Implementazione SSE privata: architettura e dipendenze cloud
- SSE privato gestisce il gateway web e l’applicazione delle politiche relative alle applicazioni private sull’infrastruttura controllata dal cliente, mentre i servizi relativi ai dati, quali la protezione dei dati, possono comunque essere forniti dal cloud del fornitore. Si prega di indicare quali sono gli uni e quali gli altri.
- Si raccomanda di valutare separatamente il piano dati, il piano di controllo e i servizi di supporto, poiché ciascuno di essi può essere di tipo privato o basato su cloud.
- La maggior parte delle soluzioni SSE in proprio hosting dipende ancora in qualche modo dal cloud del fornitore; pertanto, si raccomanda di mappare tutte le dipendenze in uscita.
- La telemetria è costituita da dati; decidete quali log, campioni e metadati devono uscire dal vostro ambiente e dove devono essere inviati.
- L'SSE privato e quello su cloud possono funzionare in parallelo, con l'applicazione delle norme in ambiente privato riservata ai siti che ne hanno bisogno.
Il modello SSE privato è un modello di implementazione in cui le funzionalità di “ Security Service Edge ”, quali “ secure web gateway ” (SWG), “ zero trust network access ” (ZTNA) e “ data loss prevention ” (DLP), vengono eseguite su un’infrastruttura ospitata dal cliente. Viene utilizzato dalle organizzazioni che devono mantenere l’ispezione del traffico, le chiavi o i registri all’interno delle proprie strutture o giurisdizioni, oppure che necessitano che la sicurezza continui a funzionare senza dipendere da un cloud esterno.
La definizione di SSE fornita da Gartner la descrive come una soluzione fornita principalmente tramite cloud, ma sottolinea che può includere componenti on-premise o basati su agenti. L’SSE privato pone tali componenti al centro del sistema.
Il presente articolo fa parte della guida alla sicurezza del cloud ibrido.
I tre livelli di un'architettura SSE
Ogni implementazione SSE, sia essa su cloud o privata, presenta tre livelli logici.
Il modello “zero trust” del NIST contenuto nella specifica SP 800-207 opera la stessa distinzione tra decisioni relative alle politiche e applicazione delle politiche.
Piano dati. I componenti che si trovano lungo il percorso del traffico e che ispezionano o gestiscono le connessioni: proxy web, gateway ZTNA, ispezione TLS, scansione DLP e analisi del malware. È qui che è presente il testo in chiaro.
Piano di controllo. Ambiente in cui gli amministratori definiscono le politiche, gestiscono le identità e i gruppi e distribuiscono le configurazioni ai punti di applicazione. Può trattarsi di una console in locale, nel cloud del fornitore o in entrambi.
Servizi di supporto. Gli elementi a cui fanno ricorso i punti di applicazione per prendere decisioni: classificazione degli URL, informazioni sulle minacce, reputazione dei file, sandboxing, aggiornamenti del software e delle firme, gestione delle licenze e analisi.
La riservatezza di un’operazione dipende dal livello di riservatezza del suo elemento meno riservato.
Modelli di implementazione SSE privati
Il servizio SSE privato spazia da un piano dati privato con gestione cloud a implementazioni completamente private prive di dipendenze esterne. Si tratta di modelli di valutazione; la disponibilità e i limiti operativi dipendono dal prodotto selezionato.
| Modello | Piano dati | Piano di controllo | Servizi di supporto | Vestibilità standard |
|---|---|---|---|---|
| Cloud SSE | Cloud di un fornitore | Cloud di un fornitore | Cloud di un fornitore | Organizzazioni che privilegiano il lavoro da remoto |
| SSE ibrido | Cloud per clienti e fornitori | Cloud del fornitore o console unificata | Cloud del fornitore, con cache locali | Imprese soggette a regolamentazione con personale che lavora da remoto |
| Piano dati privato | Infrastruttura del cliente | Cloud di un fornitore | Cloud di un fornitore | È richiesta un'ispezione in loco; è accettabile la gestione in cloud |
| Completamente privato | Infrastruttura del cliente | Infrastruttura del cliente | Aggiornamenti gestiti dal cliente o offline | Ambienti isolati, riservati o sovrani |
Il modello con piano dati privato è quello più diffuso. Esso mantiene la decrittografia e l’ispezione a livello locale, ricorrendo a una console cloud per la gestione delle politiche e l’analisi dei dati. Le implementazioni completamente private sono più rare e richiedono un maggiore impegno da parte del team operativo del cliente.
