Современная архитектура предприятия сталкивается с критическим противоречием: проектированием развертывания Secure Access Service Edge (SASE), при котором цифровой суверенитет, операционная устойчивость и глобальная кибербезопасность воспринимаются как принципиально взаимоисключающие.
Чтобы решить эту проблему, нам сначала нужно взглянуть на то, чего на самом деле требует современный SASE. Это не просто банальная конвергенция облачной безопасности и SD-WAN. Скорее, Prisma SASE объединяет сетевые технологии и безопасность в облачную нативную архитектуру, которая обеспечивает непрерывный доступ на основе принципа Zero Trust, объединяя непрерывную проверку доверия, проверку безопасности и защиту данных для любого пользователя, устройства или филиала, получающего доступ к приложениям в центрах обработки данных, облаках и SaaS. Основанная на надежной платформе унифицированной безопасности данных и среды выполнения, а также на отказоустойчивой круглосуточной инфраструктуре, она развивает эту архитектуру для обеспечения безопасности будущего труда. Она защищает с помощью ИИ, устраняя каждую уязвимость в безопасности до того, как злоумышленники успеют ее использовать, обеспечивает безопасность ИИ за счет внедрения видимости и управления в GenAI и агентские рабочие процессы, а также работает с помощью ИИ для автоматизации управления жизненным циклом и снижения общей стоимости владения.
Однако при сопоставлении этой передовой архитектуры со строгими требованиями соответствия нормативным требованиям, защиты данных и инфраструктуры европейских правительств, здравоохранения и критической инфраструктуры возникает «трилемма»:
- Ловушка цифрового суверенитета против киберразведки
Регулируемые организации требуют обработки данных в пределах страны и нулевой утечки данных через границы. Тем не менее, защита от атак нулевого дня требует анализа телеметрии в глобальном масштабе. Некоторые вендоры пытаются решить эту проблему, просто размещая свое глобальное программное обеспечение в дата-центре единого регионального облачного провайдера. Это часто вынуждает идти на компромисс: либо телеметрия по-прежнему отправляется за рубеж, нарушая истинный цифровой суверенитет, либо развертывание полностью изолируется, что приводит к созданию локализованного изолированного режима безопасности, слепого по отношению к инфраструктуре глобальных злоумышленников.
- Дилемма устойчивости против жестких юрисдикционных стен
Для критической инфраструктуры сбой сети является экзистенциальной угрозой. Недавние попытки рынка решить проблему суверенитета включают партнерство вендоров безопасности с единым региональным провайдером облачной инфраструктуры для локального размещения их сервисов. Хотя это может поставить галочку в графе резидентности данных, это создает огромную единую точку отказа. Если в этом конкретном местном облаке произойдет сбой или проблема с маршрутизацией, корпоративная сеть отключится. Организации вынуждены жертвовать архитектурной устойчивостью в пользу соблюдения требований юрисдикции.
- Криптографический контроль против производительности сети
Глубокий анализ пакетов требует расшифровки TLS. Требование использования управляемых клиентом ключей (CMK) с помощью локальных аппаратных модулей безопасности (HSM) часто приводит к «закручиванию» трафика (hairpinning), создавая задержки, которые ухудшают работу конечного пользователя.
Решение трилеммы: суверенный Prisma SASE от Palo Alto Networks
В течение многих лет организации сталкивались с неразрешимым компромиссом: глобальная защита мирового уровня, строгое соблюдение местных нормативных требований или слепленные на скорую руку партнерства с инфраструктурой одного облака. После запуска Sovereign Cortex Palo Alto Networks (ссылка на блог) представляет Sovereign Prisma SASE, который расширяет то же комплексное решение SASE за счет специфических средств контроля суверенитета. Разработанный для определенных организаций с жестким регулированием, которым требуются средства контроля цифрового суверенитета ЕС, он сохраняет те же функции и возможности, что и Prisma SASE Commercial.
Вместо того чтобы прикручивать платформу безопасности к единому стороннему региональному облаку, Sovereign Prisma SASE позволяет предприятиям использовать специально созданные архитектурные инновации:
Многооблачный подход к истинной устойчивости. Чтобы разрешить конфликт между отказоустойчивостью и юрисдикцией без создания единых точек отказа, Sovereign Prisma SASE построен на базе высокоустойчивой многооблачной магистрали. Вместо того чтобы полагаться на одного местного облачного провайдера, все компоненты облака используют решения Sovereign CSP. Эта многооблачная избыточность гарантирует, что в случае сбоя одной базовой инфраструктуры трафик динамически перенаправляется на альтернативного провайдера в пределах той же юрисдикции, сохраняя как операционную доступность, так и строгую резидентность данных.
