Penerapan SSE Pribadi: Arsitektur dan Ketergantungan pada Awan
- SSE Pribadi menjalankan gerbang web dan penegakan kebijakan aplikasi pribadi pada infrastruktur yang dikendalikan oleh pelanggan, sementara layanan data seperti perlindungan data mungkin masih diterapkan oleh penyedia layanan cloud. Identifikasi mana yang mana.
- Evaluasi data plane, control plane, dan layanan pendukungnya secara terpisah, karena masing-masing dapat berupa jaringan pribadi atau berbasis cloud.
- Sebagian besar SSE yang dihosting sendiri masih bergantung pada layanan cloud penyedia untuk hal tertentu, jadi petakanlah setiap ketergantungan keluar.
- Telemetri adalah data; tentukan log, sampel, dan metadata mana saja yang akan dikirimkan keluar dari lingkungan Anda serta ke mana tujuannya.
- SSE pribadi dan berbasis cloud dapat dijalankan secara bersamaan, dengan penegakan aturan secara pribadi disediakan khusus untuk situs-situs yang membutuhkannya.
SSE Pribadi adalah model penerapan di mana fitur-fitur Pengelolaan Keamanan Berbasis Layanan ( Security Service Edge ), seperti Penyaringan Web ( secure web gateway /SWG), Akses Jaringan Berbasis Zona ( zero trust network access /ZTNA), dan Pencegahan Kebocoran Data ( data loss prevention /DLP), dijalankan pada infrastruktur yang dihosting oleh pelanggan. Model ini digunakan oleh organisasi yang harus menyimpan pemeriksaan lalu lintas, kunci, atau log di dalam fasilitas atau yurisdiksi mereka sendiri, atau yang membutuhkan sistem keamanan agar tetap beroperasi tanpa bergantung pada cloud eksternal.
Definisi SSE menurut Gartner menggambarkannya sebagai layanan yang terutama disediakan melalui cloud, namun juga menyebutkan bahwa layanan tersebut mungkin mencakup komponen lokal atau berbasis agen. SSE pribadi menempatkan komponen-komponen tersebut sebagai inti utamanya.
Artikel ini merupakan bagian dari panduan Keamanan Hybrid Cloud.
Tiga bidang dalam arsitektur SSE
Setiap implementasi SSE, baik di cloud maupun di lingkungan pribadi, memiliki tiga lapisan logis.
Model zero trust NIST dalam SP 800-207 juga membuat pembedaan yang sama antara keputusan kebijakan dan penegakan kebijakan.
Data plane. Komponen-komponen yang berada di jalur lalu lintas dan memeriksa atau mengelola koneksi: proxy web, gateway ZTNA, pemeriksaan TLS, pemindaian DLP, dan analisis malware. Di sinilah teks biasa (plaintext) terdapat.
Rencana kontrol. Tempat di mana administrator menetapkan kebijakan, mengelola identitas dan grup, serta mengirimkan konfigurasi ke titik-titik penerapan. Rencana kontrol ini dapat berupa konsol di lokasi sendiri, di cloud vendor, atau keduanya.
Layanan pendukung. Hal-hal yang digunakan oleh titik penegakan untuk mengambil keputusan: kategorisasi URL, intelijen ancaman, reputasi file, sandboxing, pembaruan perangkat lunak dan tanda tangan, perizinan, serta analitik.
Tingkat kerahasiaan suatu penempatan bergantung pada tingkat kerahasiaan pesawat yang paling tidak rahasia di dalamnya.
Model penerapan SSE swasta
SSE Pribadi mencakup berbagai opsi, mulai dari data plane pribadi dengan manajemen berbasis cloud hingga implementasi yang sepenuhnya pribadi tanpa ketergantungan pada pihak eksternal. Ini adalah model evaluasi; ketersediaan dan batasan operasional bergantung pada produk yang dipilih.
| Model | Ruang data | Bidang kendali | Layanan pendukung | Potongan standar |
|---|---|---|---|---|
| Cloud SSE | Penyedia layanan cloud | Penyedia layanan cloud | Penyedia layanan cloud | Organisasi yang mengutamakan kerja jarak jauh |
| SSE Hibrida | Awan pelanggan dan vendor | Vendor layanan awan atau konsol terpadu | Penyedia layanan cloud, dengan cache lokal | Perusahaan yang diawasi yang memiliki tenaga kerja jarak jauh |
| Ruang data pribadi | Infrastruktur pelanggan | Penyedia layanan cloud | Penyedia layanan cloud | Diperlukan pemeriksaan di tempat, pengelolaan berbasis cloud dapat diterima |
| Sepenuhnya pribadi | Infrastruktur pelanggan | Infrastruktur pelanggan | Pembaruan yang dihosting oleh pelanggan atau pembaruan offline | Lingkungan yang terisolasi secara fisik, rahasia, atau berdaulat |
Model data plane privat adalah yang paling umum. Model ini melakukan dekripsi dan pemeriksaan secara lokal, sementara konsol cloud digunakan untuk kebijakan dan analitik. Penerapan yang sepenuhnya privat lebih jarang ditemui dan menuntut lebih banyak upaya dari tim operasional pelanggan.
