Firmele mici de obicei nu încep cu o arhitectură de acces. Încep cu o problemă practică: cineva trebuie să lucreze de acasă, să călătorească cu un laptop, să se conecteze la Wi-Fi la hotel sau să ajungă la o resursă comună fără a expune prea mult.
Acesta este locul în care un VPN intră adesea în conversație. Este familiar, de înțeles și util pentru multe nevoi restrânse de lucru la distanță și confidențialitate. SASE, prescurtare pentru Secure Access Service Edge, vine dintr-un loc diferit. Este un model mai larg care combină funcțiile de rețea și securitate, de obicei pentru organizațiile care au nevoie de controale conștiente de identitate, politici centralizate, inspecții și o modalitate mai matură de a gestiona utilizatorii și aplicațiile distribuite.
Deci întrebarea reală vpn vs sase nu este „care este mai bună?” Este: ce fel de problemă de acces are compania dumneavoastră de fapt?
Versiunea scurtă: VPN rezolvă conectivitatea, SASE rezolvă arhitectura de acces
Un VPN creează o cale de conexiune criptată între dispozitivul unui utilizator și un server sau o rețea VPN. Pentru o echipă mică, acest lucru poate fi suficient atunci când obiectivul principal este conectivitatea simplă sau o rută mai privată pe rețele neîncrezătoare.
SASE este mai mare. Acesta aduce controale de rețea și securitate într-o arhitectură furnizată în cloud. În funcție de mediu, discuțiile SASE pot include concepte precum acces conștient de identitate, gateway-uri web securizate, controale de acces în cloud, firewall-as-a-service, rețele definite de software și principii zero-trust.
Pentru o companie mică, distincția contează deoarece acestea sunt modele de operare diferite:
- Un VPN este de obicei mai ușor de înțeles și de implementat pentru cazuri simple de utilizare.
- SASE se potrivește de obicei companiilor care au nevoie de un control mai granular asupra cine poate accesa ce aplicații, de pe ce dispozitive și în ce condiții.
- Un VPN poate fi un strat practic pentru indivizi și echipe mici.
- SASE este mai aproape de un program de acces și securitate pe termen lung decât de un singur instrument.
Dacă compania dvs. are nevoie doar de o conexiune criptată simplă pentru călătorii, lucru la distanță sau confidențialitate de bază, un VPN poate fi alegerea potrivită. Dacă echipa dvs. crește, aplicațiile dvs. sunt împrăștiate în sistemele SaaS și private, iar accesul larg la rețea devine incomod, poate fi timpul să vă gândiți dincolo de un VPN.
Când un simplu VPN poate fi suficient
Un simplu VPN poate avea sens atunci când modelul de acces este îngust și riscul este ușor de înțeles.
De exemplu, un fondator, consultant, lider de agenție sau echipă mică de la distanță poate avea nevoie de o conexiune mai sigură la Wi-Fi public, de o rută criptată consecventă în timpul călătoriei sau de o modalitate de bază de a se conecta printr-un server VPN. În acest context, scopul nu este de a construi o arhitectură de securitate a întreprinderii. Scopul este de a reduce expunerea în situații obișnuite și de a menține accesul la distanță gestionabil.
Un VPN este mai probabil să fie suficient atunci când:
- doar un număr mic de persoane au nevoie de acces la distanță;
- utilizatorii sunt de încredere și rolurile sunt simple;
- compania nu rulează multe aplicații interne sensibile;
- nevoia principală este conectivitatea criptată, mai degrabă decât aplicarea politicii aplicație cu aplicație;
- nu există o echipă de securitate dedicată care să opereze o arhitectură complexă;
- cerințele de conformitate sunt limitate sau gestionate în altă parte;
- afacerea poate tolera un model administrativ mai simplu.
