Perusahaan kecil biasanya tidak memulai dengan arsitektur akses. Hal ini dimulai dengan masalah praktis: seseorang perlu bekerja dari rumah, bepergian dengan laptop, terhubung dengan Wi-Fi hotel, atau menjangkau sumber daya bersama tanpa memaparkan terlalu banyak hal.
Di sinilah VPN sering menjadi perbincangan. Ini familiar, dapat dimengerti, dan berguna untuk banyak kebutuhan kerja jarak jauh dan privasi yang sempit. SASE, kependekan dari Secure Access Service Edge, berasal dari tempat yang berbeda. Ini adalah model yang lebih luas yang menggabungkan fungsi jaringan dan keamanan, biasanya untuk organisasi yang memerlukan kontrol identitas, kebijakan terpusat, inspeksi, dan cara yang lebih matang untuk mengelola pengguna dan aplikasi terdistribusi.
Jadi pertanyaan vpn vs sase sebenarnya bukanlah “mana yang lebih baik?” Yaitu: masalah akses seperti apa yang sebenarnya dialami perusahaan Anda?
Versi Singkat: VPN Memecahkan Konektivitas, SASE Memecahkan Arsitektur Akses
VPN membuat jalur koneksi terenkripsi antara perangkat pengguna dan server atau jaringan VPN. Untuk tim kecil, hal ini sudah cukup jika tujuan utamanya adalah konektivitas langsung atau rute yang lebih pribadi pada jaringan yang tidak tepercaya.
SASE lebih besar. Ini membawa kontrol jaringan dan keamanan ke dalam arsitektur yang dihadirkan cloud. Tergantung pada lingkungannya, diskusi SASE dapat mencakup konsep seperti akses sadar identitas, gateway web aman, kontrol akses cloud, firewall-as-a-service, jaringan yang ditentukan perangkat lunak, dan prinsip-prinsip zero-trust.
Untuk perusahaan kecil, perbedaan ini penting karena model operasinya berbeda:
- VPN biasanya lebih mudah dipahami dan diluncurkan untuk kasus penggunaan sederhana.
- SASE biasanya cocok untuk perusahaan yang memerlukan kontrol lebih terperinci mengenai siapa yang dapat mengakses aplikasi mana, dari perangkat mana, dan dalam kondisi apa.
- VPN dapat menjadi lapisan praktis untuk individu dan tim kecil.
- SASE lebih dekat dengan program akses dan keamanan jangka panjang daripada alat tunggal.
Jika perusahaan Anda hanya memerlukan koneksi terenkripsi sederhana untuk perjalanan, pekerjaan jarak jauh, atau privasi dasar, VPN mungkin merupakan pilihan yang tepat. Jika tim Anda berkembang, aplikasi Anda tersebar di SaaS dan sistem privat, dan akses jaringan yang luas menjadi tidak nyaman, mungkin ini saatnya untuk memikirkan lebih dari sekadar VPN.
Ketika VPN Sederhana Mungkin Cukup
VPN sederhana dapat masuk akal jika pola aksesnya sempit dan risikonya mudah dipahami.
Misalnya, seorang pendiri, konsultan, pimpinan agensi, atau tim kecil jarak jauh mungkin memerlukan koneksi yang lebih aman di Wi-Fi publik, rute terenkripsi yang konsisten saat bepergian, atau cara dasar untuk terhubung melalui server VPN. Dalam konteks tersebut, tujuannya bukan untuk membangun arsitektur keamanan perusahaan. Tujuannya adalah untuk mengurangi paparan dalam situasi umum dan menjaga akses jarak jauh tetap dapat dikelola.
VPN kemungkinan besar cukup jika:
- hanya sejumlah kecil orang yang memerlukan akses jarak jauh;
- pengguna dipercaya dan perannya sederhana;
- perusahaan tidak menjalankan banyak aplikasi internal yang sensitif;
- kebutuhan utamanya adalah konektivitas terenkripsi, bukan penegakan kebijakan aplikasi demi aplikasi;
- tidak ada tim keamanan khusus untuk mengoperasikan arsitektur yang kompleks;
- persyaratan kepatuhan dibatasi atau ditangani di tempat lain;
- bisnis dapat menoleransi model administratif yang lebih sederhana.
Di sinilah produk seperti VPN Unlimited by KeepSolid dapat menjadi relevan sebagai opsi VPN langsung bagi pengguna dan tim kecil yang memerlukan koneksi VPN terenkripsi untuk skenario konektivitas dan privasi sehari-hari.
