Skyhigh Hybrid SSE Mesh: arquitectura e implementación
- Skyhigh Hybrid SSE Mesh unifica los dispositivos SWG locales y la seguridad en la nube en una única consola y un único motor de políticas.
- El plano de datos puede permanecer en las instalaciones, de modo que el descifrado e inspección TLS se realicen en la infraestructura del cliente.
- La ZTNA local en las pasarelas de los clientes amplía el modelo «zero trust» a los usuarios internos, los recursos y los agentes de IA.
- Las soluciones CASB en la nube, DSPM, DLP y « remote browser isolation » se gestionan desde una misma consola, a su propio ritmo.
- La política se aplica como código a los puntos de aplicación físicos, virtuales y en la nube para evitar desviaciones.
Skyhigh Hybrid SSE Mesh es la arquitectura híbrida « Security Service Edge » de Skyhigh Security. Permite a las organizaciones aplicar las medidas de SSE de forma local, en la nube o en ambos entornos, con un único motor de políticas y una única consola que gestiona todos los puntos de aplicación. Está diseñada para aquellas organizaciones cuyos requisitos de cumplimiento normativo, soberanía, resiliencia o rendimiento impiden que todo el tráfico se enrute a través de la nube de un proveedor.
Este artículo forma parte de la guía sobre seguridad en la nube híbrida.
¿Qué es el SSE híbrido?
El SSE híbrido es una implementación de « Security Service Edge » que aplica una única política tanto en la nube como en las instalaciones, en lugar de desviar todo el tráfico a través de la nube de un proveedor.
Security Service Edge (SSE) garantiza el acceso a la web, a los servicios en la nube y a las aplicaciones privadas. Gartner define el SSE como una solución que se presta principalmente a través de la nube, aunque señala que puede incluir componentes locales o basados en agentes.
El SSE híbrido se toma muy en serio esa segunda parte. En lugar de considerar la aplicación de políticas en las instalaciones como un vestigio del pasado, el SSE híbrido sitúa la aplicación de políticas allí donde se origina cada flujo de tráfico: en los puntos de presencia en la nube para los usuarios remotos que acceden a servicios SaaS, y en las pasarelas locales o de las sucursales para el tráfico que comienza y termina dentro de la red. El estudio de mercado de Gartner sobre SSE para 2026 señala que los proveedores ofrecen cada vez más dispositivos virtuales o de hardware que amplían el plano de datos de SSE en las instalaciones, lo que permite el procesamiento local del tráfico y la resiliencia frente a interrupciones imprevistas del servicio en la nube, tal y como se cita en el anuncio deSkyhigh Securityde agosto de 2026.
Lo más complicado de la SSE híbrida no es la implementación de los dispositivos. Lo más complicado es garantizar que la aplicación de las políticas, tanto en las instalaciones como en la nube, se rija por la misma política, de modo que un usuario, un tipo de datos o una aplicación reciban el mismo trato, independientemente del punto de aplicación que gestione el tráfico.
Cómo funciona la malla Skyhigh Hybrid SSE
Skyhigh Hybrid SSE Mesh consta de tres capas: un plano de control unificado, un plano de datos distribuido y servicios prestados desde la nube que se gestionan desde una misma consola.
Plano de control unificado
Una única consola y un único motor de políticas gestionan SWG, CASB, DLP, RBI, ZTNA, los controles de navegador seguro, DSPM y los controles de IA. Skyhigh describe una arquitectura de «políticas como código» que aplica las políticas automáticamente en dispositivos físicos, sistemas virtuales y nodos en la nube, sin necesidad de una conciliación manual entre entornos (Skyhigh Security). La actualización de la plataforma de Skyhigh de marzo de 2026 incorporó una gestión unificada de políticas independiente de la ubicación, un marco de políticas programable y extensible, así como una supervisión y generación de informes consolidadas en toda la plataforma (Skyhigh Security).
Plano de datos distribuido
Las operaciones de control se llevan a cabo allí donde hay tráfico:
- Los dispositivos SWG instalados en las propias instalaciones y en las sucursales inspeccionan el tráfico web de forma local, lo que incluye el descifrado de TLS. La versión de marzo de 2026 de Skyhigh introdujo una arquitectura de dispositivos en contenedores diseñada para ofrecer escalabilidad, junto con el enrutamiento dinámico del tráfico.
- El modelo ZTNA local se ejecuta en las propias puertas de enlace locales y de las sucursales de la organización, en lugar de a través de un nodo en la nube gestionado por un proveedor, por lo que la aplicación del modelo «cero confianza» abarca los sistemas internos y el tráfico que nunca sale del edificio.
- Cloud SWG protege a los usuarios remotos y en itinerancia sin necesidad de redirigir su tráfico a un centro de datos.
Extensiones ofrecidas a través de la nube
Desde la misma consola, las organizaciones pueden añadir CASB, DSPM, DLP y remote browser isolation en la nube. El registro de servicios en la nube de Skyhigh evalúa los servicios en la nube en función de 56 atributos repartidos en seis pilares de riesgo (datos, identidad, alojamiento, negocio, aspectos legales y riesgo cibernético), de modo que las políticas puedan distinguir entre servicios que comparten una categoría de URL pero que difieren en cuanto a la residencia de los datos, el cifrado o las condiciones legales.
