/ ¿Qué es SASE (perímetro de servicio de acceso seguro)?
¿Qué es SASE (perímetro de servicio de acceso seguro)?
El servicio de acceso seguro en el borde (SASE) es una arquitectura basada en la nube que integra SD-WAN con tecnologías de servicio de seguridad en el borde (SSE), como SWG, CASB, ZTNA y FWaaS, en una única plataforma. SASE conecta de forma segura a usuarios, dispositivos y aplicaciones desde cualquier ubicación.
¿Por qué es importante SASE?
En 2019, Gartner definió SASE para resolver un problema: cómo conectar de forma segura a usuarios distribuidos con sistemas, aplicaciones y servicios críticos para el negocio.
SASE responde a tendencias como la adopción de la nube, el uso de aplicaciones SaaS y el trabajo remoto mediante la convergencia de SD-WAN con tecnologías de servicio de seguridad en el borde (SSE). Las empresas que implementan SASE se benefician de un rendimiento y una seguridad de red optimizados para sus operaciones distribuidas y centradas en la nube.
SASE aplica medidas de seguridad y controla el acceso lo más cerca posible de los usuarios. Aplica dinámicamente políticas de seguridad y ayuda a las organizaciones a aplicar los principios de Zero Trust.
Componentes principales de SASE
SASE se puede dividir en seis elementos. Cuatro de ellos son componentes del servicio de seguridad en el borde (SSE).
La elección entre SSE y SASE se reduce principalmente a una cuestión de prioridades. SSE se implementa más rápido que SASE, pero no proporciona la transformación de red que ofrece SASE.
Muchas organizaciones comienzan adoptando SSE para mejorar de inmediato su nivel de seguridad. Posteriormente, implementan SASE cuando disponen de los recursos necesarios para modernizar su infraestructura de red.
SASE incluye los siguientes componentes principales:
- La red de área amplia definida por software (SD-WAN) aplica una selección dinámica de rutas para elegir automáticamente la mejor ruta para el tráfico hacia Internet y las aplicaciones en la nube.
- Las pasarelas web seguras (SWG) impiden que el tráfico de Internet no seguro entre en su red interna.
- Los agentes de seguridad de acceso a la nube (CASB) previenen las fugas de datos, el malware, el incumplimiento normativo y el uso de aplicaciones de IA generativa que entraña riesgos.
- El firewall como servicio (FWaaS) sustituye los dispositivos físicos de firewall por firewalls en la nube que ofrecen funciones avanzadas de capa 7 y de firewall de próxima generación (NGFW).
- El acceso a la red Zero Trust (ZTNA) aplica los principios de Zero Trust e impone políticas granulares de acceso basadas en el principio de mínimo privilegio.
- Un único panel de control que simplifica el control de cambios, la gestión de parches, la coordinación de los periodos de interrupción del servicio y la gestión de políticas.
¿Cómo funciona SASE?
El servicio de acceso seguro en el borde (SASE) funciona mediante tecnologías SD-WAN y SSE para aplicar políticas dondequiera que se encuentren los usuarios, los dispositivos y las aplicaciones.
Así funciona SASE:
Paso 1: Un usuario solicita acceso a una aplicación o a un recurso en la nube.
Paso 2: La plataforma SASE utiliza SD-WAN para enrutar ese tráfico a través de su red globalmente distribuida de puntos de presencia (PoP).
Paso 3: SASE utiliza su funcionalidad SSE para verificar información del usuario, como la identidad y el nivel de riesgo. El tráfico se analiza en busca de malware, phishing e infracciones de las políticas DLP.
Paso 4: La plataforma SASE concede al usuario acceso al recurso solicitado según el principio de mínimo privilegio.
Paso 5: SASE conecta al usuario directamente con su recurso, independientemente de si este se encuentra alojado en la nube, en un centro de datos privado o en un entorno SaaS.
¿Cuáles son los casos de uso de SASE?
El servicio de acceso seguro en el borde resuelve diversos desafíos, pero la mayoría de las organizaciones lo implementan para abordar uno de estos tres casos de uso: facilitar el trabajo híbrido y remoto, proteger las sucursales y los puntos de venta, y conectar las operaciones globales.
Facilitar el trabajo híbrido y remoto
A medida que las empresas implementan modelos de trabajo híbridos y remotos, los equipos de seguridad necesitan una solución que aplique las políticas independientemente de la ubicación del usuario.
Ejemplo real: Una empresa de SaaS sustituyó su tecnología VPN heredada por ZTNA y pudo implementar de inmediato el acceso remoto cinco veces más rápido que antes. La empresa también redujo el tiempo necesario para conceder a los usuarios acceso a los recursos de red, pasando de semanas a días y, en ocasiones, a minutos.
Conecta de forma segura sucursales y puntos de venta
Tradicionalmente, las sucursales y los puntos de venta utilizan dispositivos físicos de seguridad en cada ubicación. Sin embargo, estos dispositivos conllevan elevados costes de mantenimiento y son difíciles de mantener actualizados.
SASE resuelve este problema trasladando todas las funciones de red y seguridad a la nube.