Aici un produs precum VPN Unlimited by KeepSolid poate fi relevant ca o opțiune simplă VPN pentru utilizatorii și echipele mici care au nevoie de o conexiune criptată VPN pentru scenarii de conectivitate și confidențialitate de zi cu zi.
Acest lucru nu face ca un VPN să fie un răspuns complet la fiecare problemă de securitate. Un VPN nu creează automat guvernanța identității, verificările posturii dispozitivului, fluxurile de lucru de audit, segmentarea la nivel de aplicație sau aplicarea politicii zero-trust. Dacă acestea sunt problemele pe care trebuie să le rezolvați, conversația s-a mutat într-un model de acces mai larg.
Când problema de acces a depășit un VPN
Presiunea de a se maturiza apare de obicei treptat. La început, una sau două persoane au nevoie de acces de la distanță. Atunci contractorii au nevoie de acces. Apoi, echipa adaugă instrumente SaaS, aplicații private, panouri de administrare partajate, sisteme financiare, date despre clienți și dispozitive personale. La un moment dat, acordarea unui acces larg la rețea tuturor celor care se conectează printr-un VPN începe să se simtă prea obositoare.
Atunci securitatea accesului de la distanță devine mai puțin legată de tunel și mai mult de control.
Semnele că compania dumneavoastră ar putea avea nevoie de o arhitectură mai largă includ:
- diferitele roluri necesită acces la diferite aplicații sau date;
- contractorii ar trebui să ajungă la un singur sistem, nu la întreaga rețea;
- resursele sensibile au nevoie de aprobare, monitorizare sau segmentare mai puternice;
- angajații folosesc un mix de dispozitive gestionate și neadministrate;
- Aplicațiile SaaS și aplicațiile private fac parte din munca de zi cu zi;
- conturile de administrator necesită o manipulare mai strictă decât conturile de utilizator obișnuite;
- compania începe să se confrunte cu recenzii de securitate ale clienților sau întrebări de conformitate;
- depanarea accesului devine din ce în ce mai dificilă, deoarece politicile există în prea multe locuri.
În acel mediu, întrebarea nu mai este „Avem un VPN?” Devine „Putem lua decizii de acces bazate pe utilizator, rol, resursă, dispozitiv și risc?”
Acesta este teritoriul unde arhitectura SASE și ideile zero-trust devin utile.
Ce adaugă SASE la decizie
SASE nu este doar un VPN mai rapid sau mai scump. Este un model de arhitectură pentru apropierea conectivității rețelei și a controalelor de securitate, adesea prin servicii furnizate în cloud.
Materialul sursă aprobat încadrează SASE ca o modalitate de a combina funcțiile de rețea și securitate pentru utilizatorii distribuiți, locații la distanță și servicii cloud. În practică, asta înseamnă că SASE este de obicei discutat atunci când o companie are nevoie de mai mult decât o cale criptată. Are nevoie de politică, inspecție, segmentare și management centralizat între utilizatori și resurse.
Pentru o companie mică, cea mai utilă variantă nu este o listă de acronime de întreprindere. Acesta este:
Dacă toți cei care se conectează ar trebui să ajungă la aproximativ aceleași lucruri, un VPN poate rămâne funcțional. Dacă accesul trebuie să fie diferit pentru fiecare rol, aplicație, dispozitiv și nivel de risc, gândirea SASE devine mai relevantă.
Asta nu înseamnă că o companie mică ar trebui să se grăbească într-un proiect complex. SASE poate necesita planificare, operațiuni, evaluarea furnizorilor, instruirea utilizatorilor și management continuu. O companie fără capacitatea de a opera aceste controale poate crea confuzie mai repede decât creează securitate.
Cea mai bună abordare este de a trata SASE ca o direcție de maturitate. Înțelegeți pentru ce este proiectat să rezolve, apoi decideți dacă riscurile actuale de acces justifică complexitatea suplimentară.
