Мала предузећа обично не почињу са приступном архитектуром. Почињу са практичним проблемом: неко треба да ради од куће, да путује са лаптопом, да се повеже на хотелски Ви-Фи или да дође до заједничког ресурса без превише излагања.
Тамо VPN често улази у разговор. Познат је, разумљив и користан за многе уске потребе за даљинским радом и приватношћу. SASE, скраћено од Secure Access Service Edge, долази са другог места. То је шири модел који комбинује мрежне и безбедносне функције, обично за организације којима су потребне контроле свесне идентитета, централизована политика, инспекција и зрелији начин управљања дистрибуираним корисницима и апликацијама.
Дакле, право впн вс сасе питање није „који је бољи?“ То је: какав проблем са приступом заправо има ваша компанија?
Кратка верзија: VPN решава могућност повезивања, SASE решава архитектуру приступа
VPN креира шифровану путању везе између уређаја корисника и VPN сервера или мреже. За мали тим, то може бити довољно када је главни циљ директна повезаност или приватнија рута на непоузданим мрежама.
SASE је већи. Он доноси мрежне и безбедносне контроле у архитектуру која се испоручује у облаку. У зависности од окружења, расправе о SASE могу укључивати концепте као што су приступ свестан идентитета, безбедни веб гејтвеји, контроле приступа у облаку, заштитни зид као услуга, софтверски дефинисано умрежавање и zero-trust принципи.
За малу компанију, разлика је важна јер су то различити оперативни модели:
- VPN је обично лакши за разумевање и употребу за једноставне случајеве употребе.
- SASE обично одговара компанијама којима је потребна детаљнија контрола над тим ко може да приступи којим апликацијама, са којих уређаја, под којим условима.
- VPN може бити практичан слој за појединце и мале тимове.
- SASE је ближи дугорочном програму приступа и безбедности него једном алату.
Ако је вашој компанији потребна само једноставна шифрована веза за путовања, рад на даљину или основну приватност, VPN би могао бити избор праве величине. Ако ваш тим расте, ваше апликације су раштркане по СааС-у и приватним системима, а приступ широкој мрежи постаје непријатан, можда је време да размислите даље од VPN.
Када једноставан VPN може бити довољан
Једноставан VPN може имати смисла када је образац приступа узак и ризик је лако разумети.
На пример, оснивачу, консултанту, вођи агенције или малом удаљеном тиму може бити потребна безбеднија веза на јавној Ви-Фи мрежи, доследна шифрована рута током путовања или основни начин повезивања преко VPN сервера. У том контексту, циљ није изградња безбедносне архитектуре предузећа. Циљ је да се смањи изложеност у уобичајеним ситуацијама и да се даљински приступ може управљати.
VPN ће вероватно бити довољан када:
- само малом броју људи је потребан даљински приступ;
- корисницима се верује и улоге су једноставне;
- компанија не покреће много осетљивих интерних апликација;
- главна потреба је шифрована повезаност, а не примена смерница од апликације до апликације;
- не постоји наменски безбедносни тим који би управљао сложеном архитектуром;
- захтеви усклађености су ограничени или се обрађују на другом месту;
- предузеће може толерисати једноставнији административни модел.
Овде производ као што је VPN Unlimited by KeepSolid може бити релевантан као једноставна опција VPN за кориснике и мале тимове којима је потребна шифрована VPN веза за свакодневне сценарије повезивања и приватности.
То не чини VPN потпуним одговором на сваки безбедносни проблем. VPN не креира аутоматски управљање идентитетом, проверу положаја уређаја, токове рада ревизије, сегментацију на нивоу апликације или примену смерница zero-trust. Ако су то проблеми које треба да решите, разговор је прешао у шири модел приступа.
Када проблем са приступом прерасте VPN
Притисак да се сазре обично се јавља постепено. У почетку је једној или две особе потребан даљински приступ. Тада извођачима треба приступ. Затим тим додаје СааС алате, приватне апликације, дељене административне панеле, финансијске системе, податке о клијентима и личне уређаје. У неком тренутку, давање широког приступа мрежи свима који се повежу преко VPN почиње да се осећа превише грубо.
