillas remotas… la seguridad debe aplicarse a todos de manera consistente».

«El siguiente es si TI cuenta con suficientes recursos fuera del perímetro que antes poseía y gestionaba para lograr el nivel de protección deseado. Con la nueva fase de SaaS, se necesita contexto adicional en torno a la gestión de los dispositivos corporativos y personales, como los temas de privacidad de datos».

El tercer desafío, dijo Kumar, es el más importante: cómo garantizar que las políticas corporativas estén normalizadas y que la empresa tenga visibilidad completa en todo su entorno híbrido. Tim Woods, vicepresidente de alianzas tecnológicas en FireMon, agregó: «Esa no es una tarea fácil si se consideran todas las distintas áreas que deben gestionarse desde una perspectiva de seguridad. Pero sin importar cómo conectemos a nuestra gente con los recursos necesarios, aún debemos mantener una visibilidad consistente de las políticas. Es muy importante que tengamos visibilidad y conocimiento de los cambios en ese modelo híbrido de arriba abajo».

Cómo abordar estos desafíos con SASE

«Centralizar los controles de seguridad en todas las entidades»

La visibilidad se ve obstaculizada por lo que Woods denominó fragmentación de la seguridad/responsabilidad. «Cuando falta un control centralizado de políticas (demasiados cocineros en la cocina, por así decirlo), se empieza a ver un impacto negativo en la consistencia, y la inconsistencia crea brechas de seguridad».

«Si maneja hechos de seguridad distintos para sus usuarios ubicados en sucursales o en la sede central frente a sus usuarios remotos que usan una VPN, nunca podrá lograr consistencia», dijo Kumar. «Y la consistencia es un principio clave de SASE. Es esencial para el rendimiento y la escala».

Kumar señaló que la cantidad de herramientas de seguridad que las empresas usan actualmente es parte del problema. «En este momento, los equipos de seguridad y de redes tienen que alternar entre muchas pantallas distintas para entender qué está ocurriendo. Cada entidad, como una sucursal o un usuario, se maneja de una manera diferente». Pero la visibilidad solo se logra cuando se maneja de forma centralizada. Eso incluye la capacidad de gestionar políticas en un entorno heterogéneo como un cloud híbrido.

«Cuando escucho heterogeneidad, pienso en complejidad», dijo Woods. «Y aquí es donde no solo la visibilidad centralizada, sino también el control de calidad centralizado resultan primordiales. No es solo para nuestra propia gente, es para cualquier acceso que permitamos a nuestra infraestructura híbrida extendida». La visibilidad y el control de calidad deben aplicarse a las conexiones de socios, contratistas temporales, filiales, fusiones y adquisiciones, etc., igual que se aplican a las propias conexiones de la empresa. «Debemos considerar esas conexiones remotas y el riesgo potencial que traen consigo», dijo Woods. De lo contrario, la empresa queda a merced de los controles de seguridad que los proveedores externos de esas conexiones hayan decidido implementar, o que hayan dejado de implementar.

«Con demasiada frecuencia hemos visto que ocurren brechas de seguridad como resultado de que un actor malicioso obtiene acceso a una conexión de terceros», dijo Woods. «Los actores maliciosos buscan constantemente ese camino de menor resistencia. Y cuando lo encuentran, sin duda lo explotarán. Por eso, poder incorporar esas conexiones de terceros a su plan de seguridad en el cloud puede asegurar que tenga esa igualdad de condiciones, controles de seguridad equivalentes, en todas las entidades».

«Usted vale tanto como su último cambio»

«No puedo decirle cuántas veces he escuchado de los clientes que no sienten tener una buena perspectiva de la totalidad de sus activos», dijo Woods. «No saben dónde están seguros ni dónde existen sus brechas de seguridad. No saben cuántas herramientas tienen ni cuántas plataformas. No saben cómo compartir información entre plataformas ni cómo enriquecer los datos para elevar el valor total de sus soluciones de seguridad combinadas».

Las empresas que carecen de estas capacidades también carecen de la capacidad de escalar y, desde luego, no pueden escalar bajo demanda. Woods dijo: «El panorama del cloud es como arena movediza. Cambia muy rápido. Es una realidad inquietante si se considera que los recursos que colocamos en el cloud podrían quedar expuestos a internet rápidamente por una simple configuración incorrecta. Esto realmente subraya la necesidad de un modelo ágil de gestión de políticas de seguridad. Me gusta decir que usted vale tanto como su último cambio».

Woods dijo que, antes de implementar un cambio, la empresa ya debería conocer las respuestas a estas preguntas:

• ¿Este cambio romperá el cumplimiento?
• ¿Introducirá un riesgo inaceptable?
• ¿Expondrá la infraestructura a una vulnerabilidad conocida que antes no estaba expuesta, como una causada por un conflicto de políticas?
• ¿Otorga un acceso excesivamente permisivo desde la perspectiva de las políticas?
• ¿Rompe la continuidad del negocio?
• ¿Afectará algo crítico para las operaciones del negocio?

«¿Voy a andar corriendo y resolviendo problemas para averiguar todo eso», preguntó Woods, «o puedo ser proactivo y saber lo suficiente con anticipación para decir: oigan, no podemos permitir este cambio porque ya lo evaluamos y sabemos que tendrá un impacto negativo en nuestra continuidad del negocio?».

«No lleve reglas viejas a sistemas nuevos»

Al hablar de la migración, Kumar dijo: «No es buena idea llevar las mismas políticas de sus appliances al cloud. Entonces solo estaría trasladando el problema de un lugar a otro. La migración al cloud es una oportunidad para identificar qué reglas están protegiendo realmente sus activos. Porque con el tiempo las reglas se acumulan y, a veces, esas reglas ya ni siquiera se activan. Simplemente están ahí, sin hacer nada más que ralentizar su rendimiento y quizá incluso crear vulnerabilidades».

«El exceso de políticas es un problema real», dijo Woods. «Es todo lo que se va acumulando en las políticas con el tiempo y que no necesita estar ahí, ya sean reglas sin uso, reglas redundantes, reglas ocultas, reglas duplicadas o errores técnicos, reglas estancadas, reglas que simplemente se durmieron. Y si no se mantiene vigilante para controlarlas, pueden ocurrir cosas malas, como accesos inadvertidos. Intentar analizar el comportamiento de las políticas se vuelve un caos. Así que, cada vez que quiera migrar una política, mi recomendación es asegurarse siempre de partir de una política buena y limpia. Debe tener sentido para el entorno al que se está mudando.

SASE ayuda a las empresas a «ser más rápidas que el cambio»

Los cinco factores que atentan contra la agilidad de las políticas de seguridad de red son:

1. Falta de visibilidad/conocimiento
2. Falta de compatibilidad/integración
3. Cambios en el entorno
4. Incapacidad de escalar
5. Superficie de ataque en expansión

SASE ayuda a las organizaciones a liberarse de estas restricciones al habilitar un cumplimiento consistente y proactivo, combinado con visibilidad y gestión de políticas centralizadas y simplificadas. Las empresas pueden hacer seguimiento de todo lo que ocurre en la red. El resultado, dijo Woods, son «resultados de negocio positivos derivados de tener una postura proactiva y de monitorear los cambios. Las empresas necesitan ser “más rápidas que el cambio”, es decir, quiero poder analizar un cambio antes de que se implemente. Si no evalúa los cambios, lo van a tomar desprevenido. Tarde o temprano, se le escapará algo crítico. Donde sea que podamos reducir la complejidad, lograremos inherentemente mejor seguridad y cumplimiento».