Малките компании обикновено не започват с архитектура за достъп. Те започват с практически проблем: някой трябва да работи от вкъщи, да пътува с лаптоп, да се свърже с хотел Wi-Fi или да достигне до споделен ресурс, без да излага твърде много.
Това е мястото, където VPN често влиза в разговора. Той е познат, разбираем и полезен за много тесни нужди от дистанционна работа и поверителност. SASE, съкращение от Secure Access Service Edge, идва от друго място. Това е по-широк модел, който съчетава мрежови функции и функции за сигурност, обикновено за организации, които се нуждаят от контроли за самоличност, централизирана политика, проверка и по-зрял начин за управление на разпределени потребители и приложения.
Така че истинският vpn срещу sase въпрос не е „кой е по-добър?“ Това е: какъв вид проблем с достъпа всъщност има вашата компания?
Кратката версия: VPN решава свързаността, SASE решава архитектурата на достъпа
VPN създава криптирана пътека за връзка между устройството на потребителя и VPN сървър или мрежа. За малък екип това може да е достатъчно, когато основната цел е директна свързаност или по-личен маршрут в ненадеждни мрежи.
SASE е по-голям. Той въвежда мрежови контроли и контроли за сигурност в облачна архитектура. В зависимост от средата дискусиите на SASE могат да включват концепции като достъп с съзнание за идентичност, защитени уеб шлюзове, контроли за достъп в облак, защитна стена като услуга, софтуерно дефинирана работа в мрежа и принципи на zero-trust.
За малка компания разграничението има значение, защото това са различни оперативни модели:
- VPN обикновено е по-лесен за разбиране и внедряване за прости случаи на употреба.
- SASE обикновено пасва на компании, които се нуждаят от по-подробен контрол върху това кой има достъп до кои приложения, от кои устройства, при какви условия.
- VPN може да бъде практичен слой за отделни лица и малки екипи.
- SASE е по-близо до дългосрочна програма за достъп и сигурност, отколкото един инструмент.
Ако вашата компания се нуждае само от проста криптирана връзка за пътуване, дистанционна работа или основна поверителност, VPN може да бъде изборът с правилния размер. Ако екипът ви се разраства, приложенията ви са разпръснати в SaaS и частни системи и широкият достъп до мрежата става неудобен, може би е време да помислите отвъд VPN.
Когато обикновен VPN може да е достатъчен
Един прост VPN може да има смисъл, когато моделът на достъп е тесен и рискът е лесен за разбиране.
Например, основател, консултант, ръководител на агенция или малък отдалечен екип може да се нуждае от по-безопасна връзка с обществена Wi-Fi мрежа, последователен криптиран маршрут по време на пътуване или основен начин за свързване през VPN сървър. В този контекст целта не е да се изгради корпоративна архитектура за сигурност. Целта е да се намали експозицията в обичайни ситуации и да се поддържа управляем отдалечен достъп.
VPN е по-вероятно да бъде достатъчен, когато:
- само малък брой хора се нуждаят от отдалечен достъп;
- потребителите имат доверие и ролите са прости;
- компанията не поддържа много чувствителни вътрешни приложения;
- основната необходимост е криптирана свързаност, а не прилагане на политики за приложение по приложение;
- няма специален екип за сигурност, който да управлява сложна архитектура;
- изискванията за съответствие са ограничени или се обработват другаде;
- бизнесът може да толерира по-опростен административен модел.
Това е мястото, където продукт като VPN Unlimited by KeepSolid може да бъде уместен като проста VPN опция за потребители и малки екипи, които се нуждаят от криптирана VPN връзка за ежедневна свързаност и сценарии за поверителност.
Това не прави VPN пълен отговор на всеки проблем със сигурността. VPN не създава автоматично управление на самоличността, проверки на положението на устройството, работни потоци за одит, сегментиране на ниво приложение или прилагане на правила на zero-trust. Ако това са проблемите, които трябва да решите, разговорът е преминал към по-широк модел на достъп.
Когато проблемът с достъпа е надраснал VPN
Натискът за съзряване обикновено се появява постепенно. Първо, един или двама души се нуждаят от отдалечен достъп. Тогава изпълнителите се нуждаят от достъп. След това екипът добавя SaaS инструменти, частни приложения, споделени административни панели, финансови системи, клиентски данни и лични устройства. В един момент предоставянето на широк мрежов достъп на всеки, който се свързва чрез VPN, започва да се чувства твърде грубо.