Komponen yang dihosting oleh pelanggan
Dalam penerapan SSE model privat atau hibrida, pelanggan mengelola dan mengoperasikan komponen penegakan dan komponen utama, yang biasanya meliputi:
- Perangkat gateway web—baik yang fisik, virtual, maupun berbasis kontainer—untuk pemeriksaan TLS lokal dan kebijakan web
- Gateway atau konektor ZTNA yang memfasilitasi akses ke aplikasi pribadi
- Pemindaian DLP, jika vendor menyediakannya secara lokal; Skyhigh menerapkan perlindungan data melalui cloud-nya terhadap lalu lintas yang diteruskan oleh gateway
- Sandboxing, di lingkungan lokal untuk berkas-berkas sensitif
- PemeriksaanCA dan penyimpanan kunci, dengan pengamanan berbasis perangkat keras hanya jika didukung dan telah diverifikasi
- Pengumpul log yang menyimpan peristiwa secara lokal dan meneruskan data yang dipilih
Pelanggan bertanggung jawab atas kapasitas, ketersediaan, penerapan patch, dan keamanan fisik komponen-komponen tersebut.
Ketergantungan cloud yang perlu dipetakan
Sebagian besar implementasi SSE swasta masih bergantung pada layanan cloud vendor untuk hal tertentu, jadi cantumkan setiap ketergantungan tersebut beserta perilaku yang terjadi jika terjadi kegagalan.
Sebelum mengevaluasi arsitektur SSE swasta apa pun, mintalah penyedia layanan untuk mencantumkan setiap koneksi keluar dari komponen yang dihosting oleh pelanggan, serta apa yang terjadi jika masing-masing koneksi tersebut tidak tersedia:
| Ketergantungan | Pertanyaan yang perlu diajukan | Hal-hal yang perlu diperhatikan |
|---|---|---|
| Kebijakan dan konfigurasi | Apakah penegakan kebijakan akan tetap menggunakan kebijakan terakhir yang diketahui jika konsol tidak dapat dihubungi? | Kebijakan yang disimpan dalam cache dengan perilaku yang telah ditentukan |
| Klasifikasi URL dan reputasi | Apakah pencarian tersebut bersifat lokal, berbasis cloud, atau hibrida? | Basis data lokal dengan pembaruan berbasis cloud |
| Intelijen ancaman dan tanda tangan | Bagaimana pembaruan tersebut disalurkan, dan apakah pembaruan tersebut dapat dilakukan secara bertahap atau disalurkan secara offline? | Pembaruan bertahap; opsi offline untuk situs yang tidak terhubung ke internet |
| Sandboxing | Apakah berkas-berkas tersebut dikirim ke sandbox cloud? | Opsi sandbox di lokasi sendiri |
| Otentikasi | Apakah akses bergantung pada layanan identitas berbasis cloud? | Penggunaan identitas lokal sebagai cadangan atau token yang disimpan dalam cache |
| Perizinan | Apakah penegakan hukum dihentikan jika pemeriksaan izin tidak lolos? | Masa tenggang |
| Pencatatan dan analisis | Apa yang dikirim, di mana disimpan, dan apakah bisa dinonaktifkan? | Kolom dan wilayah yang dapat dikonfigurasi |
| Akses dukungan | Apakah staf vendor dapat mengakses komponen yang dihosting oleh pelanggan? | Akses yang dikendalikan oleh pelanggan dan telah diaudit |
Untuk setiap dependensi, tentukan apakah perilaku defaultnya dapat diterima atau apakah diperlukan alternatif lokal.