Componenti ospitati dal cliente
In un'implementazione SSE privata o ibrida, il cliente ospita e gestisce i componenti di applicazione e quelli chiave, che in genere includono:
- Dispositivi gateway web, fisici, virtuali o in container, per l’ispezione TLS locale e l’applicazione delle politiche web
- Gateway o connettori ZTNA che gestiscono l’accesso alle applicazioni private
- Scansione DLP, laddove un fornitore la offra a livello locale; Skyhigh applica la protezione dei dati tramite il proprio cloud al traffico inoltrato dal gateway
- Sandboxing in ambiente locale per i file sensibili
- Controllodelle autorità di certificazione (CA) e archiviazione delle chiavi, con custodia supportata da hardware solo laddove supportata e verificata
- Collettori di log che memorizzano gli eventi a livello locale e inoltrano i dati selezionati
Il cliente è responsabile della capacità, della disponibilità, dell'applicazione delle patch e della sicurezza fisica di tali componenti.
Dipendenze cloud da mappare
La maggior parte delle implementazioni SSE private dipende ancora, in qualche modo, dal cloud del fornitore; pertanto, elenchi ciascuna dipendenza e il relativo comportamento in caso di guasto.
Prima di valutare qualsiasi architettura SSE privata, chieda al fornitore di elencare tutte le connessioni in uscita dai componenti ospitati dal cliente e di specificare cosa accade qualora ciascuna di esse risulti non disponibile:
| Dipendenza | Domanda da porre | Cosa cercare |
|---|---|---|
| Politiche e configurazione | L'applicazione delle impostazioni prosegue in base all'ultimo file di policy conosciuto qualora la console risulti irraggiungibile? | Policy memorizzata nella cache con comportamento definito |
| Classificazione degli URL e reputazione | Le ricerche avvengono in locale, nel cloud o in modalità ibrida? | Database locale con aggiornamento tramite cloud |
| Informazioni sulle minacce e firme | In che modo vengono distribuiti gli aggiornamenti? È possibile effettuarne una distribuzione graduale o offline? | Aggiornamenti graduali; opzione offline per i siti non connessi |
| Sandboxing | I file vengono inviati a una sandbox nel cloud? | Opzione sandbox in locale |
| Autenticazione | L'accesso dipende da un servizio di identità cloud? | Identità locale di riserva o token memorizzati nella cache |
| Licenze | L'applicazione della legge viene sospesa qualora i controlli sulle licenze non abbiano esito positivo? | Periodo di grazia |
| Registrazione e analisi | Cosa viene inviato, dove viene archiviato e può essere disattivato? | Campi e aree configurabili |
| Accesso all'assistenza | Il personale del fornitore può accedere ai componenti ospitati dal cliente? | Accesso controllato dal cliente e sottoposto a verifica |
Per ciascuna dipendenza, stabilisca se il comportamento predefinito sia accettabile o se sia necessaria un’alternativa locale.
Flussi di telemetria
I dati di telemetria provenienti da punti di controllo privati costituiscono dati a sé stanti e possono includere:
- Registri di accesso: utente, dispositivo, URL, categoria, azione
- Casi di violazione delle norme DLP, talvolta con estratti dei contenuti o copie integrali
- Hash dei file o campioni per l'analisi delle minacce
- Indicatori di rendimento e di salute
- Dati di utilizzo ai fini della concessione delle licenze
In parte si tratta di informazioni innocue. In parte si tratta di dati soggetti a regolamentazione. Creino una mappa di telemetria che registri ogni flusso, il suo contenuto, la sua destinazione e il periodo di conservazione. Spesso è proprio questo a fare la differenza tra una verifica della sovranità che viene superata e una che si arenano. Si veda la sezione “Sovranità dei dati” nell’articolo “Sicurezza nel cloud ibrido”.
