La lente adoption du modèle SASE

L'adoption de l'edge computing et du cloud au cours de la dernière décennie, plus la récente montée en puissance du travail à distance, a sérieusement remis en question les architectures réseau et les modèles de sécurité traditionnels. Les grandes entreprises, qui ont accès à des budgets IT plus importants et à des employés qualifiés, ont été plus à même de s'adapter à cette nouvelle réalité. Mais les petites et moyennes entreprises ont du mal à suivre le rythme des technologies de contrôle d'accès, de surveillance et de détection des menaces dont elles auraient besoin pour protéger leurs actifs sur site et distants. Pour répondre à cette tendance, les fournisseurs de sécurité et les fournisseurs de cloud et de réseaux, ont lancé de nouvelles solutions SDN définies par logiciel et délivrées par le cloud, combinant du réseau en tant que service avec une fonctionnalité de sécurité du réseau en tant que service. L'objectif de ce concept, que Gartner a baptisé « Secure Access Service Edge » (SASE), est de permettre aux entreprises de fournir facilement un accès sécurisé à toutes leurs applications, qu'elles soient hébergées dans le cloud ou localement, pour n'importe quel utilisateur, à partir de n'importe quel appareil et depuis n'importe quel endroit, sans avoir à faire passer le trafic par des appareils de sécurité déployés localement pour inspection et acheminement.

Selon un récent rapport de Gartner, au cours de l'année écoulée, l'intérêt pour ce modèle de sécurité du réseau, construit autour des principes du réseau de confiance zéro, a explosé. D'ici à 2024, le cabinet d'analystes prévoit que 30 % des entreprises adopteront les fonctions de passerelle web sécurisée (Secure Web Gateway, SWG), de courtier de sécurité d'accès au cloud (Cloud Access Security Broker, CASB), d'accès réseau à confiance zéro (Zero Trust Network Access, ZTNA) et de pare-feu de succursale en tant que service (FireWall-as-a-Service, FWaaS) du même fournisseur. D'ici à 2025, plus de 60 % des entreprises disposeront de stratégies et de calendriers explicites pour l'adoption du SASE, englobant l'accès des utilisateurs, des succursales et de la périphérie.

Facteurs et défis liés à l'adoption de SASE

La réduction de la complexité de la gestion et des coûts est l'un des principaux motifs d'adoption des services de sécurité du réseau basés sur le cloud, car les équipes IT n'auront plus à gérer différents boîtiers matériels de différents fournisseurs pour obtenir différentes fonctions de sécurité. L'offre SASE d'un fournisseur est censée prendre en charge plusieurs fonctions de sécurité et sera gérée à partir de la même console. Le concept n’est pas nouveau : c'est ce que font, dans une certaine mesure déjà, les appliances de gestion unifiée des menaces (UTM). Cependant, ce type de service dans le cloud pourrait résoudre les problèmes d'évolutivité et de performance engendrés parfois par les solutions de type UTM, car il est facile de faire évoluer les services dans le cloud. Cependant, le fait que toutes les solutions de sécurité soient fournies par le même fournisseur est un inconvénient, car il ne garantit pas à l’entreprise d’obtenir la meilleure protection possible. En effet, aucun fournisseur ne peut prétendre offrir les meilleures solutions pour couvrir tous les aspects de la sécurité réseau dont une entreprise a besoin.

Un autre facteur d'adoption important, c’est que, avec l'arrivée des réseaux étendus définis par logiciel (SD-WAN) et des réseaux en tant que service, les offres SASE n’obligent plus les employés et les sous-traitants distants à faire transiter leur trafic par la succursale ou la passerelle VPN existante d'une entreprise pour lui appliquer les fonctions de sécurité des boîtiers matériels existants. Au lieu de cela, avec SASE, les travailleurs distants peuvent se connecter directement au réseau distribué à l'échelle mondiale d'un fournisseur, d’autant qu’il est conçu pour assurer un routage performant et offrir une faible latence.