Тада безбедност даљинског приступа постаје мање везана за тунел, а више на контролу.
Знакови да је вашој компанији можда потребна шира архитектура укључују:
- различитим улогама је потребан приступ различитим апликацијама или подацима;
- извођачи треба да досегну само један систем, а не целу мрежу;
- осетљивим ресурсима је потребно јаче одобрење, праћење или сегментација;
- запослени користе комбинацију управљаних и неуправљаних уређаја;
- СааС апликације и приватне апликације су део свакодневног рада;
- администраторским налозима је потребно строжије руковање од уобичајених корисничких налога;
- компанија почиње да се суочава са безбедносним прегледима купаца или питањима усклађености;
- приступ за решавање проблема постаје тежак јер политике живе на превише места.
У том окружењу више се не поставља питање „Да ли имамо VPN?“ Постаје „Можемо ли доносити одлуке о приступу на основу корисника, улоге, ресурса, уређаја и ризика?“
То је територија на којој SASE архитектура и zero-trust идеје постају корисне.
Шта SASE додаје одлуци
SASE није само бржи или скупљи VPN. То је образац архитектуре за приближавање мрежног повезивања и безбедносних контрола, често путем услуга које се испоручују у облаку.
Одобрени изворни материјал уоквирује SASE као начин комбиновања мрежних и безбедносних функција за дистрибуиране кориснике, удаљене локације и услуге у облаку. У пракси, то значи да се о SASE обично разговара када је компанији потребно више од шифроване путање. Потребна су му политика, инспекција, сегментација и централизовано управљање корисницима и ресурсима.
За малу компанију, најкориснији за понети није листа акронима предузећа. то је ово:
Ако сви који се повезују треба да досегну отприлике исте ствари, VPN може остати функционалан. Ако приступ треба да буде другачији за сваку улогу, апликацију, уређај и ниво ризика, SASE размишљање постаје релевантније.
То не значи да мала компанија треба да пожури са сложеним пројектом. SASE може захтевати планирање, операције, процену добављача, обуку корисника и стално управљање. Компанија без капацитета за управљање тим контролама може створити забуну брже него што ствара сигурност.
Бољи приступ је да се SASE третира као правац зрелости. Схватите шта је дизајниран да реши, а затим одлучите да ли ваши тренутни ризици приступа оправдавају додатну сложеност.
Где Zero Trust одговара
Нулто поверење се често помиње у близини SASE, али оно не би требало да преузме ову дискусију. За мале компаније, најпрактичнији део zero trust је прелазак са широког поверења на одлуке усмерене на ресурсе.
Уместо да питате: „Да ли је ова особа на мрежи?“ zero-trust приступ поставља прецизнија питања:
– Да ли приступ треба ограничити, прегледати или опозвати?
- Ко је корисник?
- До ког ресурса покушавају да дођу?
- Да ли њихова улога то захтева?
- Да ли је уређај прихватљив за овај ресурс?
- Да ли сада треба дозволити седницу?
То је срце zero trust даљинског приступа: приступ се не одобрава само зато што је неко повезан. Оцењује се око корисника, ресурса и контекста.
НИСТ-ове zero-trust смернице су овде посебно корисне јер уоквирују zero trust као архитектуру и путању миграције, а не као производ једним кликом. Мале компаније могу да користе тај начин размишљања без претварања да већ имају потпуно зрео програм предузећа.
Најмања привилегија је практични тест
Фраза приступа са најмањим привилегијама звучи технички, али идеја је једноставна: људи треба да добију минимални приступ који им је потребан за обављање свог посла, све док им је потребан.
Ово је често најјаснији начин да одлучите да ли је VPN довољан.
питај:
– Да ли знате који налози могу да дођу до осетљивих ресурса?
- Ако се члан тима повеже преко VPN, може ли да види више него што им је потребно?
- Да ли извођач може да приступи само једној апликацији за коју је ангажован?
- Да ли су финансије, администрација, изворни код или системи података о клијентима одвојени од обичног приступа?
- Може ли се приступ брзо променити када неко промени улогу или оде?