Una pratica utile consiste nel generare impronte digitali dei dati sensibili all’interno dell’ambiente del cliente e nell’inviare al servizio solo gli hash, in modo che il contenuto protetto non esca mai dall’ambiente stesso. Chieda a ciascun fornitore dove vengono generate le impronte digitali per la corrispondenza esatta dei dati e dei documenti e quali informazioni vengono trasmesse. Skyhigh genera e applica la corrispondenza per la protezione dei dati nel proprio cloud.
Quando la SSE privata è una scelta sensata
La gestione privata delle infrastrutture di rete (SSE) risulta opportuna quando la normativa, la connettività, la tecnologia operativa, il volume di traffico o la sostituzione di sistemi obsoleti richiedono un intervento a livello locale.
- Le normative o i contratti impongono che il traffico in chiaro, le chiavi o i registri rimangano all’interno del Paese o in sede
- Le reti sono isolate fisicamente, classificate o collegate in modo intermittente
- Le tecnologie operative o le infrastrutture critiche devono continuare a funzionare anche in caso di interruzioni esterne
- Il volume del traffico interno rende l’ispezione nel cloud costosa o lenta
- L'organizzazione sta sostituendo un proxy locale e desidera modernizzare il proprio sistema senza dover ricorrere a un passaggio obbligatorio al cloud
Quando nessuna di queste condizioni si verifica, l’SSE su cloud comporta solitamente un minore impegno operativo.
Compromessi operativi
Il servizio SSE privato attribuisce al cliente la responsabilità di: dimensionamento, ridondanza, applicazione delle patch, gestione delle fasi di aggiornamento e risoluzione dei problemi.
I vantaggi consistono nel controllo sul testo in chiaro, sulle chiavi e sui registri, nonché nella continuità operativa qualora il cloud del fornitore risulti irraggiungibile. Le architetture ibride consentono alle organizzazioni di limitare l’applicazione delle misure di sicurezza private ai siti e al traffico che ne necessitano.
In che modo Skyhigh supporta l’SSE privato e ibrido
Skyhigh supporta l’SSE privato e ibrido con un piano dati on-premise gestito dalla stessa console dei propri servizi cloud.
Skyhigh Hybrid SSE Mesh applica le politiche di “ secure web gateway ” e “Zero Trust Access” sul gateway on-premise del cliente stesso, grazie all’ispezione TLS locale e a un’architettura di appliance containerizzata introdotta nel marzo 2026, e applica la protezione dei dati, il CASB e gli altri servizi relativi ai dati presenti nel cloud Skyhigh al traffico inoltrato dal gateway, il tutto nell’ambito di un’unica politica definita da un’unica console. Il piano di controllo è fornito tramite cloud, pertanto la creazione delle politiche, la generazione dei report e la trasmissione dei log dipendono dalla raggiungibilità del cloud, mentre l’applicazione locale delle politiche relative al web e alle applicazioni private prosegue in loco qualora tale percorso risulti interrotto. Skyhigh è in possesso dell’autorizzazione FedRAMP High.
Fonti
- Gartner. " Security Service Edge " (SSE), Glossario delle tecnologie dell'informazione. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NIST. SP 800-207: Architettura Zero Trust (agosto 2020). https://csrc.nist.gov/pubs/sp/800/207/final
- Skyhigh Security. “Skyhigh Security annuncia nuove soluzioni per potenziare la rivoluzionaria piattaforma SSE universale” (24 marzo 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. “Modernizzazione dell’ Secure Web Gateway Symantec Edge con Skyhigh Hybrid SSE Mesh” (15 luglio 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. “L’adozione dell’ibrido è diventata più semplice grazie alla piattaforma Skyhigh SSE” (3 ottobre 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html