Unde se potrivește Zero Trust
Încrederea zero este adesea menționată lângă SASE, dar nu ar trebui să preia această discuție. Pentru companiile mici, partea cea mai practică a zero trust este trecerea de la o încredere largă la decizii centrate pe resurse.
În loc să întrebi „Această persoană este în rețea?” o abordare zero-trust pune întrebări mai precise:
- Cine este utilizatorul?
- La ce resursă încearcă să ajungă?
- Rolul lor o cere?
- Este dispozitivul acceptabil pentru această resursă?
- Ar trebui permisă sesiunea acum?
- Accesul ar trebui limitat, revizuit sau revocat?
Acesta este inima accesului de la distanță zero trust: accesul nu este acordat doar pentru că cineva este conectat. Este evaluat în jurul utilizatorului, al resursei și al contextului.
Ghidul NIST zero-trust este deosebit de util aici, deoarece încadrează zero trust ca o arhitectură și cale de migrare, nu un produs cu un singur clic. Companiile mici pot folosi această mentalitate fără a pretinde că au deja un program de întreprindere complet matur.
Cel mai mic privilegiu este testul practic
Expresia acces cu cel mai mic privilegiu sună tehnic, dar ideea este simplă: oamenii ar trebui să obțină accesul minim de care au nevoie pentru a-și face munca, atâta timp cât au nevoie de el.
Acesta este adesea cel mai clar mod de a decide dacă un VPN este suficient.
Întrebați:
- Dacă un membru al echipei se conectează prin VPN, pot vedea mai mult decât au nevoie?
- Poate un antreprenor să ajungă doar la o aplicație pentru care a fost angajat?
- Sistemele financiare, de administrare, de cod sursă sau de date despre clienți sunt separate de accesul obișnuit?
- Accesul se poate schimba rapid atunci când cineva își schimbă rolurile sau pleacă?
- Știți ce conturi pot ajunge la resurse sensibile?
Dacă la aceste întrebări este ușor de răspuns și mediul dvs. este mic, un VPN poate fi totuși o potrivire rezonabilă. Dacă aceste întrebări scot lacune, modelul dvs. de acces la distanță poate avea nevoie să se maturizeze.
Un cadru de decizie pentru companii mici
Utilizați acest cadru înainte de a alege o direcție.
1. Enumerați resursele de care oamenii au nevoie
Nu începe cu unelte. Începeți cu resursele.
Notați aplicațiile, sistemele, fișierele, panourile de administrare, bazele de date și serviciile partajate pe care oamenii trebuie să le acceseze de la distanță. Separați instrumentele de zi cu zi de sistemele sensibile. O decizie simplă VPN devine mult mai clară atunci când știți ce se află de fapt în spatele cererii de acces.
2. Harta utilizatorii cu roluri
Este posibil ca o companie formată din cinci persoane să nu aibă nevoie de design complex de rol, dar are totuși nevoie de limite de bază. Proprietarii, angajații, contractanții, utilizatorii financiari și administratorii tehnici nu ar trebui să aibă, de obicei, toți aceeași acoperire.
Dacă rolurile sunt simple și stabile, accesul VPN-based poate fi suficient. Dacă rolurile sunt fluide, temporare sau foarte diferite, este posibil să aveți nevoie de controale mai puternice ale politicii.
3. Verificați dacă accesul larg la rețea creează riscuri evitabile
Un VPN tradițional poate fi foarte util, dar accesul larg la nivel de rețea poate fi prea larg pentru unele medii. Dacă un utilizator conectat poate ajunge la sisteme care nu au legătură cu munca sa, aceasta este o problemă de proiectare, nu doar o problemă de instruire a utilizatorilor.
Modelele SASE și zero-trust încearcă să reducă această încredere implicită concentrându-se pe resurse și politici. Companiile mici nu trebuie să copieze arhitectura întreprinderii peste noapte, dar ar trebui să observe când accesul larg nu mai corespunde afacerii.