Ejemplo real: Una gran empresa del sector de la alimentación y las bebidas implementó SASE para proteger sus aplicaciones SaaS, su acceso a Internet, el tráfico de tecnología operativa (OT) y el tráfico del Internet industrial de las cosas (IIoT).
Tras la implementación, la empresa evitó 4 millones de infracciones de políticas y bloqueó 14 000 amenazas al mes. Además, el equipo redujo en un 70 % los costes de hardware, actualizaciones y licencias al retirar sus VPN heredadas.
Permite la conectividad global
Las organizaciones globales necesitan un rendimiento uniforme de la seguridad y la red para todos los usuarios, instalaciones y países.
Ejemplo real: Una empresa tecnológica líder adoptó una única plataforma SASE para sustituir las VPN heredadas, mejorar la seguridad del tráfico web y agilizar la aplicación de las políticas.
La empresa permitió que sus 320 000 empleados trabajaran de forma remota en tan solo dos semanas. Además, redujo los costes de gestión y operativos en un 70 % mediante la virtualización y la simplificación de la infraestructura.
Cómo SASE resuelve los desafíos de la IA
Cuando las organizaciones implementan SASE con tecnología de IA, se benefician de:
1. Optimización del tráfico mediante IA
La actividad de IA y aprendizaje automático aumentó un 83 % interanual entre 2024 y 2025 (Informe de seguridad de IA de ThreatLabz de 2026). Sin embargo, herramientas como las pasarelas locales, los firewalls físicos y las redes de área local (LAN) fueron diseñadas para el tráfico generado por humanos, no por máquinas.
A medida que las empresas aumentan el uso de la IA, requieren mayor ancho de banda y la capacidad de gestionar mayores volúmenes de tráfico este-oeste, que herramientas como la IA basada en agentes generan en grandes cantidades.
La SD-WAN proporciona el alto ancho de banda, la baja latencia y la priorización del tráfico que las empresas necesitan para gestionar su tráfico de IA.
2. Visibilidad de la IA en la sombra
El uso no autorizado de aplicaciones de IA generativa, o IA en la sombra, puede provocar fugas de datos. SASE detecta la IA en la sombra, aplica el principio de mínimo privilegio al acceso a aplicaciones de IA generativa sensibles y aplica políticas de prevención de pérdida de datos (DLP) en línea para bloquear las transacciones de IA que entrañan riesgos.
3. Seguridad de la IA basada en agentes y de la IA integrada
La seguridad de la IA basada en agentes implica tanto proteger los agentes de IA de la empresa como defenderse de los ciberataques que utilizan IA basada en agentes.
La primera campaña de espionaje orquestada por IA de la que se tiene constancia tuvo lugar en 2025. En dicha campaña, un grupo patrocinado por un Estado automatizó entre el 80 % y el 90 % de su ataque mediante IA basada en agentes (Informe de seguridad de IA de ThreatLabz de 2026 ). Los investigadores de ThreatLabz prevén que en el futuro veremos más ataques de ransomware impulsados por IA.
La IA integrada, o las capacidades de IA que están incorporadas en aplicaciones SaaS como Salesforce y ServiceNow, es otro riesgo. Con frecuencia, las empresas no tienen una visibilidad completa de qué aplicaciones incorporan IA ni de cómo se protege esa IA integrada y se le aplican parches.
La IA integrada constituye una de las fuentes de riesgo de IA empresarial de más rápido crecimiento y menor visibilidad.– Lea el Informe de seguridad de IA de ThreatLabz de 2026 |
Mitos comunes sobre SASE
A medida que las implementaciones de SASE ganan popularidad, siguen existiendo algunas ideas erróneas comunes sobre qué hace SASE y a quién está dirigido.
¿No es SASE simplemente una VPN en la nube?
No. SASE y las VPN utilizan métodos de acceso diferentes. Una VPN crea un túnel cifrado que conecta al usuario a la red. Las VPN otorgan un acceso amplio sin verificación continua.
SASE aplica los principios de Zero Trust limitando el acceso a aplicaciones específicas y verificando continuamente la identidad y el contexto. A diferencia de las VPN, SASE incluye automáticamente un conjunto completo de medidas de seguridad para garantizar un acceso remoto seguro.
¿Adoptar SASE no implica renunciar a otras herramientas de seguridad?
SASE no requiere sustituir por completo la infraestructura existente. Muchas empresas implementan SASE por fases, adoptando primero SSE y añadiendo después SD-WAN. Este enfoque ofrece una excelente oportunidad para integrar SASE con herramientas de seguridad existentes, como la detección y respuesta en endpoints.
SASE propone un estado final ideal para la arquitectura de una organización. No requiere que abandone sus herramientas de seguridad actuales.
¿SASE no se limita a añadir seguridad a SD-WAN?
La SD-WAN optimiza la red, pero no incluye una pila de seguridad nativa.
Las empresas que utilizan SD-WAN siguen necesitando firewalls, pasarelas web seguras o el redireccionamiento del tráfico a un punto central para su inspección. SASE proporciona una visión centralizada de la red y la seguridad, algo que SD-WAN por sí solo no puede ofrecer.
