Skyhigh Hybrid SSE Mesh: สถาปัตยกรรมและการติดตั้ง

Skyhigh Hybrid SSE Mesh คือสถาปัตยกรรมไฮบริดSecurity Service Edge ของSkyhigh Securityซึ่งช่วยให้องค์กรสามารถดำเนินการบังคับใช้ SSE ได้ทั้งในระบบภายในองค์กร บนคลาวด์ หรือทั้งสองระบบพร้อมกัน โดยใช้เครื่องยนต์นโยบายและคอนโซลเดียวในการควบคุมทุกจุดบังคับใช้ ระบบนี้ได้รับการออกแบบมาสำหรับองค์กรที่มีข้อกำหนดด้านความสอดคล้องกับกฎระเบียบ ความเป็นอธิปไตย ความทนทาน หรือประสิทธิภาพ ซึ่งทำให้ไม่สามารถส่งข้อมูลทั้งหมดผ่านคลาวด์ของผู้จำหน่ายได้

บทความนี้เป็นส่วนหนึ่งของคู่มือความปลอดภัยของ Hybrid Cloud

SSE แบบไฮบริดคืออะไร?

Hybrid SSE คือการปรับใช้ระบบSecurity Service Edge ที่บังคับใช้นโยบายเดียวทั้งในระบบคลาวด์และในสถานที่จริง แทนที่จะส่งการจราจรทั้งหมดผ่านระบบคลาวด์ของผู้จำหน่าย

Security Service Edge (SSE) ช่วยรักษาความปลอดภัยในการเข้าถึงเว็บ บริการคลาวด์ และแอปพลิเคชันส่วนตัว Gartnerกำหนดว่า SSEเป็นระบบที่ให้บริการผ่านคลาวด์เป็นหลัก แต่ระบุด้วยว่าอาจรวมถึงส่วนประกอบที่ติดตั้งในสถานที่หรือส่วนประกอบที่ใช้เอเจนต์

Hybrid SSE ให้ความสำคัญกับส่วนที่สองนี้อย่างจริงจัง แทนที่จะมองการบังคับใช้มาตรการความปลอดภัยในสถานที่ (on-premises enforcement) เป็นเพียงสิ่งที่เหลือจากระบบเก่า Hybrid SSE วางการบังคับใช้มาตรการความปลอดภัยที่จุดเริ่มต้นของแต่ละกระแสการรับส่งข้อมูล: จุดเชื่อมต่อบนคลาวด์ (cloud points of presence) สำหรับผู้ใช้ระยะไกลที่เข้าถึง SaaS และเกตเวย์ในสถานที่หรือสาขา (on-premises or branch gateways) สำหรับการรับส่งข้อมูลที่เริ่มต้นและสิ้นสุดภายในเครือข่าย การวิจัยตลาด SSE ปี 2026 ของ Gartner สังเกตว่า ผู้จำหน่ายกำลังจัดหาอุปกรณ์เสมือนหรืออุปกรณ์ฮาร์ดแวร์มากขึ้น ซึ่งขยายพื้นที่ข้อมูล SSE ในสถานที่จริง ทำให้สามารถประมวลผลข้อมูลท้องถิ่นได้ และเพิ่มความทนทานต่อความหยุดทำงานของคลาวด์ที่ไม่คาดคิด ตามที่กล่าวถึงในประกาศของSkyhigh Securityเมื่อเดือนสิงหาคม 2026

ส่วนที่ยากที่สุดของ SSE แบบไฮบริดไม่ใช่การติดตั้งอุปกรณ์ แต่คือการรักษาให้การบังคับใช้นโยบายทั้งในสถานที่และบนคลาวด์อยู่ภายใต้นโยบายเดียวกัน เพื่อให้ผู้ใช้ ประเภทข้อมูล หรือแอปพลิเคชันได้รับการปฏิบัติอย่างเท่าเทียมกัน ไม่ว่าจุดบังคับใช้ใดจะจัดการกับการรับส่งข้อมูลนั้น

