Soluciones de seguridad para la nube híbrida: cómo comparar proveedores

Las soluciones de seguridad para la nube híbrida protegen a los usuarios, las aplicaciones y los datos tanto en la infraestructura local como en los servicios en la nube. Comparar proveedores resulta complicado, ya que estos utilizan el mismo lenguaje para referirse a productos muy diferentes. Esta guía explica las categorías de soluciones, los requisitos más importantes y un método de puntuación para evaluar comparativamente a los proveedores de seguridad para la nube híbrida.

Este artículo forma parte de la guía sobre seguridad en la nube híbrida.

Tipos de soluciones de seguridad para la nube híbrida

Las soluciones de seguridad para la nube híbrida se clasifican en seis categorías principales, y la mayoría de los entornos híbridos necesitan varias de ellas.

Saber en qué categoría vende realmente un proveedor evita que se realicen comparaciones erróneas.

Esta guía se centra en la primera y la cuarta categoría: soluciones que garantizan la seguridad del movimiento de usuarios y datos entre entornos en la nube y locales. Es ahí donde las decisiones relativas a la arquitectura híbrida tienen mayor repercusión en el riesgo diario. Para obtener información sobre la arquitectura en general, consulte «Seguridad en la nube híbrida: arquitectura y prácticas recomendadas».

Los cinco criterios que hay que comparar

Compare los proveedores de seguridad para la nube híbrida en función de cinco criterios: flexibilidad de implementación, protección de datos, control de políticas, integración y migración.

1. Flexibilidad de implementación

El modelo híbrido no es una simple casilla que marcar. Pregunte exactamente dónde se puede ejecutar la aplicación y qué aspectos dependen de la nube del proveedor.

• ¿Qué funciones están disponibles en cada modo y cuáles se proporcionan desde la nube del proveedor, independientemente del lugar en el que se inspeccione el tráfico?
• ¿Los componentes locales son dispositivos físicos, máquinas virtuales, contenedores o los tres?
• ¿Qué funciones siguen requiriendo conexión a la nube del proveedor cuando se ejecutan en las propias instalaciones (licencias, actualizaciones, inteligencia sobre amenazas, gestión)?
• ¿Se admite el funcionamiento en modo «air-gapped» o desconectado?
• ¿Pueden los usuarios remotos acceder a las aplicaciones privadas sin necesidad de pasar por un centro de datos, y pueden los usuarios locales acceder a ellas sin necesidad de pasar por la nube?

La definición del glosario de Gartner sobre security service edge señala que el SSE se presta principalmente en la nube, aunque puede incluir componentes locales o basados en agentes. El grado en que un proveedor ofrece soporte para dichos componentes varía considerablemente.

2. Protección de datos

La protección de datos es el ámbito en el que las soluciones híbridas presentan mayores diferencias.

• ¿Cubre un único motor de políticas DLP la web, el SaaS (en línea y mediante API), las aplicaciones privadas, los terminales, el correo electrónico y las herramientas de IA generativa?
• ¿La clasificación es común a todos los canales o se configura por separado para cada producto?
• ¿Está integrado el DSPM, de modo que la detección de datos en reposo sirva de base para la política en línea?
• ¿Dónde se descifra el tráfico y dónde se almacenan las copias de los incidentes de DLP?

3. Control de políticas

• ¿Existe un único motor de políticas para la aplicación de las mismas tanto en las instalaciones como en la nube, o se trata de una consola que gestiona motores independientes?
• ¿Es posible gestionar las políticas como código, asignarles versiones y revertirlas?
• ¿Cómo se transmiten los cambios en las políticas a todos los puntos de aplicación y cómo se detectan las desviaciones?
• ¿Puede una política combinar la identidad, el estado del dispositivo, la clasificación de datos y las señales de riesgo?

Los motores independientes bajo una misma consola siguen generando desviaciones. Pida al proveedor que modifique una regla durante la demostración y que muestre cómo se aplica tanto en una pasarela local como en un punto de presencia en la nube.

4. Integración

• ¿Qué proveedores de identidad, agentes de terminal, plataformas SIEM y SOAR y sistemas de gestión de incidencias son compatibles de forma nativa?
• ¿Es posible transmitir los registros a su SIEM casi en tiempo real y restringir su destino por región?
• ¿Se integra la solución con los módulos de seguridad de hardware y los entornos de aislamiento existentes?
• ¿Están las API lo suficientemente documentadas y completas como para permitir la automatización?

5. Migración

La mayoría de los compradores están sustituyendo algo, a menudo un proxy obsoleto.

• ¿Existe algún método definido para aplicar la política ya existente? ¿Qué parte del proceso está automatizada y qué debe validarse manualmente?
• ¿Puede la nueva solución funcionar en paralelo con la actual durante la validación?
• ¿Qué servicios profesionales se incluyen y quién es el responsable del plan de transición?
• ¿Existen programas comerciales que compensen el valor residual del contrato del producto que se va a sustituir?

Consulte la «Lista de comprobación para la migración aSecure Web Gateway : transición y reversión».

Lista de verificación de los requisitos de seguridad de la nube híbrida

Considere estos requisitos de seguridad de la nube híbrida como criterios de «aprobado o suspendido» antes de puntuar a cualquier proveedor:

• Aplicación de políticas disponible tanto en las instalaciones como en la nube mediante un único motor de políticas
• Opción de inspección TLS local para el tráfico regulado
• Acceso a la red de cero confianza ( private access , ZTNA) por aplicación para usuarios remotos y presenciales
• DLP unificado para la web, el SaaS, las aplicaciones privadas, los terminales y las herramientas de IA
• Comportamiento documentado cuando no se puede acceder a la nube del proveedor
• Controles relativos a los registros y a la residencia de los datos
• Certificaciones y autorizaciones pertinentes (por ejemplo, FedRAMP, SOC 2 Tipo II, ISO 27001, programas regionales)
• Compatibilidad con la migración en ejecución paralela

Cuadro de mando de evaluación

Pondere cada requisito en función de su entorno y, a continuación, puntúe a los proveedores del 1 al 5.

