Modernización de su solución Symantec Edge Secure Web Gateway con Skyhigh Hybrid SSE Mesh

Por Sarang Warudkar - Gestor técnico sénior de marketing de productos

15 de julio de 2026 6 Minutos de lectura

Las organizaciones que utilizan Symantec Edge Secure Web Gateway (anteriormente, Blue Coat ProxySG) se enfrentan a un plazo de decisión cada vez más ajustado. Broadcom dejó de ofrecer soporte para el aislamiento web en las instalaciones a partir del 1 de enero de 2024. SGOS 7.3 llegará al final de su ciclo de vida tras el 31 de diciembre de 2026, y no se ofrecerán nuevas funciones a partir de esa fecha. Al mismo tiempo, los agentes de IA que operan dentro de las redes empresariales han creado una brecha de «confianza cero» que las arquitecturas de proxy exclusivamente en la nube no pueden subsanar.

Este es el motivo por el que conviene modernizarse ahora, y la razón por la que Skyhigh Hybrid SSE Mesh es la solución que permite mantener el control local allí donde así lo exige el cumplimiento normativo.

Por qué el plazo para tomar una decisión se agota en 2026

Este año se están dando tres factores que suponen un reto para los clientes de Symantec Edge SWG.

Los agentes de IA han creado una brecha de «confianza cero» dentro de su perímetro que ni Symantec Edge SWG ni una solución SSE exclusivamente en la nube pueden subsanar. Los agentes autónomos de IA heredan el acceso a nivel de usuario, consultan sistemas internos, encadenan API entre sí y transfieren datos confidenciales a la velocidad de una máquina. Muchos de ellos operan a través de conexiones WebSocket persistentes que la arquitectura de proxy de Symantec Edge SWG nunca fue diseñada para inspeccionar y a las que la inspección de proxy en la nube no puede acceder, ya que las sesiones se originan dentro de la red, y no en el perímetro de Internet.

Broadcom no ofrece una solución para esta carencia. Symantec Edge SWG carece de capacidad de ZTNA en las propias instalaciones y de seguridad para navegadores sin agente para el acceso a herramientas de IA. Recurrir a Symantec SSE, propiedad de Broadcom, tampoco supone una solución, ya que se trata de una arquitectura exclusivamente en la nube que sigue sin poder aplicar controles de confianza cero a los agentes de IA que operan dentro de su red.

Los proveedores de SSE que operan exclusivamente en la nube se enfrentan a la misma limitación. La aplicación del modelo «zero trust» que se desarrolla exclusivamente en la nube no puede controlar el tráfico que nunca sale del edificio.

Skyhigh Hybrid SSE Mesh aborda este problema justo en el punto donde realmente se produce. El ZTNA local se ejecuta en sus propias puertas de enlace locales y de sucursales, y no a través de un nodo en la nube gestionado por un proveedor, por lo que la aplicación del modelo «zero trust» llega a los agentes de IA y a los sistemas internos que los proxies en la nube no pueden ver. Los controles de navegador seguro sin agentes añaden una inspección en línea mediante IA y cobertura compatible con WebSocket en cualquier navegador estándar en el perímetro de la red local, sin que sea necesario implementar un navegador corporativo. Se trata de capacidades que Broadcom no puede ofrecerle y que tampoco le proporcionará un proveedor de SSE que opere exclusivamente en la nube.

Las licencias de Broadcom están reduciendo el valor de la pila actual. Para garantizar una seguridad completa de la web, los datos y la nube en la plataforma de Broadcom, es necesario gestionar consolas independientes para Edge SWG, Cloud SWG y Symantec DLP, cada una con su propio motor de políticas, referencia de licencia y ciclo de renovación. Las discrepancias en las políticas entre estos tres entornos generan riesgos de auditoría. El modelo de precios por usuario y por módulo de Broadcom aplica la misma tarifa tanto si una función se ejecuta a diario como si lo hace una vez al año.

La orientación estratégica de Broadcom es la prestación de servicios exclusivamente en la nube. Para aquellas organizaciones cuyos marcos de cumplimiento, requisitos de soberanía o entornos OT/SCADA exijan un control local de los datos, la elección en la plataforma de Broadcom consiste en permanecer en una pila que se está retirando del mercado o aceptar una arquitectura exclusivamente en la nube que vuelve a plantear los problemas que se pretendía resolver con la solución local.

Las Skyhigh Hybrid SSE Mesh están diseñadas para la tercera vía.