วิธีการทำงานของ Skyhigh Hybrid SSE Mesh

Skyhigh Hybrid SSE Mesh มีสามชั้น ได้แก่ ชั้นควบคุมแบบรวมศูนย์ (unified control plane), ชั้นข้อมูลแบบกระจาย (distributed data plane), และบริการที่ส่งผ่านระบบคลาวด์ ซึ่งทั้งหมดสามารถจัดการได้จากคอนโซลเดียวกัน

ชั้นควบคุมแบบรวม

คอนโซลและเครื่องยนต์นโยบายเดียวควบคุม SWG, CASB, DLP, RBI, ZTNA, Secure Browser Controls, DSPM และระบบควบคุม AI Skyhigh อธิบายถึงสถาปัตยกรรม "นโยบายในรูปแบบโค้ด" (policy-as-code) ที่ส่งนโยบายไปโดยอัตโนมัติไปยังอุปกรณ์ทางกายภาพ ระบบเสมือน และโหนดบนคลาวด์ โดยไม่ต้องปรับให้สอดคล้องกันแบบมือระหว่างสภาพแวดล้อมต่าง ๆ (Skyhigh Security). การอัปเดตแพลตฟอร์มของ Skyhigh ในเดือนมีนาคม 2026 ได้เพิ่มการจัดการนโยบายแบบรวมที่ไม่ขึ้นอยู่กับตำแหน่ง (location-agnostic), กรอบงานนโยบายที่สามารถเขียนโปรแกรมและขยายได้, รวมถึงการเฝ้าติดตามและรายงานแบบรวมศูนย์ทั่วทั้งแพลตฟอร์ม (Skyhigh Security).

ชั้นข้อมูลแบบกระจาย

การบังคับใช้กฎหมายจะดำเนินการตามทิศทางการไหลของจราจร:

• อุปกรณ์ SWG ที่ติดตั้งในสถานที่และสาขาจะตรวจสอบการจราจรบนเว็บในท้องถิ่น รวมถึงการถอดรหัส TLS ด้วย การเปิดตัวเวอร์ชันเดือนมีนาคม 2026 ของ Skyhigh ได้นำสถาปัตยกรรมอุปกรณ์แบบคอนเทนเนอร์มาใช้ ซึ่งออกแบบมาเพื่อรองรับการขยายขนาด พร้อมทั้งระบบการกำหนดเส้นทางจราจรแบบไดนามิก
• ZTNA แบบท้องถิ่นทำงานบนเกตเวย์ภายในองค์กรและเกตเวย์สาขาขององค์กรเอง แทนที่จะผ่านโหนดคลาวด์ที่ผู้จำหน่ายจัดการ ดังนั้น การบังคับใช้หลักการ Zero Trust จึงครอบคลุมระบบภายในและข้อมูลการสื่อสารที่ไม่เคยออกจากอาคารเลย
• Cloud SWGปกป้องผู้ใช้ที่ทำงานจากระยะไกลและผู้ใช้ที่เปลี่ยนเครือข่าย โดยไม่ต้องส่งข้อมูลของพวกเขาผ่านเครือข่ายกลับไปยังศูนย์ข้อมูล

ส่วนขยายที่ให้บริการผ่านระบบคลาวด์

จากคอนโซลเดียวกัน องค์กรสามารถเพิ่ม CASB บนคลาวด์ DSPM DLP และremote browser isolation ได้ ระบบทะเบียนคลาวด์ของ Skyhigh ประเมินบริการคลาวด์ตาม 56 คุณลักษณะใน 6 ด้านความเสี่ยงหลัก (ข้อมูล ความเป็นส่วนตัว การโฮสต์ ธุรกิจ กฎหมาย และความเสี่ยงทางไซเบอร์) ทำให้สามารถกำหนดนโยบายเพื่อแยกแยะบริการที่มีประเภท URL เดียวกัน แต่มีความแตกต่างในเรื่องสถานที่จัดเก็บข้อมูล การเข้ารหัส หรือเงื่อนไขทางกฎหมาย

