Déploiement d'un SSE privé : architecture et dépendances cloud
- La solution SSE privée gère la passerelle Web et l'application des règles aux applications privées sur l'infrastructure contrôlée par le client, tandis que certains services liés aux données, tels que la protection des données, peuvent toujours être assurés par le fournisseur de cloud. Veuillez indiquer à quoi correspond chaque élément.
- Évaluez séparément le plan de données, le plan de contrôle et les services associés, car chacun d'entre eux peut être hébergé en environnement privé ou dans le cloud.
- La plupart des solutions SSE auto-hébergées dépendent encore du cloud du fournisseur pour certains aspects ; veillez donc à répertorier toutes les dépendances sortantes.
- La télémétrie, ce sont des données ; déterminez quels journaux, échantillons et métadonnées quittent votre environnement et où ils sont transférés.
- Les solutions SSE privées et dans le cloud peuvent fonctionner conjointement, l'application des règles en mode privé étant réservée aux sites qui en ont besoin.
Le modèle « Private SSE » est un modèle de déploiement dans lequel les fonctionnalités d’ Security Service Edge , telles que la gestion des groupes de sécurité (SWG, « secure web gateway »), l’accès zéro confiance (ZTNA, « zero trust network access ») et la prévention des fuites de données (DLP, « data loss prevention »), s’exécutent sur une infrastructure hébergée par le client. Il est utilisé par les organisations qui doivent conserver l’inspection du trafic, les clés ou les journaux au sein de leurs propres locaux ou juridictions, ou qui ont besoin que leurs systèmes de sécurité continuent de fonctionner sans dépendre d’un cloud externe.
Selon la définition de Gartner, le SSE est principalement fourni via le cloud, mais l'entreprise précise qu'il peut inclure des composants sur site ou basés sur des agents. Le SSE privé place ces composants au cœur de son architecture.
Cet article fait partie du guide consacré à la sécurité du cloud hybride.
Les trois plans d'une architecture SSE
Chaque déploiement SSE, qu'il soit dans le cloud ou sur site, comporte trois couches logiques.
Le modèle « zero trust » du NIST, tel que défini dans la norme SP 800-207, établit la même distinction entre les décisions relatives aux politiques et leur mise en œuvre.
Plan de données. Les composants situés sur le chemin du trafic et chargés d'inspecter ou de gérer les connexions : proxys Web, passerelles ZTNA, inspection TLS, analyse DLP et analyse des logiciels malveillants. C'est là que se trouvent les données en clair.
Plan de contrôle. C'est là que les administrateurs définissent les politiques, gèrent les identités et les groupes, et transmettent les configurations aux points d'application. Il peut s'agir d'une console sur site, dans le cloud du fournisseur, ou les deux.
Services d'appui. Les éléments sur lesquels s'appuient les points de contrôle pour prendre leurs décisions : classification des URL, renseignements sur les menaces, réputation des fichiers, sandboxing, mises à jour logicielles et de signatures, gestion des licences et analyses.
La confidentialité d'un déploiement dépend du niveau de confidentialité de son élément le moins confidentiel.
Modèles de déploiement SSE privés
L'offre SSE privée va d'un plan de données privé avec gestion dans le cloud à des déploiements entièrement privés sans aucune dépendance externe. Il s'agit de modèles d'évaluation ; la disponibilité et les limites de fonctionnement dépendent du produit sélectionné.
