Soluzioni di sicurezza per il cloud ibrido: come valutare i fornitori
- Le soluzioni di sicurezza per il cloud ibrido abbracciano le categorie relative alla sicurezza SSE, CNAPP, di rete, dei dati e delle identità.
- Confronti i fornitori in termini di flessibilità di implementazione, protezione dei dati, controllo delle politiche, integrazione, migrazione e resilienza.
- L'aspetto più importante da verificare è se l'applicazione delle politiche in locale e nel cloud condivida un unico motore di policy.
- Verifichi le affermazioni del fornitore nell’ambito di un proof of concept utilizzando il proprio traffico e i propri scenari di guasto.
- Chieda dove vengono elaborati, archiviati e consultati i dati decriptati, i registri e le prove relative agli incidenti.
Le soluzioni di sicurezza per il cloud ibrido proteggono utenti, applicazioni e dati sia nell’infrastruttura on-premise che nei servizi cloud. È difficile mettere a confronto i fornitori, poiché questi ultimi utilizzano lo stesso linguaggio per descrivere prodotti molto diversi tra loro. La presente guida illustra le categorie di soluzioni, i requisiti più rilevanti e un metodo di valutazione che consente di confrontare direttamente i fornitori di soluzioni di sicurezza per il cloud ibrido.
Il presente articolo fa parte della guida alla sicurezza del cloud ibrido.
Tipi di soluzioni di sicurezza per il cloud ibrido
Le soluzioni di sicurezza per il cloud ibrido si suddividono in sei categorie principali e la maggior parte degli ambienti ibridi ne richiede diverse.
Sapere in quale categoria opera effettivamente un venditore consente di evitare confronti inappropriati.
| Categoria | Cosa protegge | Funzionalità tipiche |
|---|---|---|
| Security Service Edge (SSE) e le piattaforme SASE | Accesso degli utenti alle applicazioni web, SaaS e private | SWG, CASB, ZTNA, DLP, RBI; SASE integra SD-WAN |
| Protezione delle applicazioni cloud-native (CNAPP) | Carichi di lavoro e infrastruttura cloud | Gestione della postura, protezione del carico di lavoro, scansione IaC |
| Sicurezza della rete | Traffico tra zone e siti | Firewall, segmentazione, prevenzione delle intrusioni |
| Sicurezza dei dati | Dati sensibili, ovunque si trovino | DSPM, classificazione, DLP, crittografia e gestione delle chiavi |
| Sicurezza dell'identità | Utenti, dispositivi e identità delle macchine | Fornitore di identità, autenticazione a più fattori (MFA), accesso privilegiato, governance |
| Strumenti nativi per gli hyperscaler | Risorse all’interno di un unico fornitore di servizi cloud | Servizi di sicurezza e monitoraggio specifici per i fornitori |
La presente guida si concentra sulla prima e sulla quarta categoria: soluzioni che garantiscono la sicurezza dei flussi di utenti e dati tra ambienti cloud e on-premise. È proprio in questo ambito che le scelte relative all’architettura ibrida hanno il maggiore impatto sui rischi quotidiani. Per un quadro più ampio dell’architettura, si veda “Sicurezza del cloud ibrido: architettura e best practice”.
I cinque requisiti da mettere a confronto
Confronti i fornitori di soluzioni di sicurezza per il cloud ibrido in base a cinque requisiti: flessibilità di implementazione, protezione dei dati, controllo delle politiche, integrazione e migrazione.
1. Flessibilità di implementazione
L’approccio ibrido non è una semplice opzione da selezionare. Chieda con precisione dove è possibile eseguire l’applicazione delle politiche e quali aspetti dipendono dal cloud del fornitore.
- Quali funzionalità sono disponibili in ciascuna modalità e quali vengono fornite dal cloud del fornitore indipendentemente dal luogo in cui viene ispezionato il traffico?
- I componenti on-premises sono apparecchiature fisiche, macchine virtuali, container o tutte e tre le cose?
- Quali funzioni richiedono ancora la connessione al cloud del fornitore quando vengono eseguite in locale (licenze, aggiornamenti, informazioni sulle minacce, gestione)?
- È supportato il funzionamento in modalità “air-gapped” o disconnesso?
- Gli utenti remoti possono accedere alle applicazioni private senza dover passare attraverso un data center, e gli utenti in sede possono accedervi senza dover passare attraverso il cloud?
La definizione contenuta nel glossario di Gartner relativa a security service edge sottolinea che l’SSE viene fornito principalmente tramite cloud, ma può includere componenti on-premise o basati su agenti. Il grado di supporto offerto da un fornitore per tali componenti varia notevolmente.
2. Protezione dei dati
È proprio in materia di protezione dei dati che le soluzioni ibride si differenziano maggiormente.