ตัวเลือกการติดตั้งที่รองรับ

Skyhigh Hybrid SSE Mesh สามารถทำงานได้ทั้งในระบบภายในองค์กร ในรูปแบบไฮบริด หรือบนคลาวด์ และองค์กรสามารถเปลี่ยนรูปแบบการใช้งานได้ตามความต้องการในอนาคต

องค์กรสามารถเริ่มต้นด้วยแบบหนึ่งและเปลี่ยนไปใช้แบบอื่นได้ ระบบ SWG แบบไฮบริดของ Skyhigh รองรับการซิงค์นโยบายในระบบภายในองค์กรไปยังคลาวด์ โดยสามารถย้ายนโยบายไปทั้งหมด หรือรักษาให้แยกกันไว้ พร้อมทั้งแบ่งปันรายชื่อที่ซิงค์กัน (Skyhigh Security).

สำหรับสภาพแวดล้อมที่ไม่สามารถพึ่งพาการเชื่อมต่อจากภายนอกได้ การบังคับใช้เว็บเกตเวย์ท้องถิ่นและ Zero Trust Access จะยังคงดำเนินการต่อไปบน Secure Service Gateway บริการที่นำไปใช้ผ่านคลาวด์ Skyhigh รวมถึงการปกป้องข้อมูลremote browser isolation, การควบคุมความปลอดภัยด้วย AI, CASB และการจัดการสถานะความปลอดภัยของข้อมูล จะไม่สามารถใช้งานได้เมื่อไซต์ถูกตัดการเชื่อมต่อ ดังนั้นควรกำหนดขอบเขตของข้อกำหนดเหล่านี้ในขั้นตอนการออกแบบ สำหรับหน่วยงานรัฐบาลกลางของสหรัฐอเมริกาและองค์กรในฐานอุตสาหกรรมด้านการป้องกันประเทศ แพลตฟอร์มนี้ได้รับการรับรอง FedRAMP High

การตรวจสอบและการจัดการนโยบาย

การตรวจสอบดำเนินการตามเส้นทางที่ข้อมูลการสื่อสารไหลผ่าน โดยใช้การถอดรหัส TLS ในเครื่องสำหรับข้อมูลการสื่อสารภายในองค์กร และใช้ระบบนโยบายเดียวในการควบคุมภัยคุกคาม ข้อมูล และเบราว์เซอร์

การตรวจสอบ TLS ในระบบท้องถิ่นการถอดรหัสและตรวจสอบ SSL/TLS ดำเนินการบนโครงสร้างพื้นฐานขององค์กรเอง ข้อมูลที่ถอดรหัสแล้วไม่จำเป็นต้องผ่านระบบของฝ่ายที่สามหรือข้ามเขตอำนาจศาล ซึ่งช่วยทำให้การตรวจสอบด้านอธิปไตยและความเป็นส่วนตัวง่ายขึ้น นอกจากนี้ ยังสอดคล้องกับคำแนะนำของ NSA ที่ให้ดำเนินการตรวจสอบ TLS เพียงครั้งเดียวภายในเครือข่ายองค์กร (NSA)

การควบคุมการส่งข้อมูลออก ระบบIP สำหรับการส่งข้อมูลออกที่เฉพาะเจาะจงและการผูก IP แหล่งที่มา ช่วยให้องค์กรสามารถกำหนดเส้นทางให้ข้อมูลอินเทอร์เน็ตที่ผ่านการตรวจสอบบนคลาวด์ผ่านที่อยู่ IP สาธารณะที่ได้รับการจัดสรรให้กับองค์กรนั้น โดยสนับสนุนการจำกัด IP แหล่งที่มา การประเมินชื่อเสียงของ IP และข้อกำหนดทางกฎหมาย

การเปิดเผยข้อมูลของแอปพลิเคชันส่วนตัวให้บันทึกการเชื่อมต่อเข้าและออกที่จำเป็นสำหรับเกตเวย์ คอนเน็กเตอร์ และอินเทอร์เฟซการจัดการ และยืนยันโครงสร้างเครือข่ายที่เลือกไว้กับ Skyhigh