Modelo «Zero Trust» para usuarios, recursos y agentes de IA locales

Skyhigh Hybrid SSE Mesh unifica los dispositivos SWG locales con la seguridad prestada en la nube bajo una única consola y un único motor de políticas. El plano de datos permanece físicamente en las instalaciones, allí donde así lo exijan el cumplimiento normativo y la soberanía. Las capacidades en la nube se amplían al ritmo que marque la organización.

El ZTNA local se ejecuta en sus propias puertas de enlace locales y de sucursales, aplicando controles de «cero confianza» a los usuarios, los recursos internos y los agentes de IA que operan dentro de la red. Este es el punto de aplicación que las arquitecturas exclusivamente en la nube no pueden alcanzar. Los controles de navegador seguro sin agente añaden una inspección en línea de las indicaciones mediante IA y una cobertura compatible con WebSocket en el perímetro de la red local, en cualquier navegador estándar, sin que sea necesario implementar un navegador corporativo. Ambas capacidades están disponibles el mismo día en que la organización las necesita a través del modelo de tokens basado en el consumo.

Broadcom no ofrece estas funciones en Symantec Edge SWG, y ni el propio Symantec SSE de Broadcom ni ningún proveedor de SSE exclusivamente en la nube pueden proporcionarlas, ya que la aplicación de las políticas debe realizarse dentro de la red en la que se origina el tráfico.

Control local para el cumplimiento normativo y la soberanía

Skyhigh lleva a cabo el descifrado y la inspección de SSL/TLS de forma local. Los datos confidenciales nunca traspasan los límites de terceros ni las fronteras jurisdiccionales. El ZTNA local se ejecuta en sus propias puertas de enlace locales y de sucursales, y abarca agentes de IA que operan a través de conexiones WebSocket persistentes. La arquitectura de centro de datos «oscuro», sin puertos de escucha entrantes, bloquea el escaneo externo y el movimiento lateral.

En el caso de los equipos de servicios financieros sujetos a las normativas DORA, FCA o MAS, la información de identificación personal (PII) descifrada permanece dentro de la infraestructura de la entidad. Para los equipos de defensa y de la administración pública, la plataforma cuenta con la autorización FedRAMP High y admite la implementación con aislamiento físico (air-gap). En el caso de los equipos del sector sanitario, los datos de los pacientes permanecen dentro del perímetro físico. En los sectores de la fabricación y las infraestructuras críticas, la segmentación de la red en entornos OT/SCADA impide que el ransomware se propague desde el sistema informático corporativo a los sistemas operativos.

Controles de seguridad del navegador

Los controles de navegador seguro de Skyhigh ofrecen seguridad en línea y sin agentes en el perímetro de la red local. La inspección compatible con WebSocket abarca el tráfico de los agentes de IA y las aplicaciones de mensajería que los proxies en la nube convencionales no pueden detectar. La prevención de fugas de datos (DLP) en línea y la gestión basada en indicaciones de IA se aplican a cualquier navegador estándar sin necesidad de sustituir el navegador corporativo, sin proyectos de implantación y sin interrupciones para los usuarios. Los controles de navegador seguro se activan mediante el modelo de tokens basado en el consumo el mismo día en que la organización los necesita.

Preservación de la política de CPL

Las políticas existentes en CPL (Content Policy Language) se transfieren a través de la consola unificada de políticas de Skyhigh. Las reglas que los equipos de seguridad han perfeccionado a lo largo de los años se migran y se reformulan en el motor de Skyhigh mediante un proceso de importación validado. A continuación, una arquitectura de «política como código» distribuye automáticamente dichas políticas a los dispositivos físicos, los sistemas virtuales y los nodos en la nube, sin necesidad de conciliaciones manuales y sin desviaciones entre entornos.

Las organizaciones que han dedicado años a la optimización de la política de CPL ( Blue Coat ) inician el proceso de modernización partiendo del estado actual de su política.

Plataforma de seguridad basada en IA: protección unificada de los datos en todos los canales

Skyhigh aplica una estrategia unificada de prevención de pérdida de datos (DLP) en la web, el SaaS, las herramientas de IA, las aplicaciones privadas y los terminales a partir de un único motor de políticas. La misma clasificación que rige una subida de archivos a la web también rige un intercambio en el SaaS y una solicitud de IA generativa. La tecnología UEBA filtra miles de millones de eventos para obtener un conjunto específico de anomalías sobre las que se puede actuar. La cobertura de cumplimiento normativo abarca la HIPAA, el RGPD, la norma PCI DSS, la FISMA, la ley SOX, la DPDPA y la GLBA.