Des solutions en construction

Pour l'instant, c’est la maturité du marché SASE qui représente un obstacle à l'adoption. Les fournisseurs qui élaborent des solutions SASE viennent d'horizons différents ou peuvent se spécialiser dans un seul domaine de la sécurité. Certains sont des fournisseurs de sécurité qui développent actuellement leurs capacités SD-WAN et cloud, tandis que d'autres sont des fournisseurs de réseaux ou de réseaux de diffusion de contenu (CDN) qui développent leurs capacités de sécurité. Même parmi les fournisseurs de sécurité, certains peuvent, par exemple, disposer d'une technologie SWG performante, mais continuer à développer la prévention des pertes de données (Data Loss Protection, DLP), ou encore être forts sur le DLP et travailler à l'ajout d'une autre capacité de sécurité. Cette situation devrait s'améliorer et s'accélérer grâce à des partenariats et, à terme, grâce à des acquisitions et à une consolidation du marché.

« Sans aucun doute, certains fournisseurs disposent d’une offre plus riche que d'autres, et certains sont plus matures dans leurs capacités que d'autres, mais aujourd’hui, plusieurs fournisseurs offrent presque toutes les capacités dont nous parlons, et certains sont très, très proches », a déclaré Neil MacDonald, analyste chez Gartner. « Ce que je conseillerais à une entreprise, c’est de savoir quelles sont ses priorités, si le plus important pour elle ce sont les données sensibles, la passerelle sécurisée, le SD-WAN des filiales, et je lui demanderais qui sont ses fournisseurs actuels ? Ensuite, je chercherais à savoir autour de quels fournisseurs il est le plus judicieux d’engager sa consolidation, avec, à terme, l'objectif d’en conserver un ou deux ».

Les grandes entreprises, plus lentes à adopter SASE

Les longs cycles de rafraîchissement du matériel et les contrats de logiciels existants sont un des autres obstacles majeurs à l'adoption du SASE par de nombreuses entreprises. Les grandes entreprises ont besoin d’amortir leurs investissements existants en matériel ou ont déjà engagé des projets de transformation numérique sur le long terme. De nombreuses entreprises ont déjà formé ou embauché du personnel ayant les compétences requises pour gérer ou utiliser les solutions de sécurité existantes de certains fournisseurs ou disposent d'équipes dédiées qui ne s'occupent que de l’aspect opérationnel du réseau, un volet qui sera considérablement réduit avec l'adoption de SASE. La formation et la réaffectation de ces employés à des fonctions plus axés sur la création de politiques prendront du temps.

« L'adoption sera plus rapide dans les entreprises de taille moyenne, car leur approche de la sécurité et du réseau n’est pas cloisonnée », a aussi expliqué M. MacDonald. « Peut-être que ces entreprises n'ont même pas d'équipe de sécurité dédiée et qu’elles ont tendance à privilégier des solutions plus simples et plus faciles à consommer sous forme de services basés sur le cloud. C’est aussi la tendance dans les grandes entreprises. Cette adoption prendra plus de temps, mais elle se fera », a-t-il ajouté. Christopher Rodriguez, analyste chez IDC, est d'accord pour dire que les PME devraient s’intéresser à de telles capacités de sécurité fournies par le cloud et qu'elles pourraient être des cibles faciles pour les fournisseurs de SASE qui mettent en place ce type de services. Mais, gagner l'adhésion des grandes entreprises pourrait être plus compliqué. Certaines entreprises ne voudront peut-être pas être privées de la possibilité de choisir des solutions de pointe et estimeront peut-être que se fier à un seul fournisseur pour obtenir toutes les capacités de sécurité représente un risque trop important. Du côté des réseaux, elles pourraient ne pas se satisfaire des capacités actuelles offertes par les fournisseurs de SASE. « Traditionnellement, certaines fonctions de sécurité ont été difficiles à transférer vers le cloud, comme les pare-feux de réseau, et pour des raisons de performance et autres, ce transfert pourrait demander encore cinq ans ou plus », a-t-il ajouté.

La sécurité migre aussi sur le cloud

Même s’il est difficile de savoir combien de fonctions de sécurité réseau existantes seront finalement basées sur le cloud ou à quel moment, Christopher Rodriguez convient que c'est la direction vers laquelle les choses se dirigent parce que le cloud est plus élastique, plus évolutif et peut permettre de réduire les coûts. « Dès que l’on adopte le cloud, la tendance est à la convergence, car c'est une question de performance. Quand on passe au cloud, on ne veut pas d'une chaîne de 20 services différents parce que chacun d'eux se trouve inévitablement à 150 millisecondes ou à 100 millisecondes [...] L’adoption du SASE n’est pas pour demain, mais elle va s'améliorer. Je ne dirai pas que tout cela n’est pas réel ».