Тогава сигурността на отдалечения достъп става по-малко за тунела и повече за контрола.
Признаците, че вашата компания може да се нуждае от по-широка архитектура, включват:
- различните роли се нуждаят от достъп до различни приложения или данни;
- изпълнителите трябва да достигнат само до една система, а не до цялата мрежа;
- чувствителните ресурси се нуждаят от по-строго одобрение, наблюдение или сегментиране;
- служителите използват комбинация от управлявани и неуправляеми устройства;
- SaaS приложенията и частните приложения са част от ежедневната работа;
- Административните акаунти се нуждаят от по-строго отношение от обикновените потребителски акаунти;
- компанията започва да се изправя пред прегледи на сигурността на клиентите или въпроси относно съответствието;
- Достъпът за отстраняване на неизправности става труден, защото политиките съществуват на твърде много места.
В тази среда въпросът вече не е „Имаме ли VPN?“ Става „Можем ли да вземаме решения за достъп въз основа на потребител, роля, ресурс, устройство и риск?“
Това е територията, където SASE архитектурата и zero-trust идеите стават полезни.
Какво SASE добавя към решението
SASE не е просто по-бърз или по-скъп VPN. Това е архитектурен модел за сближаване на мрежовата свързаност и контролите за сигурност, често чрез облачни услуги.
Одобреният изходен материал рамкира SASE като начин за комбиниране на мрежови функции и функции за сигурност за разпределени потребители, отдалечени местоположения и облачни услуги. На практика това означава, че SASE обикновено се обсъжда, когато една компания се нуждае от нещо повече от криптиран път. Нуждае се от политика, проверка, сегментиране и централизирано управление на потребителите и ресурсите.
За една малка компания най-полезният извод не е списък с корпоративни акроними. Това е:
Ако всеки, който се свързва, трябва да достигне приблизително едни и същи неща, VPN може да остане работещ. Ако достъпът трябва да бъде различен за всяка роля, приложение, устройство и ниво на риск, SASE мисленето става по-подходящо.
Това не означава, че една малка компания трябва да се втурне в сложен проект. SASE може да изисква планиране, операции, оценка на доставчика, обучение на потребителите и текущо управление. Компания без капацитет да управлява тези контроли може да създаде объркване по-бързо, отколкото създава сигурност.
По-добрият подход е да се третира SASE като посока на падеж. Разберете какво е проектирано да решава, след което решете дали настоящите ви рискове за достъп оправдават допълнителната сложност.
Където Zero Trust пасва
Нулево доверие често се споменава близо до SASE, но не трябва да превзема тази дискусия. За малките компании най-практичната част от zero trust е преминаването от широко доверие към решения, фокусирани върху ресурсите.
Вместо да попитате „Този човек в мрежата ли е?“ подход zero-trust задава по-точни въпроси:
- Кой е потребителят?
- Какъв ресурс се опитват да достигнат?
- Налага ли го ролята им?
- Устройството приемливо ли е за този ресурс?
- Сега трябва ли да се разреши сесията?
- Трябва ли достъпът да бъде ограничен, прегледан или отменен?
Това е сърцето на отдалечения достъп zero trust: достъпът не се предоставя само защото някой е свързан. Оценява се около потребителя, ресурса и контекста.
Ръководството за zero-trust на NIST е особено полезно тук, защото очертава zero trust като архитектура и път за миграция, а не като продукт с едно кликване. Малките компании могат да използват това мислене, без да се преструват, че вече имат напълно зряла корпоративна програма.
Най-малката привилегия е практическият тест
Фразата достъп с най-малко привилегии звучи технически, но идеята е проста: хората трябва да получат минималния достъп, от който се нуждаят, за да вършат работата си, толкова дълго, колкото им е необходим.
Често това е най-ясният начин да решите дали VPN е достатъчен.
Попитайте:
- Ако член на екипа се свърже чрез VPN, може ли да види повече от необходимото?
- Може ли изпълнителят да достигне само до едно приложение, което е наел да използва?
- Отделени ли са системите за финанси, администриране, изходен код или клиентски данни от обикновения достъп?
- Може ли достъпът да се промени бързо, когато някой смени ролята си или напусне?
- Знаете ли кои акаунти могат да достигнат до чувствителни ресурси?