Las aplicaciones SaaS, las sesiones de IA generativa y los servicios conectados mediante OAuth constituyen actualmente los principales canales por los que los datos confidenciales salen de la empresa. Los controles de proxy web que solo inspeccionan el tráfico web dejan esos canales sin supervisar. Skyhigh subsana esa laguna de cobertura desde la misma consola.

Detección de amenazas modernas

Skyhigh combina un entorno aislado basado en emulación en línea, análisis de comportamiento mediante UEBA y la tecnología « Remote Browser Isolation » para amenazas de día cero. La protección contra el «paciente cero» se consigue mediante una detección por capas en el primer salto, donde la detección basada en firmas y los modelos de reputación de URL solo detectan las amenazas conocidas.

Gobernanza granular de los riesgos en la nube

El Cloud Registry de Skyhigh evalúa 56 atributos repartidos en seis pilares que abarcan los datos, la identidad, el alojamiento, los aspectos empresariales, los aspectos legales y los riesgos cibernéticos. Dos servicios de almacenamiento en la nube que compartan una misma categoría de URL pueden diferir sustancialmente en cuanto a la residencia de los datos, el cifrado en reposo, el cumplimiento del RGPD y las condiciones relativas a la propiedad intelectual. Skyhigh basa sus decisiones sobre políticas en el perfil de riesgo real de cada servicio. La detección de la «TI en la sombra» se lleva a cabo de forma integrada, y la corrección en bucle cerrado aplica medidas automáticas de política para los destinos que incumplan las normas.

La vía de la modernización

Skyhigh Hybrid SSE Mesh se implementa junto con el Symantec Edge SWG ya existente sin que ello suponga ninguna interrupción en las operaciones. El proceso de modernización, dividido en cuatro fases, se adapta al ritmo de la organización.

• Fase 1: Evaluación y planificación. Realice un inventario de las políticas de CPL existentes. Trazar un mapa de las zonas de soberanía de datos, los entornos OT/SCADA y el rendimiento de la inspección SSL. Identifique las reglas que deben conservarse y ampliarse.
• Fase 2: Implementación en paralelo. Implemente los dispositivos Skyhigh SWG junto con el Symantec Edge SWG ya existente. Importe y valide las líneas de base de las políticas CPL. Gestione el tráfico en paralelo sin interrumpir en absoluto las operaciones actuales.
• Fase 3: Adopte nuevas capacidades unificadas. Habilite el ZTNA local y los controles de navegador seguro sin agente en los dispositivos SWG. Amplíe la solución con CASB, DSPM y DLP en la nube. Retire los dispositivos heredados según el calendario de la organización.
• Fase 4: Racionalizar y optimizar (en curso). Utilice el presupuesto de tokens de forma dinámica. Retire los derechos de Broadcom no utilizados. Aplique una optimización continua de «políticas como código» en todos los entornos desde una única consola, con total visibilidad de auditoría.

La mayoría de las organizaciones llevan a cabo las fases 2 y 3 de forma paralela a lo largo de un periodo de entre 6 y 12 meses. El programa de compensación comercial de Skyhigh destina la inversión restante de Broadcom a la modernización, por lo que el presupuesto de renovación que habría financiado otro ciclo de actualización se destina, en su lugar, a financiar la transición.

¿Por qué Skyhigh?

Skyhigh ocupó el primer puesto en Protección de Datos en el informe « Critical Capabilities » de Gartner sobre « Security Service Edge » para 2025, por delante de Broadcom y otras alternativas de SSE incluidas en la misma evaluación. GigaOm nombró a Skyhigh «Líder» y «Outperformer» en su Radar sobre SSE, destacando específicamente el marco de políticas unificado para reducir la complejidad administrativa en entornos híbridos. Más de 3.000 organizaciones confían en Skyhigh, entre ellas el 80 % de los bancos más grandes del mundo y casi la mitad de las empresas de la lista Fortune 100.

La plataforma cuenta con la autorización FedRAMP High, lo que permite su uso por parte de organismos federales de EE. UU. y organizaciones de la base industrial de defensa que requieran capacidades modernas de «cero confianza» conforme a FedRAMP, CMMC y otros marcos normativos federales relacionados.

Próximos pasos

Solicite una evaluación personalizada de su entorno actual de Symantec Edge Secure Web Gateway . La evaluación establece una correspondencia entre sus políticas CPL existentes, sus zonas de soberanía de datos y sus requisitos de cumplimiento normativo con un plan de modernización por fases adaptado a su entorno.

Volver a Blogs