Передовая гибридная архитектура. Полная зависимость от регионального публичного облака ради цифрового суверенитета также игнорирует реальность высокочувствительных сред. Sovereign Prisma SASE предлагает глубоко интегрированную гибридную архитектуру. Организации также могут развернуть частное расположение SASE (SASE Private Location) для обработки конфиденциального трафика и хранения ключей шифрования для основных OT, историй болезней или государственных баз данных. Что особенно важно, эта локализованная обработка безопасно передает анонимизированную телеметрию в глобальные озера угроз, гарантируя, что строгое требование о резидентности данных не отменяет предотвращение угроз со скоростью работы машин.
Бескомпромиссный суверенный контроль. Наряду с нашей безопасностью на базе ИИ, многооблачной устойчивостью и гибридной гибкостью, Sovereign Prisma SASE соответствует местным нормативным требованиям и обеспечивает строгие технические элементы управления, требуемые европейскими советами директоров:
- Резидентность и доступ к данным в ЕС: Устанавливает границу данных в регионе ЕС. Административный доступ ограничен только административным персоналом из ЕС, а решение выполняет прерывание и проверку (break and inspect) в пределах юрисдикции.
- Шифрование и контроль ключей: Предоставляет организациям модель «Hold Your Own Key» (контроль над собственными ключами).
- Прозрачность провайдера: Предоставляет легкодоступные журналы аудита, включающие данные о геолокации пользователей для групп комплаенса.
- Локальные операции: Все операции опираются на базирующиеся в ЕС команды инженеров по надежности сайта (SRE) и поддержки.
Суть дела
Sovereign Prisma SASE устраняет разрыв между соблюдением нормативных требований и реальной защитой. Цифровой суверенитет без глобальной киберразведки — это изолированная уязвимость, а упор на единого регионального облачного провайдера ради устойчивости — это сбой, который только ждет своего часа.
Будущее корпоративной архитектуры заключается не в том, чтобы мириться с разрозненными инфраструктурными партнерствами, а в принятии единой, облачной, созданной на базе ИИ платформы SASE, разработанной с нуля для одновременного обеспечения безопасности, устойчивости и суверенитета.
Призыв к действию: Чтобы узнать больше, пожалуйста, зарегистрируйтесь на живой вебинар «Навигация по трилемме SASE: цифровой суверенитет, устойчивость и глобальная безопасность» 3 декабря вместе со мной и Натали Баррера (Nathalie Barrera), директором, помощником генерального юрисконсульта по вопросам политики и цифрового доверия в Palo Alto Networks.
Заявления о перспективах
Этот блог содержит заявления прогнозного характера, которые связаны с рисками, неопределенностями и допущениями, включая, помимо прочего, заявления относительно преимуществ, влияния, эффективности или потенциальных преимуществ, влияния или эффективности наших продуктов и технологий, а также будущих продуктов и технологий. Эти заявления прогнозного характера не являются гарантиями будущих результатов, и существует значительное количество факторов, которые могут привести к тому, что фактические результаты будут существенно отличаться от заявленных в этом блоге, включая, помимо прочего: события и изменения в общей рыночной, политической, экономической и деловой обстановке; риски, связанные с управлением нашим ростом; риски, связанные с новыми продуктами, а также предложениями подписки и поддержки; сдвиги в приоритетах или задержки в разработке или выпуске новых предложений, либо неспособность своевременно разработать, выпустить и добиться признания рынком новых продуктов и подписок, а также существующих продуктов и предложений подписки и поддержки; крах наших бизнес-стратегий; стремительно развивающиеся технологические тенденции на рынке продуктов безопасности, а также предложений подписки и поддержки; решения наших клиентов о покупке и продолжительность циклов продаж; нашу конкуренцию; нашу способность привлекать и удерживать новых клиентов; а также нашу способность приобретать и интегрировать другие компании, продукты или технологии. Мы определяем некоторые важные риски и неопределенности, которые могут повлиять на наши результаты и эффективность, в нашем последнем Годовом отчете по форме 10-K, нашем последнем Квартальном отчете по форме 10-Q и других наших документах, время от времени подаваемых в Комиссию по ценным бумагам и биржам США (SEC), каждый из которых доступен на нашем веб-сайте investors.paloaltonetworks.com и на веб-сайте SEC по адресу www.sec.gov. Все заявления прогнозного характера в этом блоге основаны на информации, доступной нам на дату настоящего документа, и мы не берем на себя никаких обязательств по обновлению таких заявлений с целью отражения событий или обстоятельств, возникающих после даты их принятия.