การตรวจจับภัยคุกคาม ระบบป้องกันมัลแวร์ที่เกตเวย์จะจัดการกับภัยคุกคามตั้งแต่ขั้นตอนแรกบน Secure Service Gateway โดยใช้เทคโนโลยีแซนด์บ็อกซ์แบบจำลอง (emulation-based sandboxing) การวิเคราะห์พฤติกรรมของผู้ใช้และเอนทิตี (UEBA) และระบบวิเคราะห์พฤติกรรมผู้ใช้แบบต่อเนื่อง (remote browser isolation ) ผ่านระบบคลาวด์ Skyhigh สำหรับข้อมูลการรับส่งที่เกตเวย์ส่งต่อ

การปกป้องข้อมูลแบบรวมศูนย์เครื่องยนต์นโยบาย DLP เดียวถูกนำไปใช้กับเว็บ SaaS เครื่องมือ AI แอปพลิเคชันส่วนตัว และจุดปลายทาง ดังนั้นการจำแนกประเภทเดียวกันจึงควบคุมการอัปโหลดผ่านเว็บ การแชร์ผ่าน SaaS และคำสั่งสำหรับ AI แบบสร้างเนื้อหา นโยบาย DLP ถูกกำหนดขึ้นเพียงครั้งเดียวและนำไปใช้ในระบบคลาวด์ของ Skyhigh รวมถึงการรับส่งข้อมูลที่ถูกส่งต่อจากจุดบังคับใช้ภายในองค์กร

การควบคุมเบราว์เซอร์ที่ปลอดภัยระบบความปลอดภัยเบราว์เซอร์แบบไม่ใช้เอเจนต์ที่ขอบเครือข่ายท้องถิ่น ใช้การควบคุมแบบอินไลน์ต่อการอัปโหลด ดาวน์โหลด การคัดลอกและวาง กิจกรรมเซสชัน และการโต้ตอบกับ AI บนเบราว์เซอร์มาตรฐานใด ๆ โดยไม่ต้องติดตั้งเบราว์เซอร์ระดับองค์กรหรือส่วนขยาย การตรวจสอบที่รองรับ WebSocket ขยายไปถึงการรับส่งข้อมูลของเอเจนต์ AI และระบบส่งข้อความ

กรณีการใช้งาน

Hybrid SSE Mesh เหมาะสำหรับองค์กรที่ต้องการควบคุมข้อมูลที่อยู่ในความควบคุมของหน่วยงานกำกับดูแล เทคโนโลยีการดำเนินงาน ตัวแทน AI หรือการเปลี่ยนเกตเวย์ระบบเดิม

บริการทางการเงินที่อยู่ภายใต้การกำกับดูแลองค์กรที่อยู่ภายใต้ข้อกำหนดของ DORA, FCA หรือ MAS สามารถเก็บข้อมูลส่วนบุคคลที่ถอดรหัสแล้วไว้ภายในโครงสร้างพื้นฐานของตนเองได้ พร้อมทั้งยังคงใช้ CASB และ DLP บนคลาวด์ ดูหัวข้อ“อธิปไตยข้อมูล” ในส่วนความปลอดภัยของระบบคลาวด์แบบไฮบริด

รัฐบาลและด้านการป้องกันประเทศการรับรองระดับ FedRAMP High ออกแบบมาเพื่อรองรับสภาพแวดล้อมที่มีข้อกำหนดการรับรองที่เข้มงวด ส่วนการบังคับใช้ระดับท้องถิ่นบน Secure Service Gateway ช่วยแก้ไขปัญหาสำหรับเว็บไซต์ที่มีความสามารถในการเชื่อมต่อที่จำกัด

การดูแลสุขภาพข้อมูลผู้ป่วยสามารถเก็บไว้ภายในขอบเขตทางกายภาพได้ ในขณะที่บุคลากรทางการแพทย์ใช้แอปพลิเคชันบนคลาวด์ตามนโยบายเดียวกัน

