โซลูชันความปลอดภัยสำหรับระบบคลาวด์แบบไฮบริด: วิธีเปรียบเทียบผู้ให้บริการ

โซลูชันความปลอดภัยสำหรับคลาวด์แบบไฮบริดช่วยปกป้องผู้ใช้ แอปพลิเคชัน และข้อมูล ทั้งในโครงสร้างพื้นฐานภายในองค์กรและบริการคลาวด์ การเปรียบเทียบผู้ให้บริการนั้นเป็นเรื่องที่ยาก เพราะผู้ให้บริการมักใช้คำศัพท์เดียวกันสำหรับผลิตภัณฑ์ที่แตกต่างกันอย่างมาก คู่มือนี้อธิบายประเภทของโซลูชัน ข้อกำหนดที่สำคัญที่สุด และวิธีการให้คะแนนเพื่อประเมินผู้ให้บริการโซลูชันความปลอดภัยสำหรับคลาวด์แบบไฮบริดอย่างเปรียบเทียบกัน

บทความนี้เป็นส่วนหนึ่งของคู่มือความปลอดภัยของ Hybrid Cloud

ประเภทของโซลูชันความปลอดภัยสำหรับระบบคลาวด์แบบไฮบริด

โซลูชันความปลอดภัยสำหรับระบบคลาวด์แบบไฮบริดแบ่งออกเป็นหกประเภทหลัก และระบบไฮบริดส่วนใหญ่จำเป็นต้องใช้หลายประเภทในจำนวนนั้น

การรู้ว่าผู้ขายนั้นขายสินค้าในหมวดหมู่ใดจริงๆ จะช่วยป้องกันการเปรียบเทียบที่ไม่ตรงกัน

คู่มือนี้เน้นไปที่หมวดหมู่ที่ 1 และ 4: โซลูชันที่ช่วยรักษาความปลอดภัยในการเคลื่อนย้ายของผู้ใช้และข้อมูลระหว่างสภาพแวดล้อมคลาวด์และสภาพแวดล้อมในสถานที่ ซึ่งนี่คือจุดที่การตัดสินใจเกี่ยวกับสถาปัตยกรรมแบบไฮบริดมีผลกระทบมากที่สุดต่อความเสี่ยงในชีวิตประจำวัน สำหรับสถาปัตยกรรมในภาพรวม โปรดดูที่Hybrid Cloud Security: Architecture and Best Practices

ห้าข้อที่ต้องพิจารณาในการเปรียบเทียบ

เปรียบเทียบผู้ให้บริการด้านความปลอดภัยของระบบคลาวด์แบบไฮบริดตาม 5 ข้อกำหนด ได้แก่ ความยืดหยุ่นในการติดตั้ง, การปกป้องข้อมูล, การควบคุมนโยบาย, การบูรณาการ และการย้ายระบบ

1. ความยืดหยุ่นในการปรับใช้

Hybrid ไม่ใช่เพียงตัวเลือกในช่องทำเครื่องหมายเท่านั้น ถามให้ชัดเจนว่ากระบวนการบังคับใช้สามารถทำงานได้ที่ใด และปัจจัยใดขึ้นอยู่กับระบบคลาวด์ของผู้ให้บริการ

• คุณสมบัติใดที่มีอยู่ในแต่ละโหมด และคุณสมบัติใดที่ส่งมาจากคลาวด์ของผู้จำหน่าย ไม่ว่าข้อมูลจะได้รับการตรวจสอบที่ใด?
• ส่วนประกอบในสถานที่นั้นเป็นอุปกรณ์ทางกายภาพ เครื่องเสมือน คอนเทนเนอร์ หรือทั้งสามอย่าง?
• ฟังก์ชันใดที่ยังจำเป็นต้องมีการเชื่อมต่อกับระบบคลาวด์ของผู้จำหน่ายเมื่อทำงานในระบบภายในองค์กร (การออกใบอนุญาต, การอัปเดต, ข้อมูลเกี่ยวกับภัยคุกคาม, การจัดการ)?
• ระบบนี้สนับสนุนการทำงานแบบ air-gapped หรือแบบไม่เชื่อมต่อหรือไม่?
• ผู้ใช้จากระยะไกลสามารถเข้าถึงแอปพลิเคชันส่วนตัวได้โดยไม่ต้องผ่านศูนย์ข้อมูลหรือไม่ และผู้ใช้ในสถานที่สามารถเข้าถึงแอปพลิเคชันเหล่านั้นได้โดยไม่ต้องผ่านระบบคลาวด์หรือไม่?

