A SASE-megoldások egyik gyakran hangsúlyozott előnye a globális lefedettség: a világ különböző pontjain elhelyezkedő, felhőalapú biztonsági szolgáltatási pontok (PoP-ok), amelyeken keresztül a felhasználók biztonságosan érhetik el az internetet és a vállalati alkalmazásokat.
Ennek egy globálisan vagy több régióban működő nagyvállalat esetében komoly jelentősége lehet. De vajon ugyanez igaz egy Magyarországhoz hasonló, viszonylag kis földrajzi kiterjedésű országban is?
Gondoljunk például egy hazai vállalatra, amelynek munkavállalói Budapestről, Nagykanizsáról vagy Kisvárdáról dolgoznak.
Számukra valóban érdemi előnyt jelent, hogy a szolgáltató akár Los Angelesben is kiváló felhasználói élményt tud biztosítani?
Egy magyarországi vállalat számára tényleg az a legfontosabb szempont, hogy a SASE-szolgáltató hány PoP-pal rendelkezik világszerte?
A SASE valódi értéke nem elsősorban a világ különböző pontjain elhelyezkedő PoP-ok számában rejlik, hanem abban, hogy a vállalati biztonság többé nem egy fizikai helyhez, hanem a felhasználóhoz, az eszközhöz és az alkalmazáshoz kapcsolódik.
A vállalati biztonság már nem állhat meg az iroda ajtajánál
A hagyományos vállalati hálózatbiztonság évtizedeken keresztül egy viszonylag egyszerű modellre épült: volt egy védett belső hálózat, egy vállalati tűzfal, a távoli felhasználók pedig VPN-en keresztül csatlakoztak.
Ez a modell jól működött addig, amíg a munkavállalók többsége az irodában dolgozott, az üzleti alkalmazások pedig a vállalati adatközpontban futottak.
Ma azonban egészen más a helyzet.
A felhasználók otthonról, ügyfeleknél, utazás közben vagy különböző telephelyekről dolgoznak. Az üzleti alkalmazások jelentős része pedig már olyan felhőszolgáltatásokban érhető el, mint a Microsoft 365, a Google Workspace vagy más SaaS-platformok.
Ebben a környezetben egyre kevésbé indokolt minden biztonsági döntést a vállalati hálózat pereméhez kötni.
A SASE egyik legfontosabb szemléletváltása, hogy nem elsősorban azt vizsgálja, hol tartózkodik a felhasználó, hanem azt, hogy ki ő, milyen eszközről csatlakozik, és mely alkalmazásokhoz jogosult hozzáférni.
6 kiemelt terület, ahol a SASE kézzelfogható üzleti értéket teremthet
1. Zero Trust hozzáférés a hagyományos VPN helyett
A ZTNA (Zero Trust Network Access) segítségével a távoli munkavégzéshez nincs feltétlenül szükség hagyományos, hálózati szintű VPN-kapcsolatra. A felhasználó nem a teljes belső hálózathoz kap hozzáférést, hanem kizárólag azokhoz az alkalmazásokhoz, amelyek használatára jogosult. Ez jelentősen csökkentheti a támadási felületet, valamint korlátozhatja a támadók hálózaton belüli oldalirányú mozgásának lehetőségét. Emellett mérsékelhetők vagy akár meg is szüntethetők a központi VPN-koncentrátorok kapacitásával és rendelkezésre állásával kapcsolatos problémák.
2. Egységes biztonsági szabályok, a munkavégzés helyétől függetlenül
A hagyományos környezetekben gyakran eltérő védelmi mechanizmusok érvényesülnek az irodában és azon kívül. A SASE megfelelő kialakítás esetén lehetővé teszi, hogy ugyanazok a biztonsági szabályok vonatkozzanak a felhasználóra, akár az irodából, akár otthonról, akár mobilinternet-kapcsolaton keresztül dolgozik. A webszűrés, az adatvesztés-megelőzés (DLP) és a tűzfalszabályok központilag kezelhetők. Ez nemcsak a biztonságot javíthatja, hanem az üzemeltetést is egyszerűsítheti.
3. Láthatóság és kontroll a SaaS-alkalmazások felett
A vállalati adatok egyre nagyobb része kerül a hagyományos adatközpontokon kívülre. bMicrosoft 365, Google Drive, különböző SaaS-platformok és generatív AI-eszközök: ezek ma már a mindennapi üzleti működés részei. A CASB (Cloud Access Security Broker) és a DLP-funkciók segítségével a vállalat megfelelő integrációk és szabályok mellett átláthatja és szabályozhatja, milyen adatok kerülnek ezekbe a szolgáltatásokba. Például megakadályozható, hogy a felhasználók érzékeny vállalati dokumentumokat töltsenek fel nem engedélyezett felhőszolgáltatásokba vagy AI-eszközökbe. Ezt egy hagyományos peremtűzfal önmagában jellemzően jóval nehezebben tudja megvalósítani.
4. Kevesebb különálló eszköz, egyszerűbb üzemeltetés
Egy tipikus vállalati infrastruktúrában külön megoldások láthatják el a tűzfalazást, a webproxy-funkciókat, a VPN-t, az SD-WAN-t és a felhőbiztonsági feladatokat. Ezek mindegyike külön konfigurációt, frissítést, hibakeresést és sok esetben önálló licencelést igényel. A SASE lehetőséget kínál arra, hogy ezek a funkciók egységes architektúrába és közös menedzsmentfelület alá kerüljenek. Ez különösen értékes lehet Magyarországon, ahol sok szervezet viszonylag kis létszámú IT- és információbiztonsági csapattal működik.