ภาคการผลิตและโครงสร้างพื้นฐานสำคัญการบังคับใช้กฎบนเว็บท้องถิ่นและแอปพลิเคชันส่วนตัวสามารถเสริมการแบ่งส่วนที่ลูกค้าจัดการเองระหว่างเครือข่าย IT ของบริษัทกับเครือข่าย OT/SCADA ตรวจสอบว่ามาตรการควบคุมใดที่ Skyhigh จัดหาให้ และมาตรการใดที่จำเป็นต้องใช้ส่วนประกอบจากฝ่ายที่สาม

เอเยนต์ AI ภายในเครือข่ายเอเยนต์อัตโนมัติสามารถรับสิทธิ์การเข้าถึงระดับผู้ใช้ เชื่อมต่อ API แบบต่อเนื่อง และส่งข้อมูลผ่านเชื่อมต่อ WebSocket ที่คงอยู่ ซึ่งเริ่มต้นจากภายในเครือข่าย การตรวจสอบ ZTNA ในระดับท้องถิ่นและการตรวจสอบที่รองรับ WebSocket ช่วยให้การบังคับใช้มาตรการเกิดขึ้นที่จุดที่การรับส่งข้อมูลนั้นเกิดขึ้นจริง

Secure web gateway การปรับปรุงให้ทันสมัยองค์กรที่กำลังเปลี่ยนจาก Symantec Edge SWG (เดิมคือBlue Coat ProxySG) สามารถติดตั้งอุปกรณ์ Skyhigh ควบคู่กับเกตเวย์ที่มีอยู่ ตรวจสอบความถูกต้องของนโยบาย และเลิกใช้อุปกรณ์ฮาร์ดแวร์รุ่นเก่าตามกำหนดเวลาของตนเอง ดูที่Blue Coat Alternatives and ProxySG Replacement.

เส้นทางการปรับใช้

Skyhigh ดำเนินการปรับใช้ Hybrid SSE Mesh ในสี่ขั้นตอน ซึ่งทำงานควบคู่กับโครงสร้างพื้นฐานที่มีอยู่ เพื่อให้มั่นใจว่านโยบายได้รับการตรวจสอบความถูกต้องก่อนการเปลี่ยนระบบ:

1. ประเมินและวางแผนตรวจสอบนโยบายที่มีอยู่ กำหนดเขตความอธิปไตยของข้อมูลและสภาพแวดล้อม OT/SCADA รวมถึงกำหนดค่าพื้นฐานของประสิทธิภาพการตรวจสอบ TLS
2. ติดตั้งแบบขนานตั้งอุปกรณ์ Skyhigh SWG ข้างๆ เกตเวย์ที่มีอยู่ นำเข้าและตรวจสอบความถูกต้องของนโยบายพื้นฐาน และดำเนินการรับส่งข้อมูลแบบขนานโดยไม่ทำให้ระบบการผลิตหยุดชะงัก
3. นำความสามารถแบบรวมมาใช้เปิดใช้งาน ZTNA และ Secure Browser Controls ในระดับท้องถิ่น ขยายการใช้งานด้วย CASB, DSPM และ DLP บนคลาวด์ และเลิกใช้อุปกรณ์รุ่นเก่าเมื่อพร้อม
4. ปรับให้เหมาะสมและเพิ่มประสิทธิภาพปรับการบริโภค ยกเลิกสิทธิที่ไม่ได้ใช้ และปรับปรุงนโยบายอย่างต่อเนื่องในรูปแบบโค้ด

ตามข้อมูลจาก Skyhigh องค์กรส่วนใหญ่ดำเนินการในขั้นตอนที่สองและสามพร้อมกันเป็นระยะเวลา 6 ถึง 12 เดือน ความสามารถต่าง ๆ ได้รับการอนุญาตตามสิทธิ์การใช้งาน ดังนั้นฟังก์ชันใหม่ ๆ เช่น ZTNA ในระดับท้องถิ่น หรือ Secure Browser Controls จึงสามารถเปิดใช้งานได้เมื่อจำเป็น

