Skyhigh Hybrid SSE Mesh: architettura e implementazione

Skyhigh Hybrid SSE Mesh è l’architettura ibrida “ Security Service Edge ” di Skyhigh Security. Consente alle organizzazioni di applicare le misure di sicurezza SSE in locale, nel cloud o in entrambi gli ambienti, con un unico motore di policy e un’unica console che gestiscono ogni punto di applicazione. È progettata per le organizzazioni i cui requisiti di conformità, sovranità, resilienza o prestazioni impediscono di instradare tutto il traffico attraverso il cloud di un fornitore.

Il presente articolo fa parte della guida alla sicurezza del cloud ibrido.

Che cos’è l’SSE ibrido?

SSE ibrido è un’implementazione di “ Security Service Edge ” che applica un’unica politica sia nel cloud che in locale, anziché instradare tutto il traffico attraverso il cloud di un fornitore.

Security Service Edge (SSE) garantisce l’accesso al Web, ai servizi cloud e alle applicazioni private. Gartner definisce l’SSE come una soluzione fornita principalmente tramite cloud, pur sottolineando che può includere componenti on-premise o basati su agenti.

L’SSE ibrido prende sul serio questa seconda parte. Anziché considerare l’applicazione delle politiche in loco come un retaggio del passato, l’SSE ibrido colloca l’applicazione delle politiche nel punto in cui ha origine ciascun flusso di traffico: nei punti di presenza nel cloud per gli utenti remoti che accedono al SaaS e nei gateway in loco o nelle filiali per il traffico che ha origine e termina all’interno della rete. La ricerca di mercato di Gartner sull’SSE del 2026 rileva che i fornitori offrono sempre più spesso appliance virtuali o hardware che estendono il piano dati SSE in sede, consentendo l’elaborazione locale del traffico e la resilienza nei confronti di tempi di inattività imprevisti del cloud, come citato nell’annuncio di agosto 2026 diSkyhigh Security.

La parte più complessa dell’SSE ibrido non consiste nell’implementazione delle appliance, bensì nel garantire che l’applicazione delle politiche sia regolata dalle stesse regole sia in locale che nel cloud, in modo che un utente, un tipo di dati o un’applicazione ricevano lo stesso trattamento indipendentemente dal punto di applicazione che gestisce il traffico.

Come funziona Skyhigh Hybrid SSE Mesh

Skyhigh Hybrid SSE Mesh è costituito da tre livelli: un piano di controllo unificato, un piano dati distribuito e servizi forniti dal cloud, tutti gestibili dalla stessa console.

Piano di controllo unificato

Un’unica console e un unico motore di policy gestiscono SWG, CASB, DLP, RBI, ZTNA, i controlli per browser sicuri, DSPM e i controlli basati sull’intelligenza artificiale. Skyhigh descrive un’architettura “policy-as-code” che distribuisce automaticamente le policy su dispositivi fisici, sistemi virtuali e nodi cloud, senza necessità di riconciliazione manuale tra gli ambienti (Skyhigh Security). L’aggiornamento della piattaforma di Skyhigh del marzo 2026 ha introdotto una gestione unificata delle politiche indipendente dalla posizione, un framework di politiche programmabile ed estensibile, nonché un monitoraggio e una reportistica consolidati a livello di piattaforma (Skyhigh Security).

Piano dati distribuito

I controlli si svolgono lungo i percorsi di traffico:

• Gli appliance SWG on-premises e nelle filiali analizzano il traffico web a livello locale, compresa la decrittografia TLS. La versione di Skyhigh del marzo 2026 ha introdotto un’architettura di appliance containerizzata progettata per garantire la scalabilità, insieme all’instradamento dinamico del traffico.
• Lo ZTNA locale viene eseguito sui gateway on-premise e di filiale dell’organizzazione stessa, anziché tramite un nodo cloud gestito da un fornitore; in tal modo, l’applicazione del modello zero trust si estende ai sistemi interni e al traffico che non esce mai dall’edificio.
• Cloud SWG protegge gli utenti remoti e in roaming senza reindirizzare il loro traffico verso un data center.

Estensioni fornite tramite cloud

Dalla stessa console, le organizzazioni possono aggiungere soluzioni CASB, DSPM, DLP e remote browser isolation nel cloud. Il registro cloud di Skyhigh valuta i servizi cloud in base a 56 attributi distribuiti su sei pilastri di rischio (dati, identità, hosting, business, aspetti legali e rischio informatico), in modo che le politiche possano distinguere tra servizi che condividono una categoria di URL ma differiscono per quanto riguarda la residenza dei dati, la crittografia o i termini legali.

Opzioni di implementazione supportate

Skyhigh Hybrid SSE Mesh può essere eseguito in locale, in un modello ibrido o nel cloud, e le organizzazioni possono passare da un modello all’altro nel corso del tempo.