คำอธิบายในคำศัพท์ของ Gartner สำหรับ security service edge ระบุว่า SSE ส่วนใหญ่ถูกส่งผ่านระบบคลาวด์ แต่อาจรวมถึงส่วนประกอบที่ติดตั้งในสถานที่หรือส่วนประกอบที่ใช้เอเจนต์ด้วย ระดับการสนับสนุนส่วนประกอบเหล่านั้นของผู้จำหน่ายมีความแตกต่างกันอย่างมาก

2. การคุ้มครองข้อมูล

การคุ้มครองข้อมูลคือจุดที่โซลูชันแบบไฮบริดมีความแตกต่างมากที่สุด

• เครื่องยนต์นโยบาย DLP ตัวเดียวสามารถครอบคลุมเว็บ, SaaS (ทั้งแบบ inline และ API), แอปพลิเคชันส่วนตัว, จุดปลายทาง, อีเมล และเครื่องมือ AI แบบสร้างเนื้อหาได้หรือไม่?
• การจัดประเภทนี้ใช้ร่วมกันในทุกช่องทาง หรือต้องกำหนดแยกกันตามแต่ละผลิตภัณฑ์?
• DSPM ได้รับการบูรณาการแล้วหรือไม่ เพื่อให้การค้นพบข้อมูลที่อยู่ในสถานะพัก (data at rest) สามารถแจ้งให้ระบบนโยบายแบบอินไลน์ (inline policy) ทราบได้?
• ข้อมูลการจราจรถูกถอดรหัสที่ใด และสำเนาเหตุการณ์ DLP ถูกเก็บไว้ที่ใด?

3. การควบคุมนโยบาย

• มีระบบจัดการนโยบายเดียวสำหรับการบังคับใช้ทั้งในระบบภายในองค์กรและบนคลาวด์ หรือมีคอนโซลเดียวที่ควบคุมระบบจัดการนโยบายต่าง ๆ แยกกัน?
• นโยบายสามารถจัดการได้เหมือนโค้ด มีการกำหนดเวอร์ชัน และสามารถย้อนกลับได้หรือไม่?
• การเปลี่ยนแปลงนโยบายถูกส่งต่อไปยังทุกจุดบังคับใช้อย่างไร และตรวจจับการเบี่ยงเบนได้อย่างไร?
• นโยบายสามารถใช้ข้อมูลเกี่ยวกับตัวตน สถานะของอุปกรณ์ การจัดประเภทข้อมูล และสัญญาณความเสี่ยงร่วมกันได้หรือไม่?

เครื่องยนต์ที่ทำงานแยกกันภายใต้คอนโซลเดียว ยังคงก่อให้เกิดการดริฟต์ได้ ขอให้ผู้จำหน่ายปรับเปลี่ยนกฎหนึ่งข้อระหว่างการสาธิต และแสดงให้เห็นว่ากฎดังกล่าวถูกนำไปใช้ที่เกตเวย์ในสถานที่และจุดให้บริการบนคลาวด์

4. การบูรณาการ

• ผู้ให้บริการระบุตัวตน ตัวแทนปลายทาง แพลตฟอร์ม SIEM และ SOAR รวมถึงระบบจัดการตั๋วใดที่ได้รับการสนับสนุนแบบในตัว?
• สามารถส่งข้อมูลบันทึกไปยัง SIEM ของคุณได้แบบเกือบเรียลไทม์หรือไม่ และสามารถจำกัดจุดหมายปลายทางของข้อมูลบันทึกตามภูมิภาคได้หรือไม่?
• โซลูชันนี้สามารถทำงานร่วมกับโมดูลความปลอดภัยทางฮาร์ดแวร์ที่มีอยู่และระบบแซนด์บ็อกซ์ได้หรือไม่?
• API เหล่านี้มีการบันทึกข้อมูลและครบถ้วนพอสำหรับการทำงานอัตโนมัติหรือไม่?