Opciones de implementación compatibles
Skyhigh Hybrid SSE Mesh puede ejecutarse en las propias instalaciones, en un modelo híbrido o en la nube, y las organizaciones pueden cambiar de un modelo a otro con el paso del tiempo.
| Modelo de implantación | Dónde se realizan las inspecciones | Ajuste típico |
|---|---|---|
| En las propias instalaciones | Centros de datos y sucursales de los clientes | Tráfico web sujeto a restricciones de soberanía y sitios web que requieren una aplicación local; validar todas las dependencias para entornos con conectividad restringida |
| Híbrido | Instalaciones propias para el tráfico local, la nube para los usuarios remotos y SaaS | La mayoría de las empresas sujetas a regulación y los proyectos de modernización de Blue Coat |
| Nube | Puntos de presencia en la nube de Skyhigh | Organizaciones que dan prioridad al teletrabajo y que no tienen ningún requisito de inspección presencial |
Las organizaciones pueden comenzar con un modelo y pasar de uno a otro. El SWG híbrido de Skyhigh permite sincronizar las políticas locales con la nube, ya sea migrándolas por completo o manteniéndolas separadas, al tiempo que se comparten listas sincronizadas (Skyhigh Security).
En entornos que no pueden depender de la conectividad externa, la pasarela web local y la aplicación del modelo de acceso «Zero Trust» continúan funcionando en la Secure Service Gateway. Los servicios que se aplican a través de la nube de Skyhigh —entre los que se incluyen la protección de datos, remote browser isolation, los controles de seguridad basados en IA, CASB y la gestión del estado de seguridad de los datos— no están disponibles mientras un sitio se encuentre desconectado; por lo tanto, se deben tener en cuenta estos requisitos durante la fase de diseño. Para las agencias federales de EE. UU. y las organizaciones de la base industrial de defensa, la plataforma cuenta con la autorización FedRAMP High.
Inspección y gestión de pólizas
La inspección se lleva a cabo allí donde fluye el tráfico, con descifrado TLS local para el tráfico interno y un único motor de políticas que regula los controles de amenazas, datos y navegadores.
Inspección TLS local. El descifrado y la inspección de SSL/TLS se llevan a cabo en la propia infraestructura de la organización. Los datos descifrados no tienen que atravesar límites de terceros ni jurisdiccionales, lo que simplifica las evaluaciones en materia de soberanía y privacidad. Esto también se ajusta a las directrices de la NSA de realizar la inspección TLS una sola vez, dentro de la red empresarial (NSA).
Control de salida. Las direcciones IP de salida dedicadas y el anclaje de la dirección IP de origen permiten a las organizaciones enrutar el tráfico de Internet inspeccionado en la nube a través de direcciones IP públicas que se les han asignado, lo que permite aplicar restricciones de dirección IP de origen, tener en cuenta la reputación de las direcciones IP y cumplir los requisitos jurisdiccionales.
Exposición de aplicaciones privadas. Documente la conectividad de entrada y salida que requieren las pasarelas, los conectores y las interfaces de gestión, y confirme la topología seleccionada con Skyhigh.
Detección de amenazas. La protección antimalware de la pasarela aborda las amenazas en el primer salto, en la Pasarela de Servicios Seguros. A través de la nube de Skyhigh se aplican técnicas de «sandboxing» basadas en emulación, análisis del comportamiento de usuarios y entidades (UEBA) y análisis de la red de amenazas ( remote browser isolation ) al tráfico que reenvía la pasarela.
Protección unificada de datos. Un único motor de políticas de DLP se aplica de forma unificada a la web, el SaaS, las herramientas de IA, las aplicaciones privadas y los terminales, de modo que la misma clasificación rige tanto una subida de archivos a la web como un intercambio de datos en el SaaS o una solicitud a una IA generativa. La política de DLP se crea una sola vez y se aplica en la nube de Skyhigh, incluso para el tráfico reenviado desde puntos de aplicación locales.
Controles de seguridad para el navegador. La seguridad del navegador sin agentes en el perímetro de la red local aplica controles en línea a las cargas y descargas, las operaciones de copiar y pegar, la actividad de la sesión y las interacciones con la IA en cualquier navegador estándar, sin necesidad de implementar un navegador corporativo ni extensiones. La inspección compatible con WebSocket se extiende al tráfico de los agentes de IA y de mensajería.
Casos de uso
La solución Hybrid SSE Mesh resulta adecuada para aquellas organizaciones que necesitan un control local sobre los datos regulados, la tecnología operativa, los agentes de inteligencia artificial o la sustitución de pasarelas heredadas.
Servicios financieros regulados. Las entidades sujetas a los requisitos de la DORA, la FCA o la MAS pueden conservar los datos personales descifrados dentro de su propia infraestructura sin dejar de adoptar soluciones CASB y DLP en la nube. Consulte «Soberanía de los datos en la seguridad de la nube híbrida».