Aliran telemetri
Data telemetri dari titik penegakan swasta merupakan data tersendiri, dan dapat mencakup:
- Catatan akses: pengguna, perangkat, URL, kategori, tindakan
- Insiden DLP, terkadang disertai cuplikan konten atau salinan lengkap
- Hash file atau sampel untuk analisis ancaman
- Metrik kinerja dan kesehatan
- Data penggunaan untuk keperluan perizinan
Sebagian di antaranya tidak berbahaya. Sebagian lainnya merupakan data yang diatur. Buatlah peta telemetri yang mencatat setiap aliran data, isinya, tujuannya, dan masa penyimpanannya. Hal inilah yang sering kali menjadi pembeda antara tinjauan kedaulatan data yang lolos dan yang terhambat. Lihat bagian “Kedaulatan Data dalam Keamanan Awan Hibrida”.
Salah satu praktik yang berguna adalah membuat sidik jari data sensitif di dalam lingkungan pelanggan dan hanya mengirimkan nilai hash ke layanan tersebut, sehingga konten yang dilindungi itu sendiri tidak pernah keluar dari lingkungan tersebut. Tanyakan kepada setiap penyedia layanan di mana sidik jari untuk pencocokan data dan dokumen yang tepat dihasilkan, serta apa saja yang dikirimkan. Skyhigh menghasilkan dan menerapkan sistem pencocokan perlindungan data di cloud-nya.
Kapan SSE swasta menjadi pilihan yang tepat
SSE swasta menjadi pilihan yang tepat ketika regulasi, konektivitas, teknologi operasional, volume lalu lintas, atau penggantian sistem lama memerlukan penegakan di tingkat lokal.
- Peraturan atau kontrak mensyaratkan agar lalu lintas data yang telah didekripsi, kunci, atau log tetap berada di dalam negeri atau di lokasi fisik
- Jaringan-jaringan tersebut terisolasi secara fisik, bersifat rahasia, atau terhubung secara tidak terus-menerus
- Teknologi operasional atau infrastruktur kritis harus tetap beroperasi selama terjadi gangguan dari luar
- Volume lalu lintas internal membuat proses pemeriksaan di cloud menjadi mahal atau lambat
- Organisasi tersebut sedang mengganti proxy yang dioperasikan di lokasi sendiri dan ingin melakukan modernisasi tanpa harus pindah ke cloud secara paksa
Apabila tidak ada satu pun dari hal-hal tersebut yang berlaku, SSE berbasis cloud biasanya membutuhkan upaya operasional yang lebih sedikit.
Pertimbangan operasional
SSE Swasta menyerahkan tanggung jawab kepada pelanggan: penentuan ukuran, redundansi, penerapan patch, persiapan pembaruan, dan pemecahan masalah.
Keuntungannya meliputi kendali atas teks biasa, kunci, dan log, serta kelangsungan operasional saat layanan cloud penyedia tidak dapat diakses. Desain hibrida memungkinkan organisasi membatasi penerapan kebijakan privasi hanya pada lokasi dan lalu lintas yang membutuhkannya.
Bagaimana Skyhigh mendukung SSE swasta dan hibrida
Skyhigh mendukung SSE privat dan hibrida dengan data plane di lokasi yang dikelola melalui konsol yang sama dengan layanan cloud-nya.
Skyhigh Hybrid SSE Mesh menerapkan kebijakan " secure web gateway " dan "Zero Trust Access" pada gateway lokal milik pelanggan sendiri, dengan inspeksi TLS lokal dan arsitektur perangkat berbasis kontainer yang diperkenalkan pada Maret 2026, serta menerapkan perlindungan data, CASB, dan layanan data lainnya di cloud Skyhigh pada lalu lintas yang diteruskan oleh gateway tersebut, semuanya di bawah satu kebijakan yang dibuat dalam satu konsol. Bagian kontrol disediakan melalui cloud, sehingga pembuatan kebijakan, pelaporan, dan pengiriman log bergantung pada ketersediaan akses ke cloud, sementara penegakan kebijakan web dan aplikasi pribadi secara lokal tetap berlanjut di lokasi jika jalur tersebut terputus. Skyhigh memiliki otorisasi FedRAMP High.
Sumber
- Gartner. Sistem Perdag angan Berjangka (Security Service Edge /SSE), Glosarium Teknologi Informasi. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NIST. SP 800-207: Arsitektur Zero Trust (Agustus 2020). https://csrc.nist.gov/pubs/sp/800/207/final
- Skyhigh Security. “Skyhigh Security Mengumumkan Solusi Baru untuk Memperkuat Platform SSE Universal yang Inovatif” (24 Maret 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. “Memodernisasi Symantec Edge Secure Web Gateway Anda dengan Skyhigh Hybrid SSE Mesh” (15 Juli 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. “Menerapkan Model Hybrid Kini Semakin Mudah Berkat Platform Skyhigh SSE” (3 Oktober 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html