Skyhigh Hybrid SSE Mesh：アーキテクチャと導入
- Skyhigh Hybrid SSE Meshは、オンプレミスのSWGアプライアンスとクラウドセキュリティを、単一のコンソールとポリシーエンジンで統合します。
- データプレーンはオンプレミスに維持することができ、TLSの復号化と検査は顧客のインフラストラクチャ上で実行されます。
- 顧客のゲートウェイに設置されたローカルZTNAは、内部ユーザー、リソース、およびAIエージェントに対してゼロトラストを適用します。
- クラウドCASB、DSPM、DLP、およびremote browser isolation は、すべて同じコンソールから、ご自身のペースに合わせて拡張可能です。
- ポリシーは、ドリフトを防ぐために、物理、仮想、およびクラウドの適用ポイントへ「コードとして」展開されます。
Skyhigh Hybrid SSE Meshは、Skyhigh Securityが提供するハイブリッド型Security Service Edge アーキテクチャです。このアーキテクチャにより、組織はオンプレミス、クラウド、あるいはその両方でSSEの適用を実行でき、すべての適用ポイントを1つのポリシーエンジンと1つのコンソールで一元管理できます。これは、コンプライアンス、主権、レジリエンス、またはパフォーマンスの要件から、すべてのトラフィックをベンダーのクラウド経由でルーティングすることができない組織向けに設計されています。
この記事は、「ハイブリッドクラウドのセキュリティ」ガイドの一部です。
ハイブリッドSSEとは何ですか？
ハイブリッドSSEは、すべてのトラフィックをベンダーのクラウド経由でルーティングするのではなく、クラウドとオンプレミスの両方で単一のポリシーを適用するSecurity Service Edge の導入形態です。
Security Service Edge (SSE) は、Web、クラウドサービス、およびプライベートアプリケーションへのアクセスを保護します。ガートナーは、SSE を主にクラウド経由で提供されるものと定義していますが、オンプレミス型やエージェントベースのコンポーネントが含まれる場合もあると指摘しています。
ハイブリッドSSEは、この2つ目の点を真剣に捉えています。ハイブリッドSSEは、オンプレミスでの適用をレガシーな遺物として扱うのではなく、各トラフィックフローの発信元に応じて適用を行うようにしています。具体的には、SaaSにアクセスするリモートユーザーの場合はクラウドのPoP（接続拠点）、ネットワーク内部で開始・終了するトラフィックの場合はオンプレミスまたは支社のゲートウェイで適用を行います。 ガートナーの2026年SSE市場調査によると、ベンダーはオンプレミスでSSEデータプレーンを拡張する仮想またはハードウェアアプライアンスの提供を増加させており、これによりローカルトラフィックの処理や、予期せぬクラウドのダウンタイムに対する耐性が実現されていると指摘されています。これは、Skyhigh Securityが2026年8月に発表した内容でも言及されています。
ハイブリッドSSEにおいて難しいのは、アプライアンスの導入そのものではありません。重要なのは、オンプレミスとクラウドの両方の適用ポイントを同じポリシーで管理し、トラフィックを処理する適用ポイントがどこであっても、ユーザー、データタイプ、またはアプリケーションが同じように扱われるようにすることです。
Skyhigh Hybrid SSE Meshの仕組み
Skyhigh Hybrid SSE Meshは、統合されたコントロールプレーン、分散型データプレーン、そして同一のコンソールから提供されるクラウドベースのサービスの3つの層で構成されています。
統合制御プレーン
単一のコンソールとポリシーエンジンにより、SWG、CASB、DLP、RBI、ZTNA、セキュアブラウザ制御、DSPM、およびAI制御が一元的に管理されます。Skyhighは、環境間の手動による調整を必要とせずに、物理アプライアンス、仮想システム、クラウドノード全体にポリシーを自動的に適用する「ポリシー・アズ・コード」アーキテクチャを提唱しています（Skyhigh Security）。Skyhighは2026年3月のプラットフォームアップデートにおいて、ロケーションに依存しない統合ポリシー管理、プログラム可能かつ拡張可能なポリシーフレームワーク、およびプラットフォーム全体にわたる統合された監視・レポート機能を追加しました（Skyhigh Security）。
分散データプレーン
交通が流れる場所では取り締まりが行われます：
- オンプレミスおよび支店に設置されたSWGアプライアンスは、TLS復号を含め、Webトラフィックをローカルで検査します。Skyhighの2026年3月のリリースでは、スケーラビリティを重視して設計されたコンテナ型アプライアンスアーキテクチャと、動的なトラフィックルーティング機能が導入されました。
- ローカルZTNAは、ベンダーが管理するクラウドノードを経由するのではなく、組織が独自に保有するオンプレミスおよび支店のゲートウェイ上で動作するため、ゼロトラストの適用範囲は、建物外に出ることのない内部システムやトラフィックにまで及びます。
- Cloud SWGは、トラフィックをデータセンターにバックホールすることなく、リモートユーザーやローミングユーザーを保護します。
クラウド経由で提供される拡張機能
組織は、同じコンソールから、クラウドCASB、DSPM、DLP、およびremote browser isolation を追加することができます。Skyhighのクラウドレジストリは、6つのリスク分野（データ、ID、ホスティング、ビジネス、法務、サイバーリスク）にわたる56の属性に基づいてクラウドサービスを評価するため、ポリシーでは、URLカテゴリは同じでも、データの保存場所、暗号化、または法的条件が異なるサービスを区別することができます。