| Modèle | Plan de données | Plan de contrôle | Services d'accompagnement | Coupe classique |
|---|---|---|---|---|
| SSE dans le cloud | Cloud d'un fournisseur | Cloud d'un fournisseur | Cloud d'un fournisseur | Entreprises privilégiant le télétravail |
| SSE hybride | Cloud des clients et des fournisseurs | Console cloud ou console unifiée d'un fournisseur | Cloud du fournisseur, avec des caches locaux | Entreprises soumises à une réglementation et disposant d'un personnel travaillant à distance |
| Plan de données privé | Infrastructure du client | Cloud d'un fournisseur | Cloud d'un fournisseur | Une inspection sur site est requise ; la gestion dans le cloud est acceptable |
| Entièrement privé | Infrastructure du client | Infrastructure du client | Mises à jour hébergées par le client ou hors ligne | Environnements isolés physiquement, classifiés ou souverains |
Le modèle de plan de données privé est le plus courant. Il permet de conserver le déchiffrement et l'inspection au niveau local tout en utilisant une console cloud pour la gestion des politiques et l'analyse. Les déploiements entièrement privés sont plus rares et imposent davantage d'exigences à l'équipe opérationnelle du client.
Composants hébergés par le client
Dans le cadre d'un déploiement SSE privé ou hybride, le client héberge et exploite les composants de contrôle et les composants clés, qui comprennent généralement :
- Appareils de passerelle Web, physiques, virtuels ou en conteneur, destinés à l'inspection TLS locale et à l'application des politiques Web
- Passerelles ou connecteurs ZTNA qui gèrent l'accès aux applications privées
- Analyse DLP, lorsque le fournisseur propose ce service en local ; Skyhigh assure la protection des données via son cloud sur le trafic transmis par la passerelle
- Environnement de test isolé, sur site, pour les fichiers sensibles
- Inspectionde l'autorité de certification (CA) et du stockage des clés, avec conservation sur support matériel uniquement lorsque cette fonctionnalité est prise en charge et vérifiée
- Collecteurs de journaux qui stockent les événements localement et transmettent les données sélectionnées
Le client est responsable de la capacité, de la disponibilité, de l'application des correctifs et de la sécurité physique de ces composants.
Dépendances cloud à mettre en correspondance
La plupart des déploiements SSE privés dépendent encore, d'une manière ou d'une autre, du cloud du fournisseur ; veuillez donc répertorier chaque dépendance et son comportement en cas de défaillance.
Avant d'évaluer toute architecture SSE privée, demandez au fournisseur de vous fournir la liste de toutes les connexions sortantes provenant des composants hébergés par le client, ainsi que les conséquences en cas d'indisponibilité de chacune d'entre elles :
| Dépendance | Question à poser | Ce qu'il faut rechercher |
|---|---|---|
| Politique et configuration | L'application se poursuit-elle avec la dernière politique connue si la console est inaccessible ? | Politique mise en cache avec un comportement défini |
| Classification et réputation des URL | Les recherches s'effectuent-elles en local, dans le cloud ou dans un environnement hybride ? | Base de données locale avec mise à jour via le cloud |
| Informations sur les menaces et signatures | Comment les mises à jour sont-elles déployées, et peuvent-elles être déployées par étapes ou hors ligne ? | Mises à jour par étapes ; option hors ligne pour les sites déconnectés |
| Sandboxing | Les fichiers sont-ils envoyés vers un environnement de test dans le cloud ? | Option de sandbox sur site |
| Authentification | L'accès dépend-il d'un service d'identité dans le cloud ? | Identité locale de secours ou jetons mis en cache |
| Licences | Les contrôles cessent-ils si les vérifications de permis échouent ? | Délai de grâce |
| Journalisation et analyse | Quelles données sont transmises, où sont-elles stockées et peut-on désactiver cette fonctionnalité ? | Champs et zones configurables |
| Accès à l'assistance | Le personnel du fournisseur a-t-il accès aux composants hébergés par le client ? | Accès contrôlé par le client et soumis à audit |
Pour chaque dépendance, déterminez si le comportement par défaut est acceptable ou s'il est nécessaire de prévoir une alternative locale.