Administración pública y defensa. La autorización «FedRAMP High» se aplica a entornos con requisitos de autorización estrictos, mientras que la aplicación local en la «Secure Service Gateway» se aplica a emplazamientos con conectividad limitada.
Sanidad. Los datos de los pacientes pueden permanecer dentro del perímetro físico, mientras que los profesionales sanitarios utilizan aplicaciones en la nube sujetas a la misma política.
Sector manufacturero e infraestructuras críticas. La aplicación de políticas en la web local y en aplicaciones privadas puede complementar la segmentación gestionada por el cliente entre las redes corporativas de TI y las redes de OT/SCADA. Confirme qué controles proporciona Skyhigh y cuáles requieren componentes de terceros.
Agentes de IA dentro de la red. Los agentes autónomos pueden heredar permisos de acceso a nivel de usuario, encadenar API y transferir datos a través de conexiones WebSocket persistentes que se originan dentro de la red. El ZTNA local y la inspección compatible con WebSocket permiten aplicar las medidas de control allí donde realmente se produce dicho tráfico.
Secure web gateway modernización. Las organizaciones que sustituyan Symantec Edge SWG (anteriormente, ProxySG de Blue Coat ) pueden implementar dispositivos Skyhigh junto con las pasarelas existentes, validar las políticas y retirar el hardware obsoleto según su propio calendario. Consulte «Alternativas aBlue Coat » y «Sustitución de ProxySG».
Ruta de implementación
Skyhigh implementa Hybrid SSE Mesh en cuatro fases que se ejecutan en paralelo a la infraestructura existente, de modo que la política se valida antes de cualquier cambio de sistema:
- Evaluar y planificar. Realizar un inventario de las políticas existentes, delimitar las zonas de soberanía de datos y los entornos OT/SCADA, y establecer una referencia del rendimiento de la inspección TLS.
- Implemente el sistema en paralelo. Instale los dispositivos Skyhigh SWG junto a las puertas de enlace actuales, importe y valide las configuraciones de referencia de las políticas, y gestione el tráfico en paralelo sin interrumpir el servicio de producción.
- Adopte capacidades unificadas. Habilite el ZTNA local y los controles de navegador seguro, amplíe la solución con CASB, DSPM y DLP en la nube, y retire los dispositivos heredados cuando esté preparado.
- Racionalice y optimice. Ajuste el consumo, elimine los derechos no utilizados y perfeccione continuamente la política como código.
Según Skyhigh, la mayoría de las organizaciones llevan a cabo las fases dos y tres en paralelo durante un periodo de entre seis y doce meses. Las funcionalidades se conceden mediante licencias por derecho de uso, por lo que las nuevas funciones, como el ZTNA local o los controles de navegador seguro, pueden activarse cuando sea necesario.
Por qué las organizaciones eligen Skyhigh Hybrid SSE Mesh
Las organizaciones eligen Skyhigh Hybrid SSE Mesh porque la aplicación de políticas tanto en las instalaciones como en la nube funciona como un único sistema, lo cual cuenta con el respaldo del reconocimiento de analistas independientes.
Skyhigh Security ocupó el primer puesto en la categoría «Casos de uso avanzados de SSE» del informe « Critical Capabilities » de Gartner® de 2026 sobre « Security Service Edge ». Más de 3.000 organizaciones utilizan Skyhigh, entre ellas el 80 % de los principales bancos mundiales y el 25 % de las empresas de la lista Fortune 500.
La diferencia práctica radica en el aspecto arquitectónico: la aplicación de políticas tanto en las instalaciones como en la nube no son productos independientes con políticas distintas. Se trata de un único sistema.
Siguiente paso: Solicite una evaluación de la arquitectura híbrida o consulte Secure Web Gateway para obtener información sobre la arquitectura híbrida.
Fuentes
- Skyhigh Security. «Modernización de su solución Symantec Edge Secure Web Gateway con Skyhigh Hybrid SSE Mesh» (15 de julio de 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. «Skyhigh Security anuncia nuevas soluciones para reforzar su innovadora plataforma universal SSE» (24 de marzo de 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. «Skyhigh Security , clasificada en el primer puesto en la categoría de casos de uso avanzados de SSE en el informe de Gartner de 2026 « Critical Capabilities » para Security Service Edge» (5 de agosto de 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Skyhigh Security. «La adopción de la tecnología híbrida es ahora más sencilla gracias a la plataforma Skyhigh SSE» (3 de octubre de 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. Modernización de Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html
- Skyhigh Security. Secure Web Gateway para Hybrid. https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
- Gartner. «Security Service Edge » (SSE), Glosario de tecnologías de la información. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NSA. Gestión de riesgos derivados de la inspección de la seguridad de la capa de transporte (noviembre de 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
GARTNER es una marca comercial registrada y una marca de servicio de Gartner, Inc. y/o sus filiales en Estados Unidos y a nivel internacional, y se utiliza en el presente documento con autorización. Todos los derechos reservados. Gartner no respalda a ningún proveedor, producto o servicio mencionado en sus publicaciones de investigación.