Le organizzazioni possono partire da un modello e passare da uno all’altro. La soluzione SWG ibrida di Skyhigh supporta la sincronizzazione delle politiche on-premise con il cloud, consentendo sia di migrarle completamente sia di mantenerle distinte, pur condividendo elenchi sincronizzati (Skyhigh Security).

Per gli ambienti che non possono fare affidamento sulla connettività esterna, il gateway web locale e l’applicazione del modello Zero Trust Access continuano a essere gestiti dal Secure Service Gateway. I servizi forniti tramite il cloud Skyhigh, tra cui la protezione dei dati, l’ remote browser isolation, i controlli di sicurezza basati sull’intelligenza artificiale, il CASB e la gestione dello stato di sicurezza dei dati, non sono disponibili quando un sito è disconnesso; si raccomanda pertanto di tenere conto di tali requisiti in fase di progettazione. Per le agenzie federali statunitensi e le organizzazioni della base industriale della difesa, la piattaforma è in possesso dell’autorizzazione FedRAMP High.

Ispezione e gestione delle politiche

L'ispezione viene eseguita lungo il percorso del traffico, con decrittografia TLS locale per il traffico in loco e un unico motore di policy che gestisce i controlli relativi alle minacce, ai dati e ai browser.

Ispezione TLS locale. La decrittografia e l’ispezione SSL/TLS vengono eseguite sull’infrastruttura propria dell’organizzazione. I dati decrittografati non devono attraversare confini di terze parti o giurisdizionali, il che semplifica le verifiche relative alla sovranità e alla privacy. Ciò è inoltre in linea con le linee guida della NSA, secondo cui l’ispezione TLS deve essere eseguita una sola volta, all’interno della rete aziendale (NSA).

Controllo delle uscite. Gli indirizzi IP di uscita dedicati e l’ancoraggio dell’IP di origine consentono alle organizzazioni di instradare il traffico Internet ispezionato nel cloud attraverso indirizzi IP pubblici loro assegnati, supportando le restrizioni relative all’IP di origine, la reputazione degli IP e i requisiti giurisdizionali.

Esposizione delle applicazioni private. Documentare la connettività in entrata e in uscita richiesta da gateway, connettori e interfacce di gestione e confermare la topologia selezionata con Skyhigh.

Rilevamento delle minacce. La soluzione anti-malware del gateway contrasta le minacce sin dal primo hop sul Secure Service Gateway. Il sandboxing basato sull’emulazione, l’analisi del comportamento di utenti ed entità (UEBA) e l’analisi delle minacce a livello di rete ( remote browser isolation ) vengono applicati tramite il cloud Skyhigh al traffico inoltrato dal gateway.

Protezione unificata dei dati. Un unico motore di policy DLP si applica al Web, ai servizi SaaS, agli strumenti di IA, alle applicazioni private e agli endpoint; pertanto, la stessa classificazione regola sia un caricamento sul Web, sia una condivisione tramite SaaS, sia un prompt generativo dell’IA. La policy DLP viene definita una sola volta e applicata nel cloud Skyhigh, anche per il traffico inoltrato dai punti di applicazione on-premise.

Controlli di sicurezza del browser. La sicurezza del browser senza agenti, implementata ai margini della rete locale, applica controlli in linea alle operazioni di caricamento, download, copia e incolla, all’attività di sessione e alle interazioni con l’intelligenza artificiale su qualsiasi browser standard, senza la necessità di implementare un browser aziendale o estensioni. L’ispezione compatibile con WebSocket si estende al traffico degli agenti di intelligenza artificiale e a quello di messaggistica.

Casi d'uso

La soluzione Hybrid SSE Mesh è indicata per le organizzazioni che necessitano di un controllo locale sui dati soggetti a regolamentazione, sulla tecnologia operativa, sugli agenti di intelligenza artificiale o sulla sostituzione di gateway legacy.

Servizi finanziari regolamentati. Gli enti soggetti ai requisiti DORA, FCA o MAS possono conservare i dati personali decriptati all’interno della propria infrastruttura, pur adottando soluzioni CASB e DLP basate sul cloud. Si veda la sezione “Sovranità dei dati nella sicurezza del cloud ibrido”.

Settore pubblico e difesa. L’autorizzazione FedRAMP High è destinata ad ambienti con requisiti di autorizzazione rigorosi, mentre l’applicazione locale sul Secure Service Gateway è destinata a siti con connettività limitata.

Settore sanitario. I dati dei pazienti possono rimanere all’interno del perimetro fisico, mentre gli operatori sanitari utilizzano applicazioni cloud nel rispetto della stessa politica.

Settore manifatturiero e infrastrutture critiche. L’applicazione delle politiche di sicurezza a livello locale sul web e sulle applicazioni private può integrare la segmentazione gestita dal cliente tra le reti IT aziendali e quelle OT/SCADA. Si prega di verificare quali controlli siano forniti da Skyhigh e quali richiedano componenti di terze parti.

