Skyhigh Hybrid SSE Mesh : architecture et déploiement
- Skyhigh Hybrid SSE Mesh regroupe les appliances SWG sur site et la sécurité dans le cloud au sein d'une seule console et d'un seul moteur de règles.
- Le plan de données peut rester sur site, le déchiffrement et l'inspection TLS s'effectuant sur l'infrastructure du client.
- Le ZTNA local sur les passerelles des clients étend le modèle « zero trust » aux utilisateurs internes, aux ressources et aux agents d'IA.
- Les solutions Cloud CASB, DSPM, DLP et « remote browser isolation » s'étendent à partir d'une même console, à votre rythme.
- La politique est déployée sous forme de code vers des points d'application physiques, virtuels et dans le cloud afin d'éviter toute dérive.
Skyhigh Hybrid SSE Mesh est l’architecture hybride « Security Service Edge » d’ Skyhigh Security. Elle permet aux entreprises de mettre en œuvre la SSE sur site, dans le cloud ou dans les deux environnements, grâce à un moteur de politiques et une console uniques qui régissent l’ensemble des points d’application. Elle est conçue pour les entreprises dont les exigences en matière de conformité, de souveraineté, de résilience ou de performances excluent l’acheminement de l’ensemble du trafic via le cloud d’un fournisseur.
Cet article fait partie du guide consacré à la sécurité du cloud hybride.
Qu'est-ce que le SSE hybride ?
Le SSE hybride est un déploiement de type « Security Service Edge » qui applique une seule et même politique à la fois dans le cloud et sur site, au lieu d’acheminer l’ensemble du trafic via le cloud d’un fournisseur.
Security Service Edge (SSE) sécurise l'accès au Web, aux services cloud et aux applications privées. Gartner définit le SSE comme une solution principalement fournie via le cloud, tout en précisant qu'elle peut inclure des composants sur site ou basés sur des agents.
Le SSE hybride prend cette deuxième partie très au sérieux. Au lieu de considérer l’application des politiques sur site comme un vestige du passé, le SSE hybride place cette application à l’origine de chaque flux de trafic : aux points de présence dans le cloud pour les utilisateurs distants accédant à des services SaaS, et aux passerelles sur site ou en succursale pour le trafic qui commence et se termine au sein du réseau. L’étude de marché de Gartner sur le SSE à l’horizon 2026 observe que les fournisseurs proposent de plus en plus d’appareils virtuels ou matériels qui étendent le plan de données SSE sur site, permettant ainsi le traitement local du trafic et une résilience face aux interruptions imprévues du cloud, comme le mentionne l’annonce d’Skyhigh Securitydatée d’août 2026.
La difficulté du SSE hybride ne réside pas dans le déploiement des appliances. Elle consiste à faire en sorte que l'application des règles sur site et dans le cloud soit régie par la même politique, de sorte qu'un utilisateur, un type de données ou une application soit traité de la même manière, quel que soit le point d'application chargé de gérer le trafic.
Fonctionnement du Skyhigh Hybrid SSE Mesh
Skyhigh Hybrid SSE Mesh se compose de trois couches : un plan de contrôle unifié, un plan de données distribué et des services fournis dans le cloud, tous accessibles depuis une même console.
Plan de contrôle unifié
Une console unique et un moteur de politiques centralisé régissent les solutions SWG, CASB, DLP, RBI, ZTNA, les contrôles de navigation sécurisée, le DSPM et les contrôles basés sur l’IA. Skyhigh décrit une architecture « policy-as-code » qui déploie automatiquement les politiques sur les appliances physiques, les systèmes virtuels et les nœuds cloud, sans nécessiter de réconciliation manuelle entre les environnements (Skyhigh Security). La mise à jour de la plateforme de Skyhigh de mars 2026 a ajouté une gestion unifiée des politiques indépendante de l’emplacement, un cadre de politiques programmable et extensible, ainsi qu’une surveillance et un reporting consolidés à l’échelle de la plateforme (Skyhigh Security).