Flux de télémétrie
Les données de télémétrie provenant de points de contrôle privés constituent des données à part entière et peuvent inclure :
- Journaux d'accès : utilisateur, appareil, URL, catégorie, action
- Incidents liés à la protection des données (DLP), accompagnés parfois d'extraits de contenu ou de copies intégrales
- Hachages de fichiers ou échantillons destinés à l'analyse des menaces
- Indicateurs de performance et de santé
- Données d'utilisation à des fins d'octroi de licence
Certaines de ces données sont inoffensives. D’autres relèvent de la réglementation. Créez une carte de télémétrie qui enregistre chaque flux, son contenu, sa destination et sa durée de conservation. C’est souvent ce qui fait la différence entre un audit de souveraineté qui aboutit et un autre qui s’enlise. Voir « La souveraineté des données dans la sécurité du cloud hybride ».
Une bonne pratique consiste à créer des empreintes numériques des données sensibles au sein de l'environnement du client et à n'envoyer que les hachages au service, de sorte que le contenu protégé lui-même ne quitte jamais l'environnement. Demandez à chaque fournisseur où sont générées les empreintes numériques permettant la mise en correspondance exacte des données et des documents, et quelles informations sont transmises. Skyhigh génère et applique la mise en correspondance pour la protection des données dans son cloud.
Quand le SSE privé est pertinent
Le SSE privé s'avère pertinent lorsque la réglementation, la connectivité, les technologies opérationnelles, le volume de trafic ou le remplacement d'infrastructures existantes nécessitent une mise en œuvre au niveau local.
- La réglementation ou les contrats exigent que le trafic déchiffré, les clés ou les journaux restent sur le territoire national ou sur site
- Les réseaux sont isolés physiquement, classifiés ou connectés de manière intermittente
- Les technologies opérationnelles ou les infrastructures critiques doivent continuer à fonctionner en cas de pannes externes
- Le volume de trafic interne rend l'inspection dans le cloud coûteuse ou lente
- L'entreprise remplace actuellement un proxy sur site et souhaite se moderniser sans pour autant être contrainte de migrer vers le cloud.
Lorsque aucun de ces cas ne s'applique, le SSE dans le cloud nécessite généralement moins d'efforts opérationnels.
Compromis opérationnels
Le SSE privé confie au client la responsabilité des aspects suivants : dimensionnement, redondance, application des correctifs, mise en place des mises à jour et dépannage.
Les avantages résident dans le contrôle du texte en clair, des clés et des journaux, ainsi que dans la continuité de service lorsque le cloud du fournisseur est inaccessible. Les architectures hybrides permettent aux organisations de limiter l'application des mesures de sécurité en interne aux sites et au trafic qui en ont besoin.
Comment Skyhigh prend en charge les solutions SSE privées et hybrides
Skyhigh prend en charge les modèles SSE privés et hybrides grâce à un plan de données sur site géré par la même console que ses services cloud.
Skyhigh Hybrid SSE Mesh applique les politiques « secure web gateway » et «Zero Trust Access» sur la passerelle sur site du client, grâce à une inspection TLS locale et à une architecture d’appliance conteneurisée lancée en mars 2026. Il applique également la protection des données, le CASB et les autres services de données du cloud Skyhigh au trafic transmis par la passerelle, le tout dans le cadre d’une seule et même politique définie à partir d’une seule console. Le plan de contrôle étant fourni via le cloud, la rédaction des politiques, la génération de rapports et la transmission des journaux dépendent de l’accessibilité du cloud, tandis que l’application locale des politiques relatives au Web et aux applications privées se poursuit sur site si cette connexion est interrompue. Skyhigh détient l’autorisation FedRAMP High.
Sources
- Gartner. « Security Service Edge » (SSE), Glossaire des technologies de l'information. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NIST. SP 800-207 : Architecture « Zero Trust » (août 2020). https://csrc.nist.gov/pubs/sp/800/207/final
- Skyhigh Security. «Skyhigh Security annonce de nouvelles solutions pour renforcer sa plateforme SSE universelle révolutionnaire » (24 mars 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. « Moderniser votre infrastructure Symantec Edge Secure Web Gateway , grâce à Skyhigh Hybrid SSE Mesh » (15 juillet 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. « L'adoption de l'hybride est désormais plus simple grâce à la plateforme Skyhigh SSE » (3 octobre 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html