SASE : comment l'architecture cloud redéfinit la sécurité des accès en entreprise

Face à l'explosion du travail hybride et du cloud, les architectures de sécurité traditionnelles montrent leurs limites. Florent Embarek (Versa Networks) et Yann Bruneau (Squad) décryptent le SASE, ses freins à l'adoption  (gouvernance, contrats, souveraineté) et les conditions d'un déploiement réussi.

La montée en puissance des nouvelles technologies et de la connectivité génèrent des défis de taille pour les organisations. Le constat est sans appel : les architectures numériques construites il y a dix ans pour répondre aux besoins des organisations ne tiennent plus la route. Les connexions prennent toujours plus de temps et présentent de plus en plus d’angles morts du point de vue de la sécurité. Pour résoudre ce problème, une innovation a vu le jour : le SASE.

À lire aussi : Identités non-humaines : pourquoi elles deviennent le nouveau défi de la cybersécurité

Le SASE (Secure Access Service Edge, ou « service d'accès sécurisé en périphérie ») est un terme inventé, en 2019, par des analystes de la société Gartner, et qui a gagné en popularité au cours des cinq dernières années. Le SASE repose sur une architecture cloud native qui fusionne le réseau via le SD-WAN (Software-Defined Wide Area Network, ou « réseau étendu à définition logicielle ») et la sécurité sur une même plateforme avec une approche zero trust. Au lieu de faire transiter les données échangées entre deux appareils par un data center, ces dernières passent par le cloud, simplifiant les transferts de manière considérable.
‍

Souvent décrit comme la convergence entre la connectivité et la sécurité, le SASE présente des avantages clairs, mais également des freins qui peuvent limiter son adoption par les organisations. Florent Embarek et Yann Bruneau aborde ces aspects, avant de s’intéresser aux enjeux liés à l’évolution de cette solution et de son utilisation.
‍

Le SASE : une solution efficace et sécurisante
‍

Le SASE répond aux problématiques liées à un monde de plus en plus connecté. Aujourd’hui, près de 40% des salariés travaillent sur un modèle hybride, parfois sur leur lieu de travail, parfois depuis leur domicile. Face à une intensification de cette hybridité au travail et de l’utilisation du cloud, les architectures de sécurité traditionnelles atteignent leurs limites. Elles exigent, en effet, que le trafic passe par des data centers centraux, ce qui ralentit le débit et présente des risques d’un point de vue sécuritaire. Dans son Global Network Report de 2022-2023, NTT Data, une entreprise japonaise spécialisée dans l’ingénierie informatique, estimait que 95% des organisations considéraient que l’hybridité accrue du travail nécessitait des investissements pour garantir la sécurité et la protection des données.
‍

Le SASE a émergé comme une solution à ces problèmes. Florent Embarek explique que ce dernier « est arrivé un peu comme une réponse qui s’est imposée à beaucoup de personnes du fait de la complexité de connecter les gens. Lorsqu’il y a eu la pandémie, toutes les sociétés se sont rendues compte qu’il fallait connecter et que c’était extrêmement complexe avec des multitudes de technologies, certaines qui sont un peu arrivées aux limites. Donc il a fallu simplifier, il a fallu optimiser, et le SASE s’est imposé immédiatement comme une réponse ».

À lire aussi : Nvidia DGX Spark : la stratégie pour mettre fin à la dépendance au cloud IA

Yann Bruneau souligne, quant à lui, que le SASE vise à « homogénéiser la manière dont on vient sécuriser le parcours de l’utilisateur et également la manière dont il consomme ses applications et sa donnée ». Il ajoute qu’un des objectifs du service est de « faciliter l’exploitation, faciliter l’utilisation de la solution, d’augmenter la visibilité des équipes sur l’utilisation réseau, l’utilisation applicative, en plus d’augmenter le niveau de sécurité et l’expérience des utilisateurs ».
‍

Une adoption inévitable ?
‍

Depuis 2019 et particulièrement depuis la pandémie, le SASE a gagné en popularité auprès des organisations. D’après Gartner, la part des entreprises ayant adopté des fonctions de SASE serait passée de 5 à 30% entre 2020 et 2024, et celle des compagnies ayant développé une stratégie explicite relative au SASE serait passée de 10 à 60% sur cette même période. Certaines entreprises demeurent néanmoins réticentes à l’idée d’intégrer du SASE à leurs systèmes. Florent Embarek le reconnaît, « le SASE, c’est contraignant, c’est extrêmement structurant comme projet ».

Plusieurs éléments peuvent constituer des freins à l’adoption du SASE. Tout d’abord, les problématiques liées à la gouvernance. Yann Bruneau confirme qu’un des principaux freins à la migration des organisations vers le SASE, « c’est probablement les aspects de gouvernance, c’est-à-dire qui est responsable du projet SASE, qui en termes d’équipe doit gérer. On est quand même à la croisée des chemins entre le réseau et la sécurité, et on sait que souvent dans les grandes entreprises, le réseau et la sécurité ne sont pas assurés par les mêmes équipes, et qu’il peut y avoir des problèmes de communication entre ces deux équipes ». 
‍

Il peut également y avoir des freins financiers en raison du statut comptable que représentent les dépenses liées au SASE : au lieu d’être amorties sur plusieurs années, elles vont avoir tendance à être directement déduites des revenus de l’organisation, ce qui présente des implications fortes en matière de stratégie d’investissement.

