Qué reemplaza SASE y qué no

SASE (Secure Access Service Edge) es un modelo que reúne en un servicio entregado desde la nube dos familias de funciones: las de red, como la conectividad entre sucursales, y las de seguridad. SSE (Security Service Edge) es solo la mitad de seguridad: pasarela web segura, control de aplicaciones en la nube y acceso a aplicaciones sin confianza implícita, y a veces un cortafuegos como servicio.

Esa diferencia importa al leer una propuesta: quien vende «SASE» puede estar ofreciendo solo la parte de seguridad, y la conectividad entre sitios seguiría en otro contrato.

Cada función clásica tiene un equivalente en el servicio: el proxy web se corresponde con la pasarela web segura, la VPN de acceso remoto con el acceso a aplicaciones por identidad, y el cortafuegos de salida con el cortafuegos como servicio. El cambio de fondo es de lugar: la política deja de vivir en un equipo de cada sede y vive en un servicio que el usuario alcanza esté donde esté.

Lo que se traslada es la política de salida hacia internet y hacia aplicaciones. No se traslada, por sí solo, lo que ocurre dentro de una red que nunca sale a internet.

Consulta funciones_actuales y sitios. Mira, en la columna servicio_propuesto, qué funciones dicen que nada las reemplaza y por qué. Una de ellas filtra tráfico que no sale nunca de su sitio, así que ninguna pasarela en la nube lo vería pasar.

La columna cubre dice si el servicio propuesto sustituye la función por completo, en parte o nada. Una función sin sustituto no desaparece: sigue haciéndose con el equipo de siempre, y su costo y su mantenimiento permanecen.

El hallazgo no es «la propuesta está mal»: es que la propuesta cubre bien la salida a internet y el acceso remoto, cubre en parte el cortafuegos de la sede y deja sin cubrir lo local. La recomendación honesta distingue lo que se retira de lo que se conserva.