Ако на тези въпроси е лесно да се отговори и вашата среда е малка, VPN все пак може да бъде подходящ. Ако тези въпроси разкрият пропуски, вашият модел за отдалечен достъп може да трябва да узрее.
Рамка за вземане на решения за малка компания
Използвайте тази рамка, преди да изберете посока.
1. Избройте ресурсите, от които хората се нуждаят
Не започвайте с инструменти. Започнете с ресурси.
Запишете приложенията, системите, файловете, административните панели, базите данни и споделените услуги, до които хората трябва да достигнат дистанционно. Отделете ежедневните инструменти от чувствителните системи. Едно просто решение VPN става много по-ясно, когато знаете какво всъщност стои зад заявката за достъп.
2. Картирайте потребителите към роли
Компания от пет души може да не се нуждае от сложен дизайн на ролите, но все пак се нуждае от основни граници. Собствениците, служителите, изпълнителите, финансовите потребители и техническите администратори обикновено не трябва да имат еднакъв обхват.
Ако ролите са прости и стабилни, достъпът VPN-based може да е достатъчен. Ако ролите са подвижни, временни или много различни, може да се нуждаете от по-силен контрол на политиката.
3. Проверете дали широкият мрежов достъп създава риск, който може да бъде избегнат
Традиционният VPN може да бъде много полезен, но широкият достъп на ниво мрежа може да е твърде широк за някои среди. Ако свързан потребител може да достигне до системи, които не са свързани с неговата работа, това е проблем на дизайна, а не просто въпрос на обучение на потребителя.
Моделите SASE и zero-trust се опитват да намалят това имплицитно доверие, като се фокусират върху ресурсите и политиката. Малките компании не трябва да копират корпоративната архитектура за една нощ, но те трябва да забележат, когато широкият достъп вече не отговаря на бизнеса.
4. Погледнете контрола на устройството
Контролът на устройството променя отговора. Компания с управлявани лаптопи, принудителни актуализации и ясна собственост има различен рисков профил от компания, в която служители и изпълнители използват лични устройства.
Ако доверието на устройството е от значение за вашите чувствителни приложения, един базов VPN сам по себе си може да не отговори на достатъчно въпроси.
5. Бъдете честни относно капацитета на администратора
Сложните контроли изискват внимание. Политиките се нуждаят от собственици. Изключенията се нуждаят от преглед. Потребителите имат нужда от поддръжка. Дневниците и сигналите се нуждаят от някой, който да ги чете.
Ако никой няма време да управлява по-голяма архитектура, компанията може да бъде по-добре обслужена от проста, добре разбрана настройка, докато документира рисковете и се подготвя за следващия етап.
6. Отделете днешната нужда от следващата стъпка на зрялост
Не е нужно да решавате всеки бъдещ проблем с достъпа този месец. Малък екип може да използва VPN за текущи нужди, като същевременно изготвя по-чист инвентар за достъп, ролева карта и списък с чувствителни ресурси.
Тази подготовка прави по-късен проект SASE или zero-trust по-малко хаотичен.
Практичен начин да мислите за защитен отдалечен достъп
Сигурният отдалечен достъп не е отделна продуктова категория с един постоянен отговор. Това е набор от избори за това как хората достигат до работните ресурси извън офиса или доверената мрежа.
За малка компания една разумна прогресия може да изглежда така:
- Започнете с необходимостта от достъп: кой има нужда от какво, откъде и защо.
- Използвайте VPN, когато е необходимо просто криптирано свързване или поверителност за малка доверена група.
- Добавете по-ясни правила за чувствителни ресурси, докато екипът расте.
- Следете за признаци, че широкият достъп създава риск или допълнителни разходи за поддръжка.
- Помислете за архитектурата SASE, когато идентичността, политиката, контролът на ниво приложение, проверката и оперативната зрялост се превърнат в истински проблем.
Важната част е да избягвате да купувате сложност, преди да можете да го управлявате, като същевременно избягвате настройка, която дава на хората повече достъп, отколкото изисква работата им.