Itu tidak menjadikan VPN sebagai jawaban lengkap untuk setiap masalah keamanan. VPN tidak secara otomatis membuat tata kelola identitas, pemeriksaan postur perangkat, alur kerja audit, segmentasi tingkat aplikasi, atau penegakan kebijakan zero-trust. Jika masalah tersebut adalah masalah yang perlu Anda selesaikan, pembicaraan telah beralih ke model akses yang lebih luas.
Ketika Masalah Akses Sudah Mengatasi VPN
Tekanan untuk menjadi dewasa biasanya muncul secara bertahap. Pada awalnya, satu atau dua orang memerlukan akses jarak jauh. Maka kontraktor memerlukan akses. Kemudian tim menambahkan alat SaaS, aplikasi pribadi, panel admin bersama, sistem keuangan, data klien, dan perangkat pribadi. Pada titik tertentu, memberikan akses jaringan yang luas kepada semua orang yang terhubung melalui VPN mulai terasa terlalu blak-blakan.
Saat itulah keamanan akses jarak jauh tidak terlalu berkaitan dengan terowongan dan lebih banyak berkaitan dengan kontrol.
Tanda-tanda bahwa perusahaan Anda mungkin memerlukan arsitektur yang lebih luas meliputi:
- peran yang berbeda memerlukan akses ke aplikasi atau data yang berbeda;
- kontraktor harus menjangkau hanya satu sistem, bukan seluruh jaringan;
- sumber daya sensitif memerlukan persetujuan, pemantauan, atau segmentasi yang lebih kuat;
- karyawan menggunakan gabungan perangkat yang dikelola dan tidak dikelola;
- Aplikasi SaaS dan aplikasi pribadi merupakan bagian dari pekerjaan sehari-hari;
- akun admin memerlukan penanganan yang lebih ketat daripada akun pengguna biasa;
- perusahaan mulai menghadapi tinjauan keamanan pelanggan atau pertanyaan kepatuhan;
- pemecahan masalah akses menjadi sulit karena kebijakan diterapkan di banyak tempat.
Dalam lingkungan tersebut, pertanyaannya bukan lagi “Apakah kita memiliki VPN?” Pertanyaannya adalah “Bisakah kita membuat keputusan akses berdasarkan pengguna, peran, sumber daya, perangkat, dan risiko?”
Di sinilah arsitektur SASE dan ide zero-trust menjadi berguna.
Apa yang Ditambahkan SASE pada Keputusan
SASE bukan hanya VPN yang lebih cepat atau lebih mahal. Ini adalah pola arsitektur untuk mendekatkan konektivitas jaringan dan kontrol keamanan, sering kali melalui layanan yang disampaikan melalui cloud.
Materi sumber yang disetujui membingkai SASE sebagai cara untuk menggabungkan fungsi jaringan dan keamanan untuk pengguna terdistribusi, lokasi terpencil, dan layanan cloud. Dalam praktiknya, ini berarti SASE biasanya dibahas ketika perusahaan membutuhkan lebih dari sekadar jalur terenkripsi. Hal ini memerlukan kebijakan, inspeksi, segmentasi, dan manajemen terpusat di seluruh pengguna dan sumber daya.
Untuk perusahaan kecil, hal yang paling berguna bukanlah daftar akronim perusahaan. Ini dia:
Jika setiap orang yang terhubung harus mencapai hal yang kira-kira sama, VPN mungkin tetap bisa diterapkan. Jika akses perlu berbeda untuk setiap peran, aplikasi, perangkat, dan tingkat risiko, pemikiran SASE menjadi lebih relevan.
Itu tidak berarti sebuah perusahaan kecil harus terburu-buru mengerjakan proyek yang kompleks. SASE memerlukan perencanaan, pengoperasian, evaluasi vendor, pelatihan pengguna, dan manajemen berkelanjutan. Perusahaan yang tidak memiliki kapasitas untuk menjalankan pengendalian tersebut dapat menciptakan kebingungan lebih cepat daripada menciptakan keamanan.
Pendekatan yang lebih baik adalah memperlakukan SASE sebagai arah kedewasaan. Pahami apa yang dirancang untuk dipecahkan, lalu putuskan apakah risiko akses Anda saat ini membenarkan kompleksitas tambahan tersebut.