Plan de données distribué
Les contrôles ont lieu là où la circulation est dense :
- Les appliances SWG sur site et en succursale analysent le trafic Web localement, y compris le décryptage TLS. La version de mars 2026 de Skyhigh a introduit une architecture d'appliance conteneurisée conçue pour offrir une évolutivité, ainsi qu'un routage dynamique du trafic.
- Le modèle ZTNA local fonctionne sur les passerelles sur site et celles des succursales de l’organisation, plutôt que via un nœud cloud géré par un fournisseur ; ainsi, l’application du modèle « zero trust » s’étend aux systèmes internes et au trafic qui ne quitte jamais les locaux.
- Cloud SWG protège les utilisateurs distants et itinérants sans acheminer leur trafic vers un centre de données.
Extensions hébergées dans le cloud
À partir de cette même console, les organisations peuvent ajouter des solutions CASB, DSPM, DLP et d’ remote browser isolation dans le cloud. Le registre cloud de Skyhigh évalue les services cloud selon 56 critères répartis en six piliers de risque (données, identité, hébergement, activité, aspects juridiques et cyber-risques), ce qui permet aux politiques de distinguer les services qui partagent une même catégorie d’URL mais qui diffèrent en matière de localisation des données, de chiffrement ou de conditions juridiques.
Options de déploiement prises en charge
Skyhigh Hybrid SSE Mesh peut être déployé sur site, dans un modèle hybride ou dans le cloud, et les entreprises peuvent passer d'un modèle à l'autre au fil du temps.
| Modèle de déploiement | Lieux où se déroulent les inspections | Coupe classique |
|---|---|---|
| Sur site | Centres de données et succursales des clients | Trafic Web soumis à des contraintes de souveraineté et sites nécessitant une mise en œuvre locale ; valider toutes les dépendances pour les environnements à connectivité restreinte |
| Hybride | Sur site pour le trafic local, dans le cloud pour les utilisateurs distants et en mode SaaS | La plupart des entreprises soumises à une réglementation et des projets de modernisation de l'Blue Coat |
| Cloud | Points de présence « Skyhigh Cloud » | Entreprises privilégiant le télétravail et ne soumises à aucune obligation d'inspection sur place |
Les organisations peuvent commencer par un modèle et passer ensuite à un autre. Le SWG hybride de Skyhigh prend en charge la synchronisation des politiques sur site vers le cloud, soit en les migrant intégralement, soit en les conservant distinctes tout en partageant des listes synchronisées (Skyhigh Security).
Dans les environnements ne pouvant pas compter sur une connectivité externe, la passerelle Web locale et l’application de la politique d’accès « Zero Trust » continuent d’être assurées par la Secure Service Gateway. Les services fournis via le cloud Skyhigh, notamment la protection des données, l’ remote browser isolation, les contrôles de sécurité basés sur l’IA, le CASB et la gestion de la posture de sécurité des données, ne sont pas disponibles lorsqu’un site est déconnecté ; veuillez donc tenir compte de ces exigences lors de la conception. Pour les agences fédérales américaines et les organisations de la base industrielle de défense, la plateforme dispose d’une autorisation FedRAMP High.
Contrôle et gestion des politiques
L'inspection s'effectue là où circule le trafic, avec un déchiffrement TLS local pour le trafic sur site et un moteur de règles unique régissant les contrôles relatifs aux menaces, aux données et aux navigateurs.
Inspection TLS locale. Le déchiffrement et l’inspection SSL/TLS s’effectuent au sein de l’infrastructure propre à l’organisation. Les données déchiffrées n’ont pas à transiter par des tiers ni à franchir de frontières juridictionnelles, ce qui simplifie les contrôles en matière de souveraineté et de confidentialité. Cette approche est également conforme aux recommandations de la NSA, qui préconisent de n’effectuer l’inspection TLS qu’une seule fois, au sein du réseau de l’entreprise (NSA).