- Un unico motore di policy DLP è in grado di coprire il web, il SaaS (inline e tramite API), le applicazioni private, gli endpoint, la posta elettronica e gli strumenti di IA generativa?
- La classificazione è comune a tutti i canali o viene configurata separatamente per ciascun prodotto?
- Il DSPM è integrato, in modo tale che l’individuazione dei dati inattivi influenzi l’applicazione delle politiche in tempo reale?
- Dove viene decriptato il traffico e dove vengono archiviate le copie degli incidenti DLP?
3. Controllo delle politiche
- Esiste un unico motore di policy per l’applicazione delle politiche sia in locale che nel cloud, oppure una console che gestisce motori separati?
- È possibile gestire le politiche come codice, assegnare loro una versione e ripristinarne una versione precedente?
- In che modo le modifiche alle politiche vengono diffuse a tutti i punti di applicazione e come viene rilevata la deriva?
- È possibile che una politica utilizzi contemporaneamente l’identità, lo stato di sicurezza del dispositivo, la classificazione dei dati e i segnali di rischio?
Anche i motori separati gestiti da un’unica console continuano a generare scostamenti. Chieda al fornitore di modificare una regola durante la dimostrazione e di mostrarne l’applicazione sia su un gateway locale che su un punto di presenza nel cloud.
4. Integrazione
- Quali provider di identità, agenti endpoint, piattaforme SIEM e SOAR e sistemi di gestione dei ticket sono supportati in modo nativo?
- È possibile trasmettere i log al vostro SIEM quasi in tempo reale e limitarne la destinazione in base alla regione?
- La soluzione si integra con i moduli di sicurezza hardware e le soluzioni di sandboxing esistenti?
- Le API sono sufficientemente documentate e complete per consentire l'automazione?
5. Migrazione
La maggior parte degli acquirenti sta sostituendo qualcosa, spesso un proxy obsoleto.
- Esiste una procedura definita per trasferire le politiche esistenti? In che misura il processo è automatizzato e quali parti devono essere convalidate manualmente?
- È possibile che la nuova soluzione funzioni in parallelo con quella attualmente in uso durante la fase di convalida?
- Quali servizi professionali sono inclusi e chi è responsabile del piano di transizione?
- Esistono programmi commerciali che compensano il valore residuo del contratto relativo al prodotto da sostituire?
Si veda “Secure Web Gateway : lista di controllo per il passaggio e il ripristino”.
Lista di controllo dei requisiti di sicurezza per il cloud ibrido
Consideri questi requisiti di sicurezza del cloud ibrido come criteri di idoneità o non idoneità prima di assegnare un punteggio a qualsiasi fornitore:
- Applicazione delle politiche disponibile sia in locale che nel cloud tramite un unico motore di policy
- Opzione di ispezione TLS locale per il traffico soggetto a regolamentazione
- private access e (ZTNA) per singola applicazione, per utenti remoti e in sede
- DLP unificato per il Web, il SaaS, le applicazioni private, gli endpoint e gli strumenti di intelligenza artificiale
- Comportamento documentato nel caso in cui il cloud del fornitore risulti irraggiungibile
- Controlli relativi ai registri e alla residenza dei dati
- Certificazioni e autorizzazioni pertinenti (ad esempio FedRAMP, SOC 2 Tipo II, ISO 27001, schemi regionali)
- Supporto alla migrazione in esecuzione parallela
Scheda di valutazione
Valutate l’importanza di ciascun requisito in base al vostro contesto, quindi assegnate ai fornitori un punteggio compreso tra 1 e 5.
| Criterio | Peso di riferimento | Fornitore A | Fornitore B | Fornitore C |
|---|---|---|---|---|
| Flessibilità di implementazione e copertura delle funzionalità (on-premise, cloud, ibrido) | 25% | |||
| Protezione dei dati (DLP, DSPM, classificazione) | 25% | |||
| Controllo delle policy (motore unico, policy as code, rilevamento delle deviazioni) | 20% | |||
| Integrazione (identità, SIEM, API) | 10% | |||
| Migrazione (trasferimento delle politiche, esecuzione parallela, servizi) | 10% | |||
| Resilienza (comportamento in caso di interruzione del servizio cloud o della rete WAN) | 10% |
Le organizzazioni soggette a regolamentazione spesso attribuiscono maggiore importanza alla protezione dei dati e alla flessibilità di implementazione. Le organizzazioni che adottano un approccio “cloud-first” e non sono soggette a requisiti di ispezione in loco potrebbero invece attribuire maggiore importanza all’integrazione e all’esperienza utente.
Domande da porre ai fornitori di soluzioni di sicurezza per il cloud ibrido
Le domande giuste costringono i fornitori a dimostrare, anziché limitarsi a descrivere, la coerenza delle politiche, la gestione dei dati e il comportamento in caso di errore.
- Ci illustri una modifica alle politiche applicata sia a un gateway locale che a un punto di presenza nel cloud.