サポートされている導入オプション
Skyhigh Hybrid SSE Meshは、オンプレミス、ハイブリッドモデル、クラウドのいずれでも稼働可能であり、組織は時間の経過とともに各モデル間を移行することができます。
| 導入モデル | 検査の実施範囲 | 標準的なサイズ感 |
|---|---|---|
| オンプレミス | 顧客のデータセンターおよび支店 | 主権に縛られたWebトラフィックおよびローカルでの適用が必要なサイト；接続が制限された環境におけるすべての依存関係を検証する |
| ハイブリッド | オンプレミス（ローカルトラフィック用）、クラウド（リモートユーザー用）、およびSaaS | 規制対象企業のほとんどおよびBlue Coat の近代化プロジェクト |
| クラウド | スカイハイのクラウド・ポイント・オブ・プレゼンス | 現地検査の要件がない「リモートファースト」の組織 |
組織は、あるモデルから開始し、モデル間を移行することができます。SkyhighのハイブリッドSWGは、オンプレミスのポリシーをクラウドに同期することをサポートしており、ポリシーを完全に移行することも、同期されたリストを共有しつつ個別の状態を維持することも可能です（Skyhigh Security）。
外部との接続に依存できない環境においては、Secure Service Gateway 上でローカル Web ゲートウェイおよびゼロトラストアクセスの適用が継続されます。データ保護、remote browser isolation 、AI セキュリティ制御、CASB、データセキュリティ態勢管理など、Skyhigh クラウドを通じて適用されるサービスは、サイトが接続されていない間は利用できないため、設計段階においてこれらの要件の適用範囲を明確にしておく必要があります。米国連邦政府機関および防衛産業基盤組織向けに、本プラットフォームは FedRAMP High 認証を取得しています。
検査および方針の取り扱い
トラフィックの流れる場所での検査を実施し、オンプレミスのトラフィックに対してはローカルでのTLS復号を行い、脅威対策、データ管理、ブラウザ制御を1つのポリシーエンジンで一元管理します。
ローカルTLS検査。SSL/TLSの復号および検査は、組織独自のインフラストラクチャ上で実行されます。復号されたペイロードは、サードパーティや管轄区域の境界を越える必要がないため、主権やプライバシーに関する審査が簡素化されます。これは、企業ネットワーク内でTLS検査を1回のみ実施するというNSAの指針にも沿ったものです（NSA）。
アウトバウンド制御。専用のアウトバウンドIPおよび送信元IPの固定化により、組織はクラウド上で検査されたインターネットトラフィックを、割り当てられたパブリックIPアドレス経由でルーティングすることができ、送信元IPの制限、IPレピュテーション、および管轄要件に対応します。
プライベートアプリケーションの公開状況。ゲートウェイ、コネクタ、および管理インターフェースに必要な受信および送信の接続性を文書化し、Skyhigh を使用して選択したトポロジーを確認してください。
脅威の検知。ゲートウェイ型マルウェア対策は、Secure Service Gatewayの最初のホップで脅威に対処します。エミュレーションベースのサンドボックス、ユーザーおよびエンティティの行動分析（UEBA）、およびremote browser isolation は、ゲートウェイが転送するトラフィックに対して、Skyhighクラウドを通じて適用されます。
統合されたデータ保護。単一のDLPポリシーエンジンが、Web、SaaS、AIツール、プライベートアプリ、エンドポイントにまたがって適用されるため、Webへのアップロード、SaaSでの共有、生成AIのプロンプトに対して、同一の分類基準が適用されます。DLPポリシーは一度作成するだけで、オンプレミスの適用ポイントから転送されたトラフィックを含め、Skyhighクラウド上で適用されます。
セキュアブラウザ制御。ローカルネットワークのエッジにおけるエージェントレスなブラウザセキュリティは、エンタープライズ向けブラウザや拡張機能を導入することなく、あらゆる標準ブラウザでのアップロード、ダウンロード、コピー＆ペースト、セッション活動、AIとのやり取りに対してインライン制御を適用します。WebSocketに対応した検査機能は、AIエージェントやメッセージングトラフィックにも適用されます。
ユースケース
ハイブリッド SSE メッシュは、規制対象データ、オペレーショナルテクノロジー、AI エージェント、あるいはレガシーゲートウェイの置き換えについて、ローカルでの制御を必要とする組織に適しています。
規制対象の金融サービス。DORA、FCA、またはMASの要件の対象となる機関は、クラウド型CASBおよびDLPを導入しつつ、復号済みの個人データを自社のインフラ内に保持することができます。「ハイブリッドクラウドセキュリティにおけるデータ主権」を参照してください。
政府および防衛分野。FedRAMP Highの認可は、厳格な認可要件が課される環境を対象としており、Secure Service Gatewayにおけるローカルでの適用は、接続環境に制約のあるサイトに対応しています。
医療。臨床医が同一のポリシーに基づいてクラウドアプリケーションを利用する際、患者データは物理的な境界内に留めることができます。
製造業および重要インフラ。ローカルWebおよびプライベートアプリケーションのセキュリティ対策は、企業のITネットワークとOT/SCADAネットワーク間の、顧客が管理するセグメンテーションを補完することができます。どの制御機能がSkyhighによって提供され、どの制御機能にサードパーティ製コンポーネントが必要となるかを確認してください。