Dimana Zero Trust Cocok
Zero trust sering disebutkan di dekat SASE, namun hal ini tidak boleh mengambil alih diskusi ini. Bagi perusahaan kecil, bagian paling praktis dari zero trust adalah peralihan dari kepercayaan luas ke keputusan yang berfokus pada sumber daya.
Daripada bertanya, “Apakah orang ini ada di jaringan?” pendekatan zero-trust menanyakan pertanyaan yang lebih tepat:
- Siapa penggunanya?
- Sumber daya apa yang ingin mereka jangkau?
- Apakah peran mereka memerlukannya?
- Apakah perangkat dapat diterima untuk sumber daya ini?
- Haruskah sesi ini diizinkan sekarang?
- Apakah akses harus dibatasi, ditinjau, atau dicabut?
Itulah inti dari akses jarak jauh zero trust: akses tidak diberikan hanya karena seseorang terhubung. Itu dievaluasi berdasarkan pengguna, sumber daya, dan konteks.
Panduan zero-trust NIST sangat berguna di sini karena membingkai zero trust sebagai arsitektur dan jalur migrasi, bukan produk sekali klik. Perusahaan kecil dapat menggunakan pola pikir tersebut tanpa berpura-pura bahwa mereka telah memiliki program usaha yang matang.
Hak Istimewa Paling Kecil Adalah Ujian Praktek
Ungkapan akses dengan hak istimewa paling rendah terdengar teknis, namun idenya sederhana: orang harus mendapatkan akses minimum yang mereka perlukan untuk melakukan pekerjaan mereka, selama mereka membutuhkannya.
Ini sering kali merupakan cara paling jelas untuk memutuskan apakah VPN sudah cukup.
Tanyakan:
- Jika anggota tim terhubung melalui VPN, dapatkah mereka melihat lebih dari yang dibutuhkan?
- Bisakah kontraktor hanya menjangkau satu aplikasi yang mereka pekerjakan untuk digunakan?
- Apakah sistem keuangan, admin, kode sumber, atau data klien terpisah dari akses biasa?
- Bisakah mengakses perubahan dengan cepat ketika seseorang berganti peran atau keluar?
- Tahukah Anda akun mana yang dapat menjangkau sumber daya sensitif?
Jika pertanyaan tersebut mudah dijawab dan lingkungan Anda kecil, VPN mungkin masih cocok. Jika pertanyaan-pertanyaan tersebut mengungkap kesenjangan, model akses jarak jauh Anda mungkin perlu dimatangkan.
Kerangka Keputusan Perusahaan Kecil
Gunakan kerangka ini sebelum memilih arah.
1. Buat daftar sumber daya yang dibutuhkan masyarakat
Jangan memulai dengan alat. Mulailah dengan sumber daya.
Tuliskan aplikasi, sistem, file, panel admin, database, dan layanan bersama yang perlu dijangkau orang dari jarak jauh. Pisahkan alat sehari-hari dari sistem sensitif. Keputusan sederhana VPN menjadi lebih jelas ketika Anda mengetahui apa sebenarnya di balik permintaan akses.
2. Memetakan pengguna ke peran
Perusahaan yang beranggotakan lima orang mungkin tidak memerlukan desain peran yang rumit, namun tetap memerlukan batasan dasar. Pemilik, karyawan, kontraktor, pengguna keuangan, dan admin teknis biasanya tidak semuanya memiliki jangkauan yang sama.
Jika perannya sederhana dan stabil, akses VPN-based mungkin cukup. Jika peranannya berubah-ubah, bersifat sementara, atau sangat berbeda, Anda mungkin memerlukan kontrol kebijakan yang lebih kuat.
3. Periksa apakah akses jaringan yang luas menimbulkan risiko yang dapat dihindari
VPN tradisional bisa sangat berguna, namun akses tingkat jaringan yang luas mungkin terlalu luas untuk beberapa lingkungan. Jika pengguna yang terhubung dapat menjangkau sistem yang tidak terkait dengan pekerjaannya, itu adalah masalah desain, bukan hanya masalah pelatihan pengguna.
Model SASE dan zero-trust mencoba mengurangi kepercayaan implisit tersebut dengan berfokus pada sumber daya dan kebijakan. Perusahaan kecil tidak perlu meniru arsitektur perusahaan dalam sekejap, namun mereka harus menyadari ketika akses luas tidak lagi sesuai dengan bisnis.