5. การย้ายถิ่น

ผู้ซื้อส่วนใหญ่กำลังเปลี่ยนระบบเดิมมาใช้ระบบใหม่ ซึ่งมักเป็นระบบพร็อกซีรุ่นเก่า

• มีวิธีการที่กำหนดไว้อย่างชัดเจนสำหรับการนำนโยบายที่มีอยู่มาใช้ต่อหรือไม่? ส่วนใดถูกดำเนินการอัตโนมัติ และส่วนใดต้องตรวจสอบด้วยมือ?
• ระบบใหม่สามารถทำงานพร้อมกันกับระบบเดิมได้หรือไม่ในช่วงการตรวจสอบความถูกต้อง?
• บริการมืออาชีพใดบ้างที่รวมอยู่ในแผนนี้ และใครเป็นเจ้าของแผนการเปลี่ยนระบบ?
• มีโปรแกรมเชิงพาณิชย์ใดที่ช่วยชดเชยมูลค่าสัญญาที่เหลืออยู่ของผลิตภัณฑ์ที่กำลังถูกเปลี่ยนแทนหรือไม่?

ดู "Secure Web Gateway Migration: Cutover and Rollback Checklist"

รายการตรวจสอบข้อกำหนดด้านความปลอดภัยของระบบคลาวด์แบบไฮบริด

ก่อนที่จะให้คะแนนผู้จำหน่ายใด ๆ ให้พิจารณาข้อกำหนดด้านความปลอดภัยของระบบคลาวด์แบบไฮบริดเหล่านี้เป็นเกณฑ์ตัดสินผ่านหรือไม่ผ่าน:

• สามารถดำเนินการบังคับใช้ทั้งในระบบภายในองค์กรและบนคลาวด์ ภายใต้ระบบนโยบายเดียว
• ตัวเลือกการตรวจสอบ TLS ในระดับท้องถิ่น สำหรับการรับส่งข้อมูลที่อยู่ภายใต้การกำกับดูแล
• private access (ZTNA) ตามแต่ละแอปพลิเคชัน สำหรับผู้ใช้จากระยะไกลและผู้ใช้ในสถานที่
• ระบบ DLP แบบรวมตัวที่ครอบคลุมเว็บ, SaaS, แอปพลิเคชันส่วนตัว, อุปกรณ์ปลายทาง และเครื่องมือ AI
• พฤติกรรมที่บันทึกไว้เมื่อไม่สามารถเข้าถึงระบบคลาวด์ของผู้จำหน่ายได้
• การควบคุมการเก็บรักษาข้อมูลและบันทึก
• ใบรับรองและใบอนุญาตที่เกี่ยวข้อง (เช่น FedRAMP, SOC 2 Type II, ISO 27001, มาตรฐานระดับภูมิภาค)
• การสนับสนุนการย้ายข้อมูลแบบทำงานพร้อมกัน

บัตรคะแนนการประเมิน

ให้กำหนดน้ำหนักของแต่ละข้อกำหนดตามสภาพแวดล้อมของคุณ แล้วให้คะแนนผู้ขายตั้งแต่ 1 ถึง 5

องค์กรที่อยู่ภายใต้การกำกับดูแลมักให้ความสำคัญกับการคุ้มครองข้อมูลและความยืดหยุ่นในการใช้งานมากกว่า ส่วนองค์กรที่ให้ความสำคัญกับระบบคลาวด์เป็นอันดับแรก และไม่มีข้อกำหนดในการตรวจสอบข้อมูลในสถานที่ อาจให้ความสำคัญกับการบูรณาการและประสบการณ์ของผู้ใช้มากกว่า