Contrôle des sorties. Grâce à l'utilisation d'adresses IP de sortie dédiées et à l'ancrage de l'adresse IP source, les entreprises peuvent acheminer le trafic Internet inspecté dans le cloud via les adresses IP publiques qui leur sont attribuées, ce qui permet de respecter les restrictions liées à l'adresse IP source, la réputation des adresses IP et les exigences juridictionnelles.
Exposition des applications privées. Documentez les connexions entrantes et sortantes requises par les passerelles, les connecteurs et les interfaces de gestion, puis validez la topologie choisie avec Skyhigh.
Détection des menaces. La solution anti-malware de la passerelle traite les menaces dès le premier saut au niveau de la passerelle de services sécurisés. Le « sandboxing » basé sur l'émulation, l'analyse du comportement des utilisateurs et des entités (UEBA) et l'analyse des menaces de type « remote browser isolation » sont appliqués via le cloud Skyhigh au trafic que la passerelle transfère.
Protection unifiée des données. Un seul moteur de politiques DLP s'applique à la fois au Web, aux solutions SaaS, aux outils d'IA, aux applications privées et aux terminaux ; ainsi, la même classification s'applique aussi bien à un téléchargement sur le Web qu'à un partage via une solution SaaS ou à une requête adressée à une IA générative. La politique DLP est définie une seule fois et appliquée dans le cloud Skyhigh, y compris pour le trafic redirigé depuis des points d'application sur site.
Contrôles de sécurité du navigateur. La sécurité du navigateur sans agent, mise en œuvre à la périphérie du réseau local, applique des contrôles en ligne aux opérations de téléchargement, de chargement, de copier-coller, à l'activité de session et aux interactions avec l'IA sur n'importe quel navigateur standard, sans qu'il soit nécessaire de déployer un navigateur d'entreprise ou des extensions. L'inspection compatible WebSocket s'étend au trafic des agents d'IA et à celui de la messagerie.
Cas d'utilisation
La solution Hybrid SSE Mesh convient aux organisations qui ont besoin d'un contrôle local sur les données réglementées, les technologies opérationnelles, les agents d'IA ou le remplacement des passerelles existantes.
Services financiers réglementés. Les établissements soumis aux exigences de la DORA, de la FCA ou de la MAS peuvent conserver des données à caractère personnel déchiffrées au sein de leur propre infrastructure tout en adoptant des solutions CASB et DLP dans le cloud. Voir la section « Souveraineté des données » dans « Sécurité du cloud hybride ».
Administration et défense. L'autorisation « FedRAMP High » s'applique aux environnements soumis à des exigences d'autorisation strictes, tandis que la mise en œuvre locale sur la passerelle de services sécurisée (Secure Service Gateway) concerne les sites dont la connectivité est limitée.
Santé. Les données des patients peuvent rester à l'intérieur du périmètre physique tandis que les professionnels de santé utilisent des applications dans le cloud dans le respect de la même politique.
Industrie et infrastructures critiques. La mise en œuvre de mesures de sécurité au niveau local sur le Web et au sein des applications privées peut venir compléter la segmentation gérée par le client entre les réseaux informatiques d'entreprise et les réseaux OT/SCADA. Vérifiez quelles mesures de contrôle sont fournies par Skyhigh et lesquelles nécessitent des composants tiers.
Agents IA au sein du réseau. Les agents autonomes peuvent hériter des droits d'accès au niveau utilisateur, enchaîner des API et transférer des données via des connexions WebSocket persistantes provenant de l'intérieur du réseau. Le ZTNA local et l'inspection compatible WebSocket permettent d'appliquer les règles là où ce trafic se produit réellement.