4. Lihat kontrol perangkat
Kontrol perangkat mengubah jawabannya. Perusahaan yang memiliki laptop terkelola, pembaruan yang diterapkan, dan kepemilikan yang jelas memiliki profil risiko yang berbeda dengan perusahaan yang karyawan dan kontraktornya menggunakan perangkat pribadi.
Jika kepercayaan perangkat penting bagi aplikasi sensitif Anda, VPN dasar saja mungkin tidak cukup menjawab pertanyaan.
5. Jujur mengenai kapasitas admin
Kontrol yang rumit memerlukan kehati-hatian. Kebijakan membutuhkan pemilik. Pengecualian perlu ditinjau. Pengguna membutuhkan dukungan. Log dan peringatan memerlukan seseorang untuk membacanya.
Jika tidak ada yang punya waktu untuk mengoperasikan arsitektur yang lebih besar, perusahaan mungkin akan lebih baik jika menggunakan pengaturan yang sederhana dan dipahami dengan baik sambil mendokumentasikan risiko dan bersiap untuk tahap berikutnya.
6. Pisahkan kebutuhan saat ini dari langkah kedewasaan berikutnya
Anda tidak harus menyelesaikan setiap masalah akses di masa mendatang pada bulan ini. Sebuah tim kecil dapat menggunakan VPN untuk kebutuhan saat ini sambil juga menyiapkan inventaris akses yang lebih rapi, peta peran, dan daftar sumber daya sensitif.
Persiapan tersebut membuat proyek SASE atau zero-trust nantinya tidak terlalu semrawut.
Cara Praktis untuk Berpikir Tentang Akses Jarak Jauh yang Aman
Akses jarak jauh yang aman bukanlah satu kategori produk dengan satu jawaban permanen. Ini adalah serangkaian pilihan tentang bagaimana orang menjangkau sumber daya kerja dari luar kantor atau jaringan tepercaya.
Untuk perusahaan kecil, perkembangan yang masuk akal dapat terlihat seperti ini:
- Mulailah dengan kebutuhan akses: siapa yang memerlukan apa, dari mana, dan mengapa.
- Gunakan VPN ketika memerlukan konektivitas terenkripsi sederhana atau privasi untuk grup kecil dan tepercaya.
- Tambahkan aturan yang lebih jelas untuk sumber daya sensitif seiring pertumbuhan tim.
- Perhatikan tanda-tanda bahwa akses yang luas menimbulkan risiko atau beban tambahan terhadap dukungan.
- Pertimbangkan arsitektur SASE ketika identitas, kebijakan, kontrol tingkat aplikasi, inspeksi, dan kematangan operasional menjadi masalah nyata.
Bagian pentingnya adalah menghindari kerumitan membeli sebelum Anda dapat mengoperasikannya, sekaligus menghindari pengaturan yang memberi orang lebih banyak akses daripada yang dibutuhkan pekerjaan mereka.
VPN vs SASE: Perbandingan Cepat untuk Perusahaan Kecil
| Pertanyaan | VPN mungkin cocok bila… | Arsitektur SASE mungkin cocok ketika… |
|---|---|---|
| Tujuan utama | Anda memerlukan konektivitas terenkripsi atau rute pribadi untuk skenario kerja/perjalanan jarak jauh yang umum. | Anda memerlukan kebijakan akses terpusat di seluruh pengguna, aplikasi, lokasi, dan tingkat risiko. |
| Ukuran tim | Timnya kecil dan kebutuhan aksesnya serupa. | Tim ini berkembang, didistribusikan, atau mencakup kontraktor dan berbagai peran. |
| Sensitivitas sumber daya | Hanya sedikit sumber daya internal yang sangat sensitif atau tersegmentasi. | Aplikasi sensitif, sistem admin, data klien, atau alur kerja yang diatur memerlukan kontrol yang lebih ketat. |
| Akses model | Akses yang luas dapat diterima untuk tingkat risiko saat ini. | Pengguna sebaiknya hanya menjangkau aplikasi atau sumber daya tertentu. |
| Operasi | Anda memerlukan sesuatu yang dapat dimengerti dan lebih mudah dikelola. | Anda memiliki kapasitas untuk mengelola kebijakan, pengecualian, pemantauan, dan dukungan pengguna. |
| Jalur kedewasaan | Anda sedang memecahkan masalah konektivitas/privasi yang sempit sekarang. | Anda sedang membangun arsitektur akses jangka panjang. |
Kesalahan Umum yang Harus Dihindari
Memperlakukan SASE hanya sebagai “VPN, tapi lebih baru”
SASE bukan sekadar label VPN yang lebih baru. Ini adalah arsitektur yang lebih luas. Jika vendor atau diskusi internal membuatnya terdengar seperti pertukaran langsung, perlambat dan tentukan masalah akses sebenarnya terlebih dahulu.