Ако је лако одговорити на та питања, а ваше окружење је мало, VPN би и даље могао бити добар. Ако та питања открију празнине, ваш модел даљинског приступа ће можда морати да сазре.
Оквир одлука за мала предузећа
Користите овај оквир пре него што изаберете правац.
1. Наведите ресурсе који су људима потребни
Немојте почети са алатима. Почните са ресурсима.
Запишите апликације, системе, датотеке, административне панеле, базе података и дељене услуге до којих људи морају да дођу на даљину. Одвојите свакодневне алате од осетљивих система. Једноставна VPN одлука постаје много јаснија када знате шта заправо стоји иза захтева за приступ.
2. Мапирајте кориснике на улоге
Компанији од пет особа можда није потребан сложен дизајн улога, али су јој и даље потребне основне границе. Власници, запослени, уговарачи, корисници финансија и технички администратори обично не би требало да имају исти домет.
Ако су улоге једноставне и стабилне, приступ VPN-based може бити довољан. Ако су улоге флуидне, привремене или веома различите, можда ће вам требати јаче контроле политике.
3. Проверите да ли приступ широкој мрежи ствара ризик који се може избећи
Традиционални VPN може бити веома користан, али широк приступ на нивоу мреже може бити превише широк за нека окружења. Ако повезани корисник може да дође до система који нису повезани са њиховим послом, то је проблем дизајна, а не само питање обуке корисника.
SASE и zero-trust модели покушавају да смање то имплицитно поверење фокусирањем на ресурсе и политику. Мале компаније не морају преко ноћи да копирају архитектуру предузећа, али треба да примете када широки приступ више не одговара пословању.
4. Погледајте контролу уређаја
Контрола уређаја мења одговор. Компанија са управљаним лаптопима, принудним ажурирањима и јасним власништвом има другачији профил ризика од компаније у којој запослени и извођачи користе личне уређаје.
Ако је поверење уређаја важно за ваше осетљиве апликације, основни VPN сам по себи можда неће одговорити на довољно питања.
5. Будите искрени у вези капацитета администратора
Сложене контроле захтевају пажњу. Политици су потребни власници. Изузецима је потребна ревизија. Корисницима је потребна подршка. Дневнике и упозорења треба неко да их прочита.
Ако нико нема времена да управља већом архитектуром, компанија би могла бити боље опслужена једноставним, добро разумљивим подешавањем док документује ризике и припрема се за следећу фазу.
6. Одвојите данашње потребе од следећег корака зрелости
Не морате да решавате сваки будући проблем приступа овог месеца. Мали тим може да користи VPN за тренутне потребе, а истовремено припрема инвентар чишћих приступа, мапу улога и листу осетљивих ресурса.
Та припрема чини каснији SASE или zero-trust пројекат мање хаотичним.
Практичан начин размишљања о безбедном даљинском приступу
Безбедан даљински приступ није једна категорија производа са једним трајним одговором. То је скуп избора о томе како људи долазе до радних ресурса изван канцеларије или мреже од поверења.
За малу компанију, разуман напредак може изгледати овако:
- Почните од потребе за приступом: коме шта треба, одакле и зашто.
- Користите VPN када је потребна једноставна шифрована повезаност или приватност за малу групу од поверења.
- Додајте јаснија правила за осетљиве ресурсе како тим расте.
- Пазите на знакове да широки приступ ствара ризик или трошкове подршке.
- Размотрите архитектуру SASE када идентитет, политика, контрола на нивоу апликације, инспекција и оперативна зрелост постану прави проблем.
Важан део је да избегнете куповину сложености пре него што будете могли да управљате њиме, а такође избегавате подешавање које људима даје већи приступ него што је потребно за њихов рад.
