Alors que les entreprises adoptent de plus en plus des architectures cloud, elles cherchent des moyens de renforcer la sécurité tout en réduisant la complexité et les coûts d’exploitation. Et bien sûr, le passage au travail à distance – qui accroît le besoin de cloud hybride et de Software as a Service – ne fait qu’accélérer la nécessité de répondre à ces exigences.
Toutes ces exigences peuvent être prises en charge par une technologie émergente qui occupe une place importante dans le cycle actuel de l’engouement pour la sécurité des entreprises : Secure Access Service Edge, ou SASE. Les avantages sont remarquables : SASE est une architecture qui associe des concepts réseau comme le VPN et le SD-WAN, ainsi que des concepts de sécurité comme le Zero Trust (un autre concept séduisant, mais souvent présenté de manière exagérément enthousiaste) et l’accès contextuel.
Mais à ce stade, SASE représente davantage un objectif ou un concept qu’un produit pour la plupart des organisations. Néanmoins, presque tous les grands fournisseurs se sont emparés de ce concept (notamment Cisco, Palo Alto Networks, Zscaler, Akamai, McAfee, etc.) et ont présenté nombre de leurs composants comme essentiels à la mise en œuvre de SASE.
Mais aussi séduisant que soit le concept, les entreprises doivent en pratique surmonter de nombreux obstacles pour transformer leurs ambitions en matière de SASE en réalité.
Les défis du déploiement de SASE
En termes généraux, SASE consiste à intégrer les services réseau aux services de sécurité afin de sécuriser pleinement l’accès des utilisateurs, le SaaS et les fonctions multicloud. Cela inclut des fonctionnalités inhérentes aux déploiements SDWAN, comme la résilience des chemins et la redondance. La solution propose également le routage des applications, la visibilité et la génération de rapports, des fonctionnalités définies par logiciel propres à chaque fournisseur, ainsi que le VPN.
Le SD-WAN, qui contribue à virtualiser les réseaux et leur fonctionnement, est largement déployé, mais il exige que les entreprises remplacent leurs anciens commutateurs et routeurs monofonction par de nouveaux équipements. Cette virtualisation des réseaux est en cours depuis plusieurs années, et la majorité des entreprises ont virtualisé la plupart de leurs réseaux, ou au moins une part importante de ceux-ci.
Il s’agit d’une étape critique, car SASE nécessite un réseau virtualisé pour être mis en œuvre. En outre, les réseaux de cloud public sont tous virtualisés : les grands utilisateurs de ces services disposent donc d’un avantage intégré.
La partie la plus difficile de la mise en œuvre de SASE réside dans la nécessité de disposer d’une architecture de sécurité pouvant être entièrement intégrée et gérée, à l’instar des réseaux définis par logiciel. Or, la majorité des entreprises utilisent actuellement un assemblage disparate de produits de sécurité qui sont presque toujours autonomes.
En fait, certaines organisations exécutent des dizaines, voire des centaines, d’applications de sécurité différentes, depuis leurs centres de données ou leurs instances cloud jusqu’à leurs réseaux, leurs terminaux matériels et leurs applications individuelles. Même l’omniprésent VPN nécessaire pour établir des connexions sécurisées sur les réseaux peut ne pas être compatible avec tous les appareils et serveurs de l’organisation. Et avec le nombre croissant d’options réseau disponibles (notamment la 5G, le WiFi 6 et le haut débit), cela pose également des problèmes de compatibilité spécifiques.
SASE nécessite une méthode uniforme de gestion des politiques, d’accès sécurisé, de protection contre les menaces et de gestion des appareils pour être pleinement mis en œuvre. Et avec autant de composants de sécurité en place qui, généralement, s’intègrent mal entre eux, la tâche est considérable.
Le dernier obstacle à surmonter est d’ordre organisationnel. Dans la plupart des entreprises, les équipes chargées des opérations réseau et celles chargées de la sécurité sont distinctes et ne sont pas nécessairement en contact étroit. Pour que SASE soit pleinement mis en œuvre, les opérations réseau et les opérations de sécurité doivent être sur la même longueur d’onde et collaborer. Sans cette interaction, la mise en œuvre de SASE est impossible.
La mise en œuvre de SASE nécessite une intégration majeure
Contrairement à ce que la promotion de leurs produits par de nombreux fournisseurs pourrait laisser croire, la mise en œuvre de SASE constitue en réalité un défi d’intégration majeur. Et de nombreuses petites organisations ne disposent pas des ressources nécessaires pour y parvenir, même si elles possèdent déjà certains composants (notamment SD-WAN, passerelles d’accès au cloud, etc.).
Même les grandes entreprises auront du mal à s’assurer que l’ensemble de leurs outils réseau et de sécurité ainsi que leurs produits de gestion du cloud puissent partager des informations et être gérés via une interface unique. Il est possible de mettre en œuvre SASE sans plan de contrôle universel ni console offrant une vue unifiée, mais le coût d’une telle solution est bien plus élevé en termes de compétences, de ressources humaines et de temps consacré, par rapport à une interface de gestion unique. Cela pose également problème, car l’absence de visibilité liée à la gestion manuelle de systèmes incompatibles favorise l’apparition de problèmes.
Pour de nombreuses entreprises, la meilleure voie vers SASE consiste à trouver un intégrateur de systèmes capable non seulement d’intégrer les outils nécessaires, mais aussi de gérer les opérations quotidiennes de leur architecture SASE. Toutefois, les entreprises doivent garder à l’esprit que SASE est une « cible mouvante » : rares sont celles qui disposent de tous les composants nécessaires, et même celles qui les possèdent devront probablement faire face, au fil du temps, à des mises à niveau et à des changements d’infrastructure, à mesure que les fonctionnalités gagnent en maturité.
Les opérateurs de réseau (notamment Verizon) ont créé des offres SASE capables de fournir le « SASE as a Service » en complément de leurs activités de connectivité et de services de sécurité. Les entreprises devront néanmoins gérer cette relation et mobiliser des ressources pour s’assurer que les dernières mises à jour du réseau et de la sécurité sont pleinement déployées à mesure que les besoins métier et l’infrastructure évoluent.
En outre, les fournisseurs de services auront leur propre réseau de partenaires privilégiés, qui peuvent ne pas être compatibles avec les produits des fournisseurs déjà déployés dans l’entreprise. Cette voie peut néanmoins être avantageuse, car ces opérateurs peuvent à la fois tirer parti de leur capacité à influencer les applications des fournisseurs et de leur expérience acquise dans la mise en œuvre efficace de SASE.
Une consolidation du marché est nécessaire avant la maturité de SASE
Le concept de SASE est tout à fait pertinent, car il peut améliorer considérablement le niveau de sécurité des organisations, en particulier dans le monde largement dominé par le cloud dans lequel nous évoluons aujourd’hui. Mais parvenir à concrétiser SASE n’est pas aussi simple que le laissent entendre les discours enthousiastes de nombreux fournisseurs.
Nous prévoyons en effet qu’il faudra au moins 3 à 5 ans avant que le marché du SASE se stabilise et permette de déterminer à quoi ressemble réellement l’architecture et quels fournisseurs seront à l’avant-garde (la consolidation du marché éliminant entre-temps de nombreux acteurs).
Les entreprises devraient sans aucun doute évaluer l’architecture SASE comme un moyen de renforcer leur sécurité, mais elles doivent également comprendre que les produits actuels ne seront peut-être pas ceux qui seront finalement déployés à l’avenir et qu’il faudra donc privilégier la souplesse de déploiement.