คำถามที่ควรถามผู้ให้บริการด้านความปลอดภัยของระบบคลาวด์แบบไฮบริด

คำถามที่ถูกต้องจะบังคับให้ผู้ขายต้องแสดงให้เห็นถึงความสอดคล้องของนโยบาย การจัดการข้อมูล และพฤติกรรมเมื่อเกิดข้อผิดพลาด แทนที่จะเพียงอธิบายเท่านั้น

1. แสดงให้เราเห็นการเปลี่ยนแปลงนโยบายหนึ่งข้อที่นำไปใช้กับทั้งเกตเวย์ในสถานที่และจุดให้บริการบนคลาวด์
2. ข้อมูลการสื่อสารของเราถูกถอดรหัสที่ใดกันแน่ และใครสามารถเข้าถึงเนื้อหาที่ถอดรหัสแล้วได้?
3. ข้อมูลบันทึก ระบบหลักฐานเหตุการณ์ และข้อมูลโทรเมตรีของเราจะถูกเก็บไว้ในประเทศใดบ้าง และเราสามารถจำกัดการเก็บข้อมูลเหล่านั้นได้หรือไม่?
4. หากบริการคลาวด์ของคุณไม่สามารถเข้าถึงได้เป็นเวลาสี่ชั่วโมง การตรวจสอบและprivate access จะเกิดขึ้นอย่างไร?
5. ส่วนประกอบที่ติดตั้งในสถานที่ได้รับการอัปเดตอย่างไร และสามารถดำเนินการอัปเดตแบบเป็นขั้นตอนได้หรือไม่?
6. คุณจัดการกับ WebSocket และการเชื่อมต่อที่มีระยะเวลาทำงานยาวนานอื่น ๆ ที่เครื่องมือและเอเจนต์ AI ใช้อย่างไร?
7. การประเมินและรับรองจากนักวิเคราะห์อิสระใดที่ครอบคลุมส่วนประกอบเฉพาะที่เรากำลังซื้อ?
8. กระบวนการย้ายจากผลิตภัณฑ์ปัจจุบันของเราโดยทั่วไปจะใช้เวลาเท่าไร (ในหน่วยสัปดาห์) และสิ่งที่ลูกค้ามักประเมินต่ำเกินไปคืออะไร?

การดำเนินการทดสอบแนวคิด

การทดสอบแนวคิด (proof of concept) ที่มีประโยชน์จะตรวจสอบสมมติฐานที่มีความเสี่ยงสูงที่สุดของคุณ ไม่ใช่คุณสมบัติที่ดีที่สุดของผู้จำหน่าย

• ปริมาณการเข้าชม:ใช้ปริมาณการเข้าชมจริงจากกลุ่มทดลอง รวมถึงเว็บไซต์ที่มีปริมาณการเข้าชมสูง
• การตรวจสอบ TLS:วัดความล่าช้าและปริมาณข้อมูลที่ผ่านระบบ โดยเปิดการตรวจสอบไว้ที่ระดับปริมาณการใช้งานจริงที่คาดการณ์
• การคุ้มครองข้อมูล:สร้างเอกสารทดสอบด้วยรูปแบบข้อมูลที่ละเอียดอ่อนของคุณเอง และตรวจสอบให้แน่ใจว่าการตรวจจับมีความสม่ำเสมอในการอัปโหลดผ่านเว็บ SaaS และเครื่องมือ AI
• ความล้มเหลว:จำลองการสูญเสียการเชื่อมต่อกับระบบคลาวด์ของผู้จำหน่าย และสังเกตว่าส่วนใดยังคงทำงานได้
• การดำเนินงาน:ให้ผู้ดูแลระบบของคุณ (ไม่ใช่วิศวกรของผู้จำหน่าย) เป็นผู้ดำเนินการปรับเปลี่ยนนโยบายและแก้ไขปัญหาเมื่อเว็บไซต์ถูกบล็อก

สัญญาณเตือน

สัญญาณเตือนเหล่านี้มักบ่งชี้ว่าบริการสนับสนุนระบบไฮบริดของผู้จำหน่ายนั้นไม่ครบถ้วนเท่าที่การตลาดได้นำเสนอ