ทำไมองค์กรต่าง ๆ จึงเลือก Skyhigh Hybrid SSE Mesh

องค์กรต่าง ๆ เลือกใช้ Skyhigh Hybrid SSE Mesh เพราะระบบการบังคับใช้ทั้งในสถานที่และบนคลาวด์ทำงานเป็นระบบเดียว ซึ่งได้รับการยอมรับจากนักวิเคราะห์อิสระ

Skyhigh Security ได้รับการจัดอันดับที่หนึ่งในหมวดหมู่ “Advanced SSE Use Case” ในรายงาน Gartner® “Critical Capabilities ” ปี 2026 สำหรับตลาด “Security Service Edge ” มีองค์กรมากกว่า 3,000 แห่งที่ใช้ Skyhigh รวมถึง 80 เปอร์เซ็นต์ของธนาคารชั้นนำระดับโลก และ 25 เปอร์เซ็นต์ของ Fortune 500

จุดแตกต่างที่สำคัญในทางปฏิบัติอยู่ที่ด้านสถาปัตยกรรม: การบังคับใช้นโยบายทั้งในระบบภายในองค์กรและบนคลาวด์ไม่ใช่ผลิตภัณฑ์ที่แยกกันพร้อมนโยบายที่ต่างกัน แต่เป็นระบบเดียว

ขั้นตอนต่อไป: ขอรับการประเมินสถาปัตยกรรมแบบไฮบริดหรือดูที่Secure Web Gateway เพื่อเรียนรู้เพิ่มเติมเกี่ยวกับสถาปัตยกรรมแบบไฮบริด

แหล่งข้อมูล

1. Skyhigh Security. “การปรับปรุง Symantec EdgeSecure Web Gateway ให้ทันสมัยด้วย Skyhigh Hybrid SSE Mesh” (15 กรกฎาคม 2026).https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
2. Skyhigh Security. “Skyhigh Security ประกาศโซลูชันใหม่เพื่อเสริมความแข็งแกร่งให้กับแพลตฟอร์ม SSE แบบยูนิเวอร์ซัลที่สร้างการเปลี่ยนแปลงอย่างพลิกโฉม” (24 มีนาคม 2026).https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
3. Skyhigh Security. “Skyhigh Security ได้รับการจัดอันดับที่ 1 ในด้านกรณีการใช้งาน SSE ขั้นสูง ในปี 2026 ตามรายงาน GartnerCritical Capabilities สำหรับSecurity Service Edge” (5 สิงหาคม 2026).https://www.globenewswire.com/news-release/2026/08/05/3339504/0/en/skyhigh-security-ranked-1-in-advanced-sse-use-case-in-2026-gartner-critical-capabilities-for-security-service-edge.html
4. Skyhigh Security. “การนำระบบไฮบริดมาใช้กลายเป็นเรื่องที่ง่ายขึ้นด้วยแพลตฟอร์ม Skyhigh SSE” (3 ตุลาคม 2024).https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
5. Skyhigh Security. ปรับปรุง Symantec Edge SWG (Blue Coat).https://www.skyhighsecurity.com/bluecoat-modernize.html
6. Skyhigh Security.Secure Web Gateway สำหรับ Hybrid.https://www.skyhighsecurity.com/products/secure-web-gateway-for-hybrid.html
7. Gartner.Security Service Edge (SSE), คำศัพท์ด้านเทคโนโลยีสารสนเทศ.https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
8. NSA.การจัดการความเสี่ยงจากการตรวจสอบความปลอดภัยชั้นการส่งข้อมูล(พฤศจิกายน 2019).https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF

GARTNER เป็นเครื่องหมายการค้าและเครื่องหมายบริการที่จดทะเบียนของ Gartner, Inc. และ/หรือบริษัทในเครือในสหรัฐอเมริกาและระดับนานาชาติ และถูกใช้ในเอกสารนี้ตามความอนุญาต สงวนสิทธิ์ทั้งหมด Gartner ไม่รับรองผู้จำหน่าย ผลิตภัณฑ์ หรือบริการใดที่ปรากฏในเอกสารวิจัยของบริษัท