VPN срещу SASE: Бързо сравнение за малки компании
| Въпрос | VPN може да се побере, когато… | Архитектурата SASE може да пасне, когато… |
|---|---|---|
| Основна цел | Имате нужда от криптирана свързаност или частен маршрут за често срещани сценарии за отдалечена работа/пътуване. | Имате нужда от централизирана политика за достъп за потребители, приложения, местоположения и нива на риск. |
| Размер на отбора | Екипът е малък и нуждите за достъп са подобни. | Екипът се разраства, разпределя се или включва изпълнители и множество роли. |
| Чувствителност към ресурсите | Малко вътрешни ресурси са силно чувствителни или сегментирани. | Чувствителни приложения, административни системи, клиентски данни или регулирани работни процеси изискват по-строг контрол. |
| Модел на достъп | Широкият достъп е приемлив за текущото ниво на риск. | Потребителите трябва да достигат само до конкретни приложения или ресурси. |
| Операции | Имате нужда от нещо разбираемо и по-лесно за управление. | Имате капацитета да управлявате политики, изключения, мониторинг и потребителска поддръжка. |
| Път на зрялост | Сега решавате тесен проблем със свързаността/поверителност. | Вие изграждате по-дългосрочна архитектура за достъп. |
Често срещани грешки, които трябва да избягвате
Третиране на SASE просто като „VPN, но по-ново“
SASE не е просто по-нов етикет VPN. Това е по-широка архитектура. Ако продавач или вътрешна дискусия звучи като директна размяна един към един, забавете и първо определете действителните проблеми с достъпа.
Очакваме VPN да свърши всяка работа по сигурността
VPN може да бъде полезен, но не трябва да се иска от него да замени правилата за идентичност, управлението на устройствата, разрешенията за приложения, наблюдението, отстраняването на персонала или сегментирането на чувствителни ресурси.
Закупуване на архитектура, преди компанията да може да я управлява
Програмите SASE изискват собственост. Една малка компания не трябва да приема сложен модел за достъп, без да знае кой ще управлява политиките, ще поддържа потребителите, ще преглежда изключенията и ще поддържа настройките актуални.
Игнориране на простия случай на употреба
Някои отбори наистина се нуждаят от обикновен VPN. Ако текущата нужда е тясна, повърхността за достъп е ограничена и екипът разбира настройката, VPN все още може да бъде практичният избор.
ЧЗВ
SASE винаги ли е по-добър от VPN?
Номер SASE е по-широк от VPN, но по-широк не означава автоматично по-добър за всяка малка компания. Ако имате нужда от проста криптирана свързаност за малка група, VPN може да е достатъчен. Ако вашите нужди за достъп включват правила за самоличност, контрол на ниво приложение, множество потребителски роли, проверка и централизирана политика, архитектурата SASE може да си струва да се оцени.
zero trust означава ли не VPN?
Не е задължително. Нулевото доверие е архитектурен подход, фокусиран върху намаляване на имплицитното доверие и вземане на решения за достъп до потребители, ресурси и контекст. Някои организации модернизират достъпа на етапи. Полезният въпрос не е дали VPN съществува, а дали достъпът е ограничен до това, от което всеки потребител и роля действително се нуждае.
Трябва ли една малка компания да започне с SASE?
Само ако проблемът с достъпа го оправдава и компанията може да го управлява. Много малки компании трябва първо да документират потребителите, ресурсите, чувствителните системи, контрола на устройствата и границите на ролите. Тази работа изяснява дали прост VPN е достатъчен или е необходима по-широка архитектура.
Какъв е най-големият риск да разчитате само на VPN?
Основният риск не е думата „VPN.“ Това е твърде широк достъп. Ако свързването през VPN дава на потребителите повече обхват, отколкото изисква тяхната работа, компанията може да се нуждае от по-добро сегментиране, разрешения, базирани на роли, и контроли на ниво ресурси.
Какво трябва да направим, преди да променим нещо?
Направете инвентаризация на достъпа. Избройте потребители, роли, устройства, приложения, чувствителни ресурси и текущи пътища за отдалечен достъп. След това решете дали проблемът е проста свързаност или по-широк проблем с контрола на достъпа.
Долен ред
Решението vpn срещу sase наистина е решение за зрялост.
Използвайте VPN, когато компанията се нуждае от ясна криптирана връзка за тесен, управляем случай на употреба. Започнете да мислите за SASE, когато компанията се нуждае от политика за самоличност, контрол на ниво приложение, проверка на сигурността и по-организиран начин за управление на достъпа между потребители, устройства и ресурси.
За малките компании най-добрият отговор обикновено е този, който съответства на текущия риск и способността на екипа да го управлява. Поддържайте настройката проста, когато проблемът е прост. Планирайте по-широка архитектура, когато отдалеченият достъп се е превърнал в проблем с правилата, ресурсите и операциите.