À lire aussi : Mastercard, Recorded Future et la cybercriminalité financière : comprendre la menace pour mieux se défendre

Florent Embarek cite également les restrictions contractuelles qui peuvent limiter jusqu’où les organisations peuvent aller en termes d’adoption du SASE. Il rappelle cependant que le SASE recouvre de nombreuses fonctionnalités et que certaines organisations n’ont peut-être pas encore adopté le SASE à 100%, mais qu’elles ont souvent déjà adopté certaines de ses composantes. Selon lui, « si on fait du SD-WAN et du ZTNA [Zero Trust Network Access, ou “accès réseau confiance zéro”], des gens ne vont pas considérer qu’ils font un pas dans le SASE, alors qu’on est dans une de ses composantes. Donc l’idée va être de dire : qui a vraiment basculé ? Y’a des gens qui vont dire qu’ils n’ont pas encore atteint l’objectif qui serait d’arriver à plus de briques fonctionnelles, mais la réalité c’est qu’ils ont déjà mis un pied dedans ».
‍

Les organisations ne sont pas nécessairement obligées d’adopter des fonctionnalités SASE, mais l’émergence de nouvelles technologies toujours plus puissantes et la connectivité accrue des sociétés rendent un futur sûr difficile à imaginer pour les entreprises. Yann Bruneau l’explique « aujourd’hui, je ne vois pas tellement de sociétés qui peuvent se permettre de se dire que son étude de risque ne va pas dégager des problématiques liées à la consommation des applications cloud, liées à la confidentialité des données, liées à l’accès aux données ». 
‍

Des questionnements autour du déploiement et de la souveraineté
‍

L’adoption du SASE ne doit pas être prise pour acquis pour autant. Il s’agit d’un processus qui s’inscrit sur le long terme dans la stratégie des organisations et qui nécessite plus ou moins de temps selon la taille des sociétés. Yann Bruneau le confirme, « déployer du SD-WAN sur 4 000 sites dans le monde, ça peut être un vrai challenge […] Ce sont des projets qui sont longs, qui vont durer des années sur le déploiement et la mise en place ». Il rappelle également la nature graduelle de l’adoption du SASE. Selon lui, « il ne faut pas avoir une cible trop ambitieuse tout de suite. Il faut savoir le planifier dans le temps et probablement le faire par étapes ». Florent Embarek ajoute que selon les besoins des organisations, l’accompagnement fourni par des entreprises comme Versa Networks ou Squad peut aller au-delà du déploiement et aussi concerner l’exploitation du SASE avec un modèle de co-management. Au final, il s’agit avant tout de s’assurer que le SASE qui a vocation à simplifier la vie des entreprises atteint réellement son objectif et ne complexifie pas davantage l’environnement professionnel.

Le SASE pose également des questionnements du point de vue de la souveraineté, la plupart des fonctionnalités SASE reposant directement ou indirectement sur des solutions et/ou infrastructures non-européennes. Le constant de Yann Bruneau est clair : « il n’y a pas de réponse simple à la question de la souveraineté ». Il est possible de chercher à ce que certaines briques répondent à un maximum de critères en termes de souveraineté, mais il est pour l’instant difficile d’appliquer cela à l’ensemble du SASE. 
‍

Florent Embarek, quant à lui, explique qu’il est très compliqué et pas forcément avantageux pour les fournisseurs de SASE de contrôler l'entièreté de leurs infrastructures car cela peut demander d’importants investissements pour des gains limités selon l’organisation concernée. Une entité traitant du confidentiel défense va, en effet, être prête à dédier davantage de ressources pour garantir la confidentialité de ses informations car son activité en dépend. Une plus petite entreprise ne percevra pas les coûts et gains potentiels de la même manière. Yann Bruneau le rappelle, « il faut aussi qu’on puisse faire avec ce qu’on a à disposition. Le temps que des solutions européennes souveraines émergent peut-être, il faut quand même qu’on continue à fonctionner. »

À lire aussi : Données personnelles et IA : comment vos gestes quotidiens ont entraîné l'intelligence artificielle à votre insu

Le SASE constitue une innovation à haut potentiel révolutionnaire pour les organisations, mais il ne représente pas pour autant une solution miracle permettant de répondre à toutes les problématiques des systèmes d’information. Le SASE a une utilité indéniable, mais pour être efficace, il doit être associé à d’autres solutions. Yann Bruneau compare le SASE à la sécurité routière : « ça vient sécuriser la route avec des panneaux pour respecter les stops, ça vous dit à quelle vitesse il faut rouler, par contre ça ne vous dit pas dans quel état est votre voiture. Vous avez besoin de sécuriser votre poste, vous avez besoin de mettre des solutions type EDR ou XDR pour sécuriser l’usage que vous avez du poste ».
‍

L’adoption du SASE sur les années à venir n’est donc pas une certitude, mais il est indéniable que de plus en plus d’organisations y auront recours à l’avenir, afin de pouvoir mener leurs activités en toute efficacité et sécurité. D’autres questions se posent néanmoins : à quelle vitesse ce changement va-t-il avoir lieu ? Comment le SASE va-t-il être impacté par l’IA ? Les acteurs européens parviendront-ils à développer des solutions souveraines, reconnues et accessibles à tous ?