A kevesebb különálló rendszer nem csupán alacsonyabb költségeket jelenthet, hanem kevesebb hibalehetőséget, egyszerűbb szabálykezelést és gyorsabb változtatásokat is.
5. Titkosított forgalom vizsgálata és rugalmas kapacitás
A vállalati internetforgalom jelentős része titkosított. Ennek biztonsági vizsgálata számottevő számítási kapacitást igényelhet, különösen akkor, ha egy hagyományos tűzfal végzi az SSL/TLS-forgalom visszafejtését és elemzését. Felhőalapú biztonsági szolgáltatás esetén ez a terhelés áthelyezhető a szolgáltató infrastruktúrájába. Így a vállalatnak nem feltétlenül kell egyre nagyobb teljesítményű helyi tűzfalakat beszereznie pusztán a növekvő forgalomvizsgálati igények miatt. A megfelelő adatvédelmi és technikai feltételek mellett ez rugalmasabb kapacitáskezelést és egyszerűbb üzemeltetést eredményezhet.
6. Integrált hálózati és biztonsági működés (SD-WAN)
A hálózati és biztonsági funkciók integrációja egyszerűbb telephelyi infrastruktúrát, egységesebb szabálykezelést és jobb átláthatóságot eredményezhet, miközben csökkentheti a különálló hálózati és biztonsági megoldások üzemeltetéséből adódó komplexitást.
A SASE szempontjából tehát az SD-WAN legfontosabb hozzáadott értéke nem önmagában az intelligens forgalomirányítás, hanem az, hogy a hálózati kapcsolatok és a biztonsági szolgáltatások egységes, alkalmazásközpontú architektúrában működhetnek együtt.
Mi a helyzet a PoP-okkal?
Egy globálisan működő vállalat számára a világméretű PoP-lefedettség valóban jelentős előnyt jelenthet.
Egy elsősorban Magyarországon működő szervezet esetében azonban más szempontok is előtérbe kerülnek. Ha a szolgáltatónak nincs magyarországi PoP-ja, előfordulhat, hogy a forgalom például Bécsen vagy Frankfurton keresztül jut el a biztonsági szolgáltatáshoz. Ez önmagában nem feltétlenül jelent problémát. A késleltetés növekedése kedvező hálózati útvonal esetén csupán néhány milliszekundum lehet, de a tényleges hatás függ a szolgáltatótól, az internetszolgáltatói kapcsolatoktól, a forgalom útvonalától és az alkalmazások elhelyezkedésétől. Éppen ezért nem elegendő pusztán a szolgáltató PoP-térképét megvizsgálni.
Valós felhasználói és alkalmazásforgalommal kell mérni a késleltetést, a teljesítményt és a felhasználói élményt.
A másik lényeges kérdés az adatszuverenitás. Nem mindegy, hol történik a forgalom vizsgálata, hol tárolódnak a naplók, és milyen adatkezelési feltételek vonatkoznak a szolgáltatásra. Ez különösen fontos lehet a pénzügyi szektorban, a közszférában és más, szigorúan szabályozott környezetekben.
Mikor nem a SASE a legjobb választás?
A SASE nem univerzális megoldás minden hálózatbiztonsági problémára.
Ha egy vállalatnál szinte minden munkavállaló az irodában dolgozik, az alkalmazások helyben futnak, kevés a SaaS-használat, és mindössze egy-két telephelyet kell védeni, akkor egy megfelelően méretezett új generációs tűzfal (NGFW) és egy célzott ZTNA-megoldás költséghatékonyabb alternatíva lehet.
Külön figyelmet érdemelnek az OT-környezetek és a fizikailag vagy logikailag elkülönített, úgynevezett air-gapped rendszerek is. Ezek speciális rendelkezésre állási, kommunikációs és biztonsági követelményei miatt a felhőalapú SASE-szolgáltatások nem feltétlenül alkalmazhatók közvetlenül, vagy csak korlátozott szerepet kaphatnak.
A SASE előnyei jellemzően akkor válnak igazán látványossá, ha:
- jelentős a távoli és hibrid munkavégzés;
- a felhasználók több telephelyről dolgoznak;
- az üzleti alkalmazások jelentős része SaaS- vagy felhőkörnyezetben működik;
- több különálló biztonsági technológiát kell egységesen kezelni;
- az IT-csapat kapacitása korlátozott.
A döntést ezért nem kizárólag a technológiai képességek, hanem a teljes birtoklási költség (TCO), az üzemeltetési modell és a valós üzleti igények alapján érdemes meghozni.
Összegzés: nem a földrajz a döntő
Egy Magyarországhoz hasonló kis országban a SASE értékét nem elsősorban az határozza meg, hogy a szolgáltató hány országban rendelkezik PoP-pal.
Sokkal fontosabb, hogy képes-e:
- Biztonságos, identitásalapú hozzáférést biztosítani a felhasználóknak.
- Egységes kontrollt kialakítani a SaaS-alkalmazások és a vállalati adatok felett.
- Csökkenteni az üzemeltetési komplexitást a különálló biztonsági rendszerek konszolidációjával.
- Támogatni a szervezet biztonsági és megfelelőségi követelményeit, például a hozzáférés-szabályozás, a naplózás és az auditálhatóság területén.
A SASE-t tehát nem pusztán azért érdemes választani, mert globális hálózatot kínál, hanem azért, mert a vállalati biztonságot hozzáigazítja ahhoz, ahogyan ma ténylegesen dolgozunk.
A kérdés nem az, hogy hány PoP szerepel a szolgáltató térképén, hanem az, hogy ezek a képességek milyen valós biztonsági, üzemeltetési és üzleti előnyt jelentenek a szervezet számára.