Mengharapkan VPN melakukan setiap pekerjaan keamanan
VPN dapat berguna, namun tidak boleh diminta untuk menggantikan kebijakan identitas, pengelolaan perangkat, izin aplikasi, pemantauan, pelepasan staf, atau segmentasi sumber daya sensitif.
Membeli arsitektur sebelum perusahaan dapat mengoperasikannya
Program SASE memerlukan kepemilikan. Perusahaan kecil tidak boleh mengadopsi model akses yang kompleks tanpa mengetahui siapa yang akan mengelola kebijakan, mendukung pengguna, meninjau pengecualian, dan menjaga pengaturan tetap terkini.
Mengabaikan kasus penggunaan sederhana
Beberapa tim benar-benar membutuhkan VPN yang sederhana. Jika kebutuhan saat ini sempit, permukaan akses terbatas, dan tim memahami pengaturannya, VPN masih bisa menjadi pilihan praktis.
Pertanyaan Umum
Apakah SASE selalu lebih baik daripada VPN?
Tidak. SASE lebih luas daripada VPN, namun lebih luas tidak otomatis berarti lebih baik bagi setiap perusahaan kecil. Jika kebutuhan Anda adalah konektivitas terenkripsi sederhana untuk grup kecil, VPN mungkin cukup. Jika kebutuhan akses Anda melibatkan aturan identitas, kontrol tingkat aplikasi, beberapa peran pengguna, inspeksi, dan kebijakan terpusat, arsitektur SASE mungkin layak untuk dievaluasi.
Apakah zero trust berarti tidak ada VPN?
Belum tentu. Zero trust adalah pendekatan arsitektur yang berfokus pada pengurangan kepercayaan implisit dan pengambilan keputusan akses seputar pengguna, sumber daya, dan konteks. Beberapa organisasi memodernisasi akses secara bertahap. Pertanyaan yang berguna bukanlah apakah VPN ada, namun apakah akses dibatasi pada apa yang sebenarnya dibutuhkan oleh setiap pengguna dan peran.
Haruskah perusahaan kecil memulai dengan SASE?
Hanya jika masalah akses membenarkannya dan perusahaan dapat mengoperasikannya. Banyak perusahaan kecil harus mendokumentasikan pengguna, sumber daya, sistem sensitif, kontrol perangkat, dan batasan peran terlebih dahulu. Pekerjaan itu memperjelas apakah VPN sederhana sudah cukup atau apakah diperlukan arsitektur yang lebih luas.
Apa risiko terbesar jika hanya mengandalkan VPN?
Risiko utamanya bukan pada kata “VPN”. Aksesnya terlalu luas. Jika menghubungkan melalui VPN memberi pengguna jangkauan lebih luas daripada yang dibutuhkan pekerjaan mereka, perusahaan mungkin memerlukan segmentasi yang lebih baik, izin berbasis peran, dan kontrol tingkat sumber daya.
Apa yang harus kita lakukan sebelum mengubah apa pun?
Buat inventaris akses. Cantumkan pengguna, peran, perangkat, aplikasi, sumber daya sensitif, dan jalur akses jarak jauh saat ini. Kemudian putuskan apakah masalahnya hanya pada konektivitas sederhana atau masalah kontrol akses yang lebih luas.
Intinya
Keputusan vpn vs sase benar-benar merupakan keputusan yang matang.
Gunakan VPN ketika perusahaan memerlukan koneksi terenkripsi langsung untuk kasus penggunaan yang sempit dan mudah dikelola. Mulailah memikirkan SASE ketika perusahaan memerlukan kebijakan identitas, kontrol tingkat aplikasi, pemeriksaan keamanan, dan cara yang lebih terorganisir untuk mengelola akses di seluruh pengguna, perangkat, dan sumber daya.
Untuk perusahaan kecil, jawaban terbaik biasanya adalah jawaban yang sesuai dengan risiko saat ini dan kemampuan tim untuk mengoperasikannya. Jaga agar pengaturan tetap sederhana ketika masalahnya sederhana. Rencanakan arsitektur yang lebih luas ketika akses jarak jauh telah menjadi masalah kebijakan, sumber daya, dan operasi.