4. Uită-te la controlul dispozitivului
Controlul dispozitivului schimbă răspunsul. O companie cu laptopuri gestionate, actualizări impuse și proprietate clară are un profil de risc diferit de o companie în care angajații și contractanții folosesc dispozitive personale.
Dacă încrederea în dispozitiv contează pentru aplicațiile dvs. sensibile, este posibil ca un VPN de la sine să nu răspundă la suficiente întrebări.
5. Fii sincer cu privire la capacitatea de administrare
Controalele complexe necesită îngrijire. Politicile au nevoie de proprietari. Excepțiile necesită revizuire. Utilizatorii au nevoie de sprijin. Jurnalele și alertele au nevoie de cineva care să le citească.
Dacă nimeni nu are timp să opereze o arhitectură mai mare, compania poate fi mai bine servită de o configurație simplă, bine înțeleasă, în timp ce documentează riscurile și se pregătește pentru etapa următoare.
6. Separați nevoia de astăzi de următorul pas de maturitate
Nu trebuie să rezolvați fiecare problemă de acces viitoare în această lună. O echipă mică poate folosi un VPN pentru nevoile curente, în același timp, pregătește un inventar de acces mai curat, o hartă a rolurilor și o listă de resurse sensibile.
Această pregătire face ca un proiect SASE sau zero-trust mai puțin haotic.
Un mod practic de a vă gândi la accesul securizat la distanță
Accesul securizat la distanță nu este o singură categorie de produse cu un răspuns permanent. Este un set de opțiuni despre modul în care oamenii ajung la resursele de lucru din afara biroului sau a rețelei de încredere.
Pentru o companie mică, o progresie sensibilă poate arăta astfel:
- Începeți cu nevoia de acces: cine are nevoie de ce, de unde și de ce.
- Utilizați un VPN atunci când este nevoie de o simplă conectivitate criptată sau confidențialitate pentru un grup mic și de încredere.
- Adăugați reguli mai clare pentru resursele sensibile pe măsură ce echipa crește.
- Urmăriți semnele că accesul larg creează riscuri sau costuri de sprijin.
- Luați în considerare arhitectura SASE atunci când identitatea, politica, controlul la nivel de aplicație, inspecția și maturitatea operațională devin adevărata problemă.
Partea importantă este să evitați să cumpărați complexitate înainte de a o utiliza, evitând în același timp o configurare care oferă oamenilor mai mult acces decât necesită munca lor.
VPN vs SASE: comparație rapidă pentru companii mici
| Întrebare | VPN se poate potrivi atunci când… | Arhitectura SASE se poate potrivi atunci când… |
|---|---|---|
| Scopul principal | Aveți nevoie de conectivitate criptată sau de o rută privată pentru scenarii comune de lucru la distanță/călătorii. | Aveți nevoie de o politică de acces centralizată pentru utilizatori, aplicații, locații și niveluri de risc. |
| Dimensiunea echipei | Echipa este mică și nevoile de acces sunt similare. | Echipa este în creștere, este distribuită sau include contractori și roluri multiple. |
| Sensibilitatea resurselor | Puține resurse interne sunt extrem de sensibile sau segmentate. | Aplicațiile sensibile, sistemele de administrare, datele clienților sau fluxurile de lucru reglementate necesită un control mai strict. |
| Model de acces | Accesul larg este acceptabil pentru nivelul actual de risc. | Utilizatorii ar trebui să ajungă doar la anumite aplicații sau resurse. |
| Operațiuni | Ai nevoie de ceva de înțeles și mai ușor de gestionat. | Aveți capacitatea de a gestiona politici, excepții, monitorizare și asistență pentru utilizatori. |
| Calea maturității | Rezolvați o problemă restrânsă de conectivitate/confidențialitate acum. | Construiți o arhitectură de acces pe termen lung. |
Greșeli frecvente de evitat
Tratează SASE doar ca „VPN, dar mai nou”
SASE nu este doar o etichetă mai nouă VPN. Este o arhitectură mai largă. Dacă un furnizor sau o discuție internă face să sune ca un schimb direct unu-la-unu, încetiniți și definiți mai întâi problemele reale de acces.