ネットワーク内のAIエージェント。自律型エージェントは、ユーザーレベルのアクセス権限を継承し、APIを連鎖させ、ネットワーク内部から確立された永続的なWebSocket接続を介してデータを転送することができます。ローカルZTNAとWebSocketに対応した検査機能により、トラフィックが実際に発生する場所でポリシーを適用します。
Secure web gateway 近代化。Symantec Edge SWG（旧Blue Coat ProxySG）を置き換える組織は、既存のゲートウェイと並行してSkyhighアプライアンスを導入し、ポリシーの有効性を確認した上で、独自のスケジュールに従ってレガシーハードウェアを段階的に廃止することができます。詳細は、「Blue Coat の代替ソリューションおよびProxySGの置き換え」をご覧ください。
展開パス
Skyhighは、既存のインフラと並行して稼働する4つのフェーズに分けて「Hybrid SSE Mesh」を展開するため、切り替えが行われる前にポリシーが検証されます：
- 評価と計画。既存の方針を整理し、データ主権ゾーンおよびOT/SCADA環境をマッピングし、TLS検査のパフォーマンスのベースラインを確立する。
- 並行して導入します。現在のゲートウェイの隣にSkyhigh SWGアプライアンスを設置し、ポリシーベースラインをインポートして検証を行い、本番環境に影響を与えることなくトラフィックを並行して処理します。
- 統一された機能を採用します。オンプレミスのZTNAおよびセキュアブラウザ制御を有効にし、クラウド型CASB、DSPM、DLPで機能を拡張し、準備が整い次第、レガシーアプライアンスを廃止します。
- 合理化と最適化を行う。消費量を調整し、未使用の割当を廃止し、「ポリシー・アズ・コード」として継続的に改善していく。
Skyhighによると、ほとんどの組織では、フェーズ2とフェーズ3を6か月から12か月にわたって並行して実施しています。機能の利用権はライセンス単位で付与されるため、ローカルZTNAやセキュアブラウザコントロールなどの新機能は、必要になった時点で有効化することができます。
組織がSkyhigh Hybrid SSE Meshを選ぶ理由
各組織がSkyhigh Hybrid SSE Meshを採用する理由は、オンプレミスとクラウドでのポリシー適用が単一のシステムとして動作し、かつ独立したアナリスト機関からも高い評価を得ているためです。
Skyhigh Security 2026年のガートナー®『Critical Capabilities forSecurity Service Edge 』において、「Advanced SSE Use Case」部門で第1位にランクインしました。Skyhighは3,000を超える組織で利用されており、その中には世界の主要銀行の80％、フォーチュン500企業の25％が含まれています。
実際の違いはアーキテクチャにあります。オンプレミスとクラウドでの適用は、それぞれ別々のポリシーを持つ独立した製品というわけではありません。これらは1つのシステムなのです。
次のステップ： ハイブリッドアーキテクチャの評価を依頼するか、Secure Web Gateway の「ハイブリッド」のページをご覧ください。
出典
- Skyhigh Security. 「Skyhigh Hybrid SSE Mesh による Symantec EdgeSecure Web Gateway の近代化」（2026年7月15日）。https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. 「Skyhigh Security 、革新的なユニバーサルSSEプラットフォームを強化する新ソリューションを発表」（2026年3月24日）。https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
- Skyhigh Security. 「Skyhigh Security 、2026年ガートナー『Critical Capabilities forSecurity Service Edge』の『Advanced SSE Use Case』部門で第1位にランクイン」（2026年8月5日）。https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
- Skyhigh Security. 「Skyhigh SSEプラットフォームにより、ハイブリッド環境の導入がさらに容易に」（2024年10月3日）。https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. Symantec Edge SWG の最新化 (Blue Coat)。https://www.skyhighsecurity.com/bluecoat-modernize.html
- Skyhigh Security. ハイブリッド向けSecure Web Gateway 。https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
- ガートナー。Security Service Edge （SSE）、情報技術用語集。https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
- NSA. 「トランスポート層セキュリティ（TLS）検査に伴うリスクの管理」（2019年11月）。https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
GARTNER は、米国および国際的に Gartner, Inc. および／またはその関連会社が所有する登録商標およびサービスマークであり、本資料では許可を得て使用されています。すべての権利は留保されています。Gartner は、自社の調査報告書に記載されているいかなるベンダー、製品、またはサービスについても推奨するものではありません。