VPN вс SASE: Брзо поређење за мала предузећа
| Питање | VPN може одговарати када… | SASE архитектура може одговарати када… |
|---|---|---|
| Главни циљ | Потребна вам је шифрована конекција или приватна рута за уобичајене сценарије рада/путовања на даљину. | Потребна вам је централизована политика приступа међу корисницима, апликацијама, локацијама и нивоима ризика. |
| Величина тима | Тим је мали и потребе за приступом су сличне. | Тим расте, дистрибуира се или укључује извођаче и више улога. |
| Осетљивост ресурса | Неколико интерних ресурса је веома осетљиво или сегментирано. | Осетљиве апликације, системи администратора, подаци о клијентима или регулисани токови посла захтевају строжу контролу. |
| Приступни модел | Широки приступ је прихватљив за тренутни ниво ризика. | Корисници треба да досегну само одређене апликације или ресурсе. |
| Операције | Треба вам нешто разумљиво и лакше за управљање. | Имате капацитет да управљате смерницама, изузецима, надгледањем и корисничком подршком. |
| Пут зрелости | Сада решавате уски проблем повезивања/приватности. | Градите дугорочну архитектуру приступа. |
Уобичајене грешке које треба избегавати
Третирање SASE као само „VPN, али новије“
SASE није само новија ознака VPN. То је шира архитектура. Ако добављач или интерна дискусија звучи као директна замена један на један, успорите и прво дефинишите стварне проблеме приступа.
Очекујем да ће VPN обавити сваки безбедносни посао
VPN може бити користан, али од њега не треба тражити да замени политику идентитета, управљање уређајем, дозволе за апликације, надгледање, искључење особља или сегментацију осетљивих ресурса.
Куповина архитектуре пре него што компанија може њоме да управља
SASE програми захтевају власништво. Мала компанија не би требало да усвоји сложени модел приступа без знања ко ће управљати политикама, подржавати кориснике, прегледати изузетке и одржавати подешавање актуелним.
Занемаривање једноставног случаја употребе
Неким тимовима заиста треба једноставан VPN. Ако је тренутна потреба уска, површина приступа ограничена, а тим разуме подешавање, VPN и даље може бити практичан избор.
ФАК
Да ли је SASE увек бољи од VPN?
Не. SASE је шири од VPN, али шири не значи аутоматски и бољи за сваку малу компанију. Ако је ваша потреба једноставна шифрована конекција за малу групу, VPN може бити довољан. Ако ваше потребе за приступом укључују правила свјесна идентитета, контролу на нивоу апликације, вишеструке корисничке улоге, инспекцију и централизовану политику, архитектуру SASE можда вриједи процијенити.
Да ли zero trust значи не VPN?
Није нужно. Нулто поверење је приступ архитектуре фокусиран на смањење имплицитног поверења и доношење одлука о приступу око корисника, ресурса и контекста. Неке организације модернизују приступ у фазама. Корисно питање није да ли VPN постоји, већ да ли је приступ ограничен на оно што је заиста потребно сваком кориснику и улози.
Да ли мала компанија треба да почне са SASE?
Само ако проблем приступа то оправдава и компанија може њиме да управља. Многе мале компаније треба прво да документују кориснике, ресурсе, осетљиве системе, контролу уређаја и границе улога. Тај рад појашњава да ли је довољан једноставан VPN или је потребна шира архитектура.
Који је највећи ризик ослањања само на VPN?
Главни ризик није реч „VPN“. То је превише широк приступ. Ако повезивање преко VPN корисницима даје већи досег него што њихов рад захтева, компанији ће можда бити потребна боља сегментација, дозволе засноване на улогама и контроле на нивоу ресурса.
Шта треба да урадимо пре него што било шта променимо?
Направите инвентар приступа. Наведите кориснике, улоге, уређаје, апликације, осетљиве ресурсе и тренутне путање за даљински приступ. Затим одлучите да ли је проблем једноставно повезивање или шири проблем контроле приступа.
Закључак
Одлука о впн вс сасе је заиста одлука зрелости.
Користите VPN када је компанији потребна директна шифрована веза за уски случај коришћења којим се може управљати. Почните да размишљате о SASE када је компанији потребна политика свесна идентитета, контрола на нивоу апликације, безбедносна инспекција и организованији начин управљања приступом међу корисницима, уређајима и ресурсима.
За мале компаније, најбољи одговор је обично онај који одговара тренутном ризику и способности тима да њиме управља. Нека подешавање буде једноставно када је проблем једноставан. Планирајте ширу архитектуру када даљински приступ постане проблем политике, ресурса и операција.