Ne așteptăm ca un VPN să facă orice lucrare de securitate
Un VPN poate fi util, dar nu ar trebui să i se solicite să înlocuiască politica de identitate, managementul dispozitivelor, permisiunile pentru aplicații, monitorizarea, retragerea personalului sau segmentarea resurselor sensibile.
Cumpărarea arhitecturii înainte ca compania să o poată opera
Programele SASE necesită proprietate. O companie mică nu ar trebui să adopte un model de acces complex fără să știe cine va gestiona politicile, va sprijini utilizatorii, va examina excepțiile și va menține configurarea la zi.
Ignorând cazul de utilizare simplu
Unele echipe chiar au nevoie de un simplu VPN. Dacă nevoia actuală este îngustă, suprafața de acces este limitată și echipa înțelege configurația, un VPN poate fi totuși alegerea practică.
Întrebări frecvente
SASE este întotdeauna mai bun decât un VPN?
Nu. SASE este mai larg decât un VPN, dar mai larg nu înseamnă automat mai bun pentru fiecare companie mică. Dacă nevoia dvs. este o conexiune simplă criptată pentru un grup mic, un VPN poate fi suficient. Dacă nevoile dvs. de acces implică reguli conștiente de identitate, control la nivel de aplicație, mai multe roluri de utilizator, inspecție și politică centralizată, arhitectura SASE poate merita să fie evaluată.
zero trust înseamnă că nu VPN?
Nu neapărat. Încrederea zero este o abordare de arhitectură axată pe reducerea încrederii implicite și pe luarea deciziilor de acces în jurul utilizatorilor, resurselor și contextului. Unele organizații modernizează accesul în etape. Întrebarea utilă nu este dacă există un VPN, ci dacă accesul este limitat la ceea ce are nevoie de fapt fiecare utilizator și rol.
O companie mică ar trebui să înceapă cu SASE?
Doar dacă problema de acces o justifică și compania îl poate opera. Multe companii mici ar trebui să documenteze mai întâi utilizatorii, resursele, sistemele sensibile, controlul dispozitivelor și limitele rolurilor. Această lucrare clarifică dacă un simplu VPN este suficient sau dacă este necesară o arhitectură mai largă.
Care este cel mai mare risc de a te baza doar pe un VPN?
Riscul principal nu este cuvântul „VPN”. Este un acces prea larg. Dacă conectarea prin VPN oferă utilizatorilor mai multă acoperire decât necesită munca lor, compania poate avea nevoie de o segmentare mai bună, permisiuni bazate pe roluri și controale la nivel de resurse.
Ce ar trebui să facem înainte de a schimba ceva?
Faceți un inventar de acces. Enumerați utilizatori, roluri, dispozitive, aplicații, resurse sensibile și căile actuale de acces la distanță. Apoi decideți dacă problema este conexiunea simplă sau o problemă mai largă de control al accesului.
Concluzie
Decizia vpn vs sase este într-adevăr o decizie de maturitate.
Utilizați un VPN atunci când compania are nevoie de o conexiune criptată simplă pentru un caz de utilizare restrâns și ușor de gestionat. Începeți să vă gândiți la SASE atunci când compania are nevoie de politică conștientă de identitate, control la nivel de aplicație, inspecție de securitate și o modalitate mai organizată de a gestiona accesul între utilizatori, dispozitive și resurse.
Pentru companiile mici, cel mai bun răspuns este de obicei cel care se potrivește cu riscul actual și cu capacitatea echipei de a-l opera. Păstrați configurarea simplă atunci când problema este simplă. Planificați o arhitectură mai largă atunci când accesul la distanță a devenit o problemă de politică, resurse și operațiuni.