Secure web gateway modernisation. Les organisations qui remplacent Symantec Edge SWG (anciennement ProxySG d'Blue Coat ) peuvent déployer des appliances Skyhigh parallèlement aux passerelles existantes, valider les politiques et mettre hors service le matériel obsolète selon leur propre calendrier. Consultez les rubriques « Alternatives àBlue Coat » et « Remplacement de ProxySG ».
Chemin de déploiement
Skyhigh déploie Hybrid SSE Mesh en quatre phases, parallèlement à l'infrastructure existante, de sorte que la politique soit validée avant toute migration :
- Évaluer et planifier. Dresser l'inventaire des politiques existantes, cartographier les zones de souveraineté des données et les environnements OT/SCADA, et établir une base de référence pour les performances d'inspection TLS.
- Déployez en parallèle. Installez les appliances Skyhigh SWG à côté des passerelles existantes, importez et validez les règles de base, puis acheminez le trafic en parallèle sans perturber l'environnement de production.
- Adoptez des fonctionnalités unifiées. Activez les contrôles ZTNA et de navigation sécurisée au niveau local, étendez ces capacités avec des solutions CASB, DSPM et DLP dans le cloud, puis mettez hors service les appliances obsolètes lorsque vous serez prêt.
- Rationalisez et optimisez. Adaptez la consommation, supprimez les droits inutilisés et affinez en permanence la politique sous forme de code.
Selon Skyhigh, la plupart des organisations mettent en œuvre les phases deux et trois en parallèle sur une période de six à douze mois. Les fonctionnalités sont concédées sous licence par droit d'accès ; ainsi, de nouvelles fonctionnalités telles que le ZTNA local ou les contrôles de navigateur sécurisés peuvent être activées dès qu'elles sont nécessaires.
Pourquoi les entreprises choisissent Skyhigh Hybrid SSE Mesh
Les entreprises choisissent Skyhigh Hybrid SSE Mesh car les fonctionnalités de mise en conformité sur site et dans le cloud fonctionnent comme un seul et même système, ce qui est confirmé par la reconnaissance d'analystes indépendants.
Skyhigh Security a été classé premier dans la catégorie « Cas d'utilisation avancée de la SSE » du rapport Gartner® « Critical Capabilities » de 2026 consacré à l'Security Service Edge. Plus de 3 000 organisations utilisent Skyhigh, dont 80 % des plus grandes banques mondiales et 25 % des entreprises du classement Fortune 500.
La différence concrète réside dans l'architecture : la mise en œuvre sur site et dans le cloud ne constituent pas des produits distincts dotés de politiques distinctes. Il s'agit d'un seul et même système.
Étape suivante : demandez une évaluation de votre architecture hybride ou consultez la page Secure Web Gateway pour en savoir plus sur l'architecture hybride.
Sources
- Skyhigh Security. « Moderniser votre infrastructure Symantec Edge Secure Web Gateway , grâce à Skyhigh Hybrid SSE Mesh » (15 juillet 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. «Skyhigh Security annonce de nouvelles solutions pour renforcer sa plateforme SSE universelle révolutionnaire » (24 mars 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. «Skyhigh Security classé n° 1 dans la catégorie « Cas d’utilisation avancés du SSE » dans le rapport Gartner de 2026 intitulé « Critical Capabilities for Security Service Edge» (5 août 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Skyhigh Security. « L'adoption de l'hybride est désormais plus simple grâce à la plateforme Skyhigh SSE » (3 octobre 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. Modernisation de Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html
- Skyhigh Security. Secure Web Gateway pour Hybrid. https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
- Gartner. « Security Service Edge » (SSE), Glossaire des technologies de l'information. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NSA. Gestion des risques liés à l'inspection du protocole SSL (novembre 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
GARTNER est une marque déposée et une marque de service de Gartner, Inc. et/ou de ses filiales aux États-Unis et à l'international, et est utilisée ici avec autorisation. Tous droits réservés. Gartner ne cautionne aucun fournisseur, produit ou service mentionné dans ses publications de recherche.