Las organizaciones sujetas a normativa suelen dar mayor importancia a la protección de datos y a la flexibilidad de implementación. Las organizaciones que dan prioridad a la nube y que no tienen la obligación de realizar inspecciones locales pueden dar mayor importancia a la integración y a la experiencia del usuario.

Preguntas que debe plantear a los proveedores de seguridad en la nube híbrida

Las preguntas adecuadas obligan a los proveedores a demostrar la coherencia de sus políticas, la gestión de los datos y el comportamiento ante fallos, en lugar de limitarse a describirlos.

1. Muéstrenos un cambio en la política que se aplique tanto a una pasarela local como a un punto de presencia en la nube.
2. ¿Dónde se descifra exactamente nuestro tráfico y quién puede acceder al contenido descifrado?
3. ¿En qué países se almacenarán nuestros registros, las pruebas de incidentes y los datos de telemetría? ¿Podemos restringir dicho almacenamiento?
4. ¿Qué ocurre con la inspección y el servicio « private access » si no se puede acceder a su servicio en la nube durante cuatro horas?
5. ¿Cómo se actualizan los componentes locales? ¿Es posible realizar actualizaciones por fases?
6. ¿Cómo gestionan las conexiones WebSocket y otras conexiones de larga duración que utilizan las herramientas y los agentes de IA?
7. ¿Qué evaluaciones y certificaciones de analistas independientes abarcan los componentes específicos que estamos adquiriendo?
8. ¿Cómo es, en términos de semanas, una migración típica desde nuestro producto actual, y qué es lo que los clientes suelen subestimar con mayor frecuencia?

Realización de una prueba de concepto

Una prueba de concepto útil pone a prueba sus hipótesis más arriesgadas, no las mejores características del proveedor.

• Tráfico: Utilice tráfico real procedente de un grupo piloto, incluyendo un sitio con un elevado rendimiento.
• Inspección TLS: Mida la latencia y el rendimiento con la inspección activada al volumen de producción previsto.
• Protección de datos: genere documentos de prueba con sus propios patrones de datos sensibles y compruebe que la detección sea coherente en las cargas de datos en la web, en aplicaciones SaaS y en herramientas de IA.
• Fallo: Simule la pérdida de conectividad con la nube del proveedor y observe qué elementos siguen funcionando.
• Operaciones: Asegúrese de que sean sus administradores, y no los ingenieros del proveedor, quienes realicen los cambios en las políticas y resuelvan los problemas relacionados con un sitio bloqueado.

Señales de alerta

Estas señales de alerta suelen indicar que el soporte técnico para soluciones híbridas de un proveedor es más limitado de lo que sugiere su campaña de marketing.

• «Híbrido» significa únicamente que la nube del proveedor puede conectarse a su centro de datos.
• Los productos locales y en la nube cuentan con una sintaxis de políticas distinta o con diccionarios de DLP distintos.
• El proveedor no puede indicar dónde se procesan los datos descifrados.
• Private access Para los usuarios locales, es necesario realizar un recorrido de ida y vuelta a través de la nube.
• La migración se describe como una importación de archivos sin ningún paso de validación.

El lugar que ocupa « Skyhigh Security »

Skyhigh Security Es adecuado para organizaciones que necesitan una aplicación de políticas tanto en las instalaciones como en la nube, regulada por un único motor de políticas.

Skyhigh Hybrid SSE Mesh unifica los dispositivos SWG locales, el ZTNA local y los controles de navegador seguro con CASB, DSPM, DLP y RBI en la nube, todo ello bajo una única consola y un único motor de políticas. La inspección TLS local se ejecuta en la propia infraestructura de la organización, mientras que el tráfico pertinente se reenvía a los servicios aplicados en la nube. Las políticas se implementan como código en los puntos de aplicación físicos, virtuales y en la nube.

Skyhigh Security ocupó el primer puesto en el caso de uso «Advanced SSE» del informe « Critical Capabilities » de Gartner® de 2026 sobre « Security Service Edge » (comunicado). La plataforma cuenta con la autorización FedRAMP High y otras certificaciones, entre las que se incluyen IRAP, BSI C5, SOC 2 Tipo II y CSA STAR Nivel 2, según Skyhigh Security.

Fuentes

1. Gartner. «Security Service Edge » (SSE), Glosario de tecnologías de la información. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
2. NSA y CISA. Las diez principales estrategias de mitigación de riesgos de seguridad en la nube (7 de marzo de 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
3. NIST. SP 800-215: Guía para un entorno de red empresarial seguro (noviembre de 2022). https://csrc.nist.gov/pubs/sp/800/215/final
4. Skyhigh Security. «Skyhigh Security , clasificada en el primer puesto en la categoría de casos de uso avanzados de SSE en el informe de Gartner de 2026 « Critical Capabilities » para Security Service Edge» (5 de agosto de 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
5. Skyhigh Security. Modernización de Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html

GARTNER es una marca comercial registrada y una marca de servicio de Gartner, Inc. y/o sus filiales en Estados Unidos y a nivel internacional, y se utiliza en el presente documento con autorización. Todos los derechos reservados. Gartner no respalda a ningún proveedor, producto o servicio mencionado en sus publicaciones de investigación.