Agenti di intelligenza artificiale all’interno della rete. Gli agenti autonomi possono ereditare i diritti di accesso a livello di utente, concatenare API e trasferire dati tramite connessioni WebSocket persistenti che hanno origine all’interno della rete. Lo ZTNA locale e l’ispezione compatibile con WebSocket consentono di applicare le politiche proprio nel punto in cui tale traffico si verifica effettivamente.

Secure web gateway modernizzazione. Le organizzazioni che sostituiscono Symantec Edge SWG (precedentemente noto come ProxySG di Blue Coat ) possono implementare le appliance Skyhigh parallelamente ai gateway esistenti, verificare la conformità alle politiche e dismettere l’hardware obsoleto secondo i propri tempi. Si veda “Alternative aBlue Coat ” e “Sostituzione di ProxySG”.

Percorso di implementazione

Skyhigh implementa Hybrid SSE Mesh in quattro fasi che procedono parallelamente all’infrastruttura esistente, in modo che le politiche vengano convalidate prima di qualsiasi passaggio:

1. Valutare e pianificare. Effettuare un inventario delle politiche esistenti, mappare le zone di sovranità dei dati e gli ambienti OT/SCADA e definire i valori di riferimento relativi alle prestazioni dell’ispezione TLS.
2. Implementazione in parallelo. Installare le appliance Skyhigh SWG accanto ai gateway attuali, importare e convalidare le linee guida delle politiche e gestire il traffico in parallelo senza interrompere l’attività di produzione.
3. Adottino funzionalità unificate. Attivino i controlli locali ZTNA e Secure Browser, estendano la soluzione con CASB, DSPM e DLP basati su cloud e, quando saranno pronti, sostituiscano gli apparecchi legacy.
4. Razionalizzare e ottimizzare. Regolare i consumi, disattivare i diritti inutilizzati e perfezionare costantemente le politiche sotto forma di codice.

Secondo Skyhigh, la maggior parte delle organizzazioni attua le fasi due e tre in parallelo nell’arco di un periodo compreso tra sei e dodici mesi. Le funzionalità sono concesse in licenza per singolo diritto d’uso, pertanto nuove funzioni, quali lo ZTNA locale o i controlli di sicurezza del browser, possono essere attivate quando necessario.

Perché le organizzazioni scelgono Skyhigh Hybrid SSE Mesh

Le organizzazioni scelgono Skyhigh Hybrid SSE Mesh poiché l’applicazione delle politiche sia in locale che nel cloud funziona come un unico sistema, come attestato da analisti indipendenti.

Skyhigh Security si è classificata al primo posto nella categoria “Advanced SSE Use Case” del rapporto Gartner® “ Critical Capabilities ” del 2026 relativo all’ Security Service Edge. Oltre 3.000 organizzazioni utilizzano Skyhigh, tra cui l’80% delle principali banche mondiali e il 25% delle aziende Fortune 500.

Il vero elemento di differenziazione è di natura architettonica: l’applicazione delle politiche in locale e nel cloud non sono prodotti distinti con politiche separate. Si tratta di un unico sistema.

Prossimo passo: richieda una valutazione dell’architettura ibrida oppure consulti la pagina Secure Web Gateway dedicata all’architettura ibrida.

Fonti

1. Skyhigh Security. “Modernizzazione dell’ Secure Web Gateway Symantec Edge con Skyhigh Hybrid SSE Mesh” (15 luglio 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
2. Skyhigh Security. “Skyhigh Security annuncia nuove soluzioni per potenziare la rivoluzionaria piattaforma SSE universale” (24 marzo 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
3. Skyhigh Security. “Skyhigh Security , al primo posto nella categoria ‘Casi d’uso avanzati di SSE’ nel rapporto Gartner del 2026 ‘ Critical Capabilities ’ relativo a ‘ Security Service Edge’ ” (5 agosto 2026). https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
4. Skyhigh Security. “L’adozione dell’ibrido è diventata più semplice grazie alla piattaforma Skyhigh SSE” (3 ottobre 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
5. Skyhigh Security. Modernizzazione di Symantec Edge SWG (Blue Coat). https://www.skyhighsecurity.com/bluecoat-modernize.html
6. Skyhigh Security. Secure Web Gateway per Hybrid. https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
7. Gartner. " Security Service Edge " (SSE), Glossario delle tecnologie dell'informazione. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
8. NSA. Gestione dei rischi derivanti dall’ispezione del protocollo TLS (novembre 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF

GARTNER è un marchio registrato e un marchio di servizio di Gartner, Inc. e/o delle sue affiliate negli Stati Uniti e a livello internazionale ed è qui utilizzato previa autorizzazione. Tutti i diritti riservati. Gartner non promuove alcun fornitore, prodotto o servizio citato nelle proprie pubblicazioni di ricerca.