• คำว่า “Hybrid” หมายถึงเพียงว่าระบบคลาวด์ของผู้จำหน่ายสามารถเชื่อมต่อกับศูนย์ข้อมูลของคุณได้เท่านั้น
• ผลิตภัณฑ์แบบติดตั้งในสถานที่และแบบคลาวด์มีโครงสร้างนโยบายหรือพจนานุกรม DLP ที่ต่างกัน
• ผู้ขายไม่สามารถระบุได้ว่าข้อมูลที่ถอดรหัสแล้วถูกประมวลผลที่ใด
• Private access สำหรับผู้ใช้ในสถานที่นั้น ต้องผ่านระบบคลาวด์ไป-กลับ
• การย้ายข้อมูลถูกอธิบายว่าเป็นการนำเข้าไฟล์โดยไม่มีขั้นตอนการตรวจสอบความถูกต้อง

Skyhigh Security เหมาะสำหรับกรณีใด

Skyhigh Security เหมาะสำหรับองค์กรที่ต้องการระบบการบังคับใช้นโยบายทั้งในสถานที่และบนคลาวด์ ซึ่งอยู่ภายใต้การควบคุมของระบบนโยบายเดียว

Skyhigh Hybrid SSE Meshรวมอุปกรณ์ SWG ที่ติดตั้งในสถานที่ ZTNA ท้องถิ่น และ Secure Browser Controls เข้ากับ CASB, DSPM, DLP และ RBI บนคลาวด์ ภายใต้คอนโซลเดียวและเครื่องยนต์นโยบายเดียว การตรวจสอบ TLS ท้องถิ่นทำงานบนโครงสร้างพื้นฐานขององค์กรเอง ในขณะที่การรับส่งข้อมูลที่เกี่ยวข้องจะถูกส่งต่อไปยังบริการที่ดำเนินการบนคลาวด์ นโยบายถูกส่งไปยังจุดบังคับใช้ทั้งแบบกายภาพ เสมือน และบนคลาวด์ ในรูปแบบโค้ด

Skyhigh Security ได้รับการจัดอันดับที่หนึ่งในหมวดหมู่ “Advanced SSE Use Case” ในรายงาน “Critical Capabilities forSecurity Service Edge ” ปี 2026 ของ Gartner® (ประกาศ). แพลตฟอร์มนี้ได้รับการรับรอง FedRAMP High และการรับรองเพิ่มเติม ได้แก่ IRAP, BSI C5, SOC 2 Type II และ CSA STAR Level 2 ตามข้อมูลจาก Skyhigh Security.

แหล่งข้อมูล

1. Gartner.Security Service Edge (SSE), คำศัพท์ด้านเทคโนโลยีสารสนเทศ.https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
2. NSA และ CISA.10 กลยุทธ์หลักในการลดความเสี่ยงด้านความปลอดภัยของระบบคลาวด์(7 มีนาคม 2024).https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
3. NISTSP 800-215: คู่มือการจัดตั้งโครงสร้างเครือข่ายองค์กรที่ปลอดภัย(พฤศจิกายน 2022).https://csrc.nist.gov/pubs/sp/800/215/final
4. Skyhigh Security. “Skyhigh Security ได้รับการจัดอันดับที่ 1 ในด้านกรณีการใช้งาน SSE ขั้นสูง ในปี 2026 ตามรายงาน GartnerCritical Capabilities สำหรับSecurity Service Edge” (5 สิงหาคม 2026).https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
5. Skyhigh Security. ปรับปรุง Symantec Edge SWG (Blue Coat).https://www.skyhighsecurity.com/bluecoat-modernize.html

GARTNER เป็นเครื่องหมายการค้าและเครื่องหมายบริการที่จดทะเบียนของ Gartner, Inc. และ/หรือบริษัทในเครือในสหรัฐอเมริกาและระดับนานาชาติ และถูกใช้ในเอกสารนี้ตามความอนุญาต สงวนสิทธิ์ทั้งหมด Gartner ไม่รับรองผู้จำหน่าย ผลิตภัณฑ์ หรือบริการใดที่ปรากฏในเอกสารวิจัยของบริษัท