- Dove viene esattamente decriptato il nostro traffico e chi può accedere ai contenuti decriptati?
- In quali paesi verranno conservati i nostri log, le prove relative agli incidenti e i dati di telemetria, e possiamo limitarne la conservazione?
- Cosa succede in termini di ispezione e “ private access ” se il Suo servizio cloud rimane irraggiungibile per quattro ore?
- In che modo vengono aggiornati i componenti on-premises? È possibile effettuare aggiornamenti graduali?
- Come gestite le connessioni WebSocket e altre connessioni di lunga durata utilizzate dagli strumenti e dagli agenti di intelligenza artificiale?
- Quali valutazioni e certificazioni di analisti indipendenti riguardano i componenti specifici che stiamo acquistando?
- Come si presenta una migrazione tipica dal nostro prodotto attuale, in termini di settimane, e quali sono gli aspetti che i clienti tendono a sottovalutare più spesso?
Esecuzione di una prova di fattibilità
Un valido proof of concept mette alla prova le vostre ipotesi più rischiose, non le migliori funzionalità del fornitore.
- Traffico: si utilizzi traffico reale proveniente da un gruppo pilota, compreso un sito con elevata larghezza di banda.
- Ispezione TLS: misurare la latenza e la velocità di trasmissione con l’ispezione abilitata al volume di produzione previsto.
- Protezione dei dati: inserite nei documenti di test i vostri modelli di dati sensibili e verificate che il rilevamento sia coerente tra i caricamenti su web, SaaS e strumenti di intelligenza artificiale.
- Mancato funzionamento: simulare la perdita di connettività al cloud del fornitore e osservare quali funzioni continuano a funzionare.
- Operazioni: Affidate ai vostri amministratori, e non ai tecnici del fornitore, il compito di apportare modifiche alle politiche e di risolvere i problemi relativi a un sito bloccato.
Segnali di allarme
Questi segnali di allarme indicano solitamente che il supporto ibrido offerto da un fornitore è meno completo di quanto suggerisca la sua campagna di marketing.
- Il termine “ibrido” indica semplicemente che il cloud del fornitore è in grado di connettersi al vostro data center.
- I prodotti on-premises e quelli cloud presentano una sintassi delle politiche distinta o dizionari DLP separati.
- Il fornitore non è in grado di indicare dove vengano trattati i dati decriptati.
- Private access per gli utenti in loco è necessario un percorso di andata e ritorno attraverso il cloud.
- La migrazione viene descritta come un'importazione di file senza alcuna fase di convalida.
Il ruolo di “ Skyhigh Security ”
Skyhigh Security È adatto alle organizzazioni che necessitano di un'applicazione delle politiche sia in locale che nel cloud, gestita da un unico motore di policy.
Skyhigh Hybrid SSE Mesh unifica i dispositivi SWG on-premise, lo ZTNA locale e i controlli di sicurezza del browser con CASB, DSPM, DLP e RBI nel cloud, il tutto tramite un’unica console e un unico motore di policy. L’ispezione TLS locale viene eseguita sull’infrastruttura dell’organizzazione, mentre il traffico pertinente viene inoltrato ai servizi applicati nel cloud. La policy viene distribuita come codice ai punti di applicazione fisici, virtuali e nel cloud.
Skyhigh Security si è classificata al primo posto nella categoria “Advanced SSE Use Case” nell’ Critical Capabilities 2026 di Gartner® relativo all’ Security Service Edge (comunicato stampa). La piattaforma è in possesso dell’autorizzazione FedRAMP High e di ulteriori certificazioni, tra cui IRAP, BSI C5, SOC 2 Tipo II e CSA STAR Livello 2, secondo quanto riportato da Skyhigh Security.
Fonti
- Gartner. " Security Service Edge " (SSE), Glossario delle tecnologie dell'informazione. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NSA e CISA. Le dieci principali strategie di mitigazione dei rischi per la sicurezza nel cloud (7 marzo 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- NIST. SP 800-215: Guida alla sicurezza dell’infrastruttura di rete aziendale (novembre 2022). https://csrc.nist.gov/pubs/sp/800/215/final
- Skyhigh Security. “Skyhigh Security , al primo posto nella categoria ‘Casi d’uso avanzati di SSE’ nel rapporto Gartner del 2026 ‘ Critical Capabilities ’ relativo a ‘ Security Service Edge’ ” (5 agosto 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Skyhigh Security. Modernizzazione di Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html
GARTNER è un marchio registrato e un marchio di servizio di Gartner, Inc. e/o delle sue affiliate negli Stati Uniti e a livello internazionale ed è qui utilizzato previa autorizzazione. Tutti i diritti riservati. Gartner non promuove alcun fornitore, prodotto o servizio citato nelle proprie pubblicazioni di ricerca.