¿No es innecesario SASE para las organizaciones más pequeñas?
Las grandes empresas fueron pioneras en la adopción de SASE, pero no son las únicas organizaciones que se benefician de esta solución. Sin SASE, las organizaciones más pequeñas no pueden obtener la optimización de red ni la seguridad necesarias para impulsar la transformación digital.
Dado que SASE es un servicio basado en la nube, su adopción resulta más sencilla para los pequeños equipos de TI. SASE no requiere la inversión de capital ni el personal necesarios para mantener dispositivos físicos.
¿Acaso SASE no elimina todos los riesgos de seguridad?
SASE reduce la superficie de ataque y aplica la política de seguridad de forma consistente, pero no garantiza una seguridad completa. SASE debe configurarse correctamente y los equipos de seguridad deben implementar políticas sólidas de identidad y acceso con supervisión continua para aprovechar todas las ventajas de SASE.
¿Acaso SASE, SD-WAN, SSE, ZTNA y VPN no son todos lo mismo?
SASE, SD-WAN, SSE y otros modelos de seguridad tienen diferentes enfoques de implementación, ventajas y escenarios de implementación ideales. Comparar estas tecnologías ayuda a comprender mejor el lugar que ocupa SASE en el panorama general de redes y seguridad.
SASE de un solo proveedor frente a SASE de múltiples proveedores
¿Qué criterios debería utilizar para evaluar a los proveedores de SASE? Para empezar, deberá tomar una decisión arquitectónica entre una solución SASE de un solo proveedor y una de múltiples proveedores.
La solución SASE de un solo proveedor ofrece capacidades SD-WAN y SSE desde una única plataforma que se basa en una sola arquitectura y utiliza un único motor de políticas.
Con un modelo de proveedor único, no se pueden combinar productos especializados, pero se puede trabajar desde un único panel de control y aplicar un único conjunto de políticas en todas las ubicaciones y para todos los usuarios. A diferencia de las soluciones SASE de múltiples proveedores, no se requiere ningún trabajo de integración.
SASE de múltiples proveedores combina soluciones especializadas, normalmente de un proveedor de SD-WAN y otro proveedor de seguridad.
Las soluciones SASE de múltiples proveedores requieren que los equipos de TI repliquen y sincronicen las políticas en todos los sistemas. Los equipos tienen que revisar diferentes paneles de control para recopilar registros, y la resolución de problemas de conectividad individuales a menudo implica la intervención de dos proveedores en lugar de uno.
La mayoría de las organizaciones optan por SASE de un solo proveedor debido a su simplicidad operativa.
Zscaler y SASE
Zscaler Secure Access Service Edge (SASE) es una plataforma nativa de la nube basada en Zero Trust Exchange, la mayor plataforma de seguridad en la nube en línea del mundo. Zscaler proporciona un marco en la nube impulsado por IA que moderniza las arquitecturas heredadas mediante los principios de Zero Trust.
Gartner reconoció a Zscaler como líder en el Cuadrante Mágico de 2026 para plataformas SASE por su enfoque mejorado con IA para unificar la red y la seguridad en un único servicio en la nube escalable.
Zscaler SASE proporciona:
- Una arquitectura nativa de la nube y multiinquilino que escala dinámicamente en función de la demanda.
- Una arquitectura basada en proxy que permite inspeccionar por completo el tráfico cifrado a gran escala.
- Seguridad y aplicación de políticas cerca de los usuarios mediante más de 150 puntos de presencia (PoP) distribuidos por todo el mundo.
- Acceso a la red Zero Trust (ZTNA) que restringe el movimiento lateral mediante la segmentación nativa de aplicaciones.
- Reducción de la superficie de ataque que protege contra los ciberataques y los riesgos emergentes de la IA.
Para ver Zscaler SSE en acción, solicite una demostración.
Zscaler es líder en el Cuadrante Mágico de Gartner para Secure Access Service Edge (SASE).
Recursos sugeridos
Preguntas frecuentes
El objetivo principal del perímetro de servicio de acceso seguro (SASE) es proporcionar conectividad rápida y segura entre usuarios y aplicaciones, en cualquier dispositivo y en ubicación. SASE está diseñado para abordar los desafíos empresariales modernos, como la creciente adopción de la nube, el aumento del trabajo remoto y el cada vez más complejo panorama de riesgos cibernéticos. Además, SASE ayuda a las organizaciones a simplificar su infraestructura de seguridad, mejorar su postura de seguridad y reducir costes con una seguridad más eficiente, escalable y gestionada de manera centralizada.
Los componentes clave del servicio de acceso seguro en el borde (SASE) incluyen tanto la red como la seguridad. El componente de red de SASE es SD-WAN y su componente de seguridad es el servicio de seguridad en el borde (SSE). Las tecnologías SSE incluyen el agente de seguridad de acceso a la nube (CASB), el acceso a la red Zero Trust (ZTNA), la pasarela web segura (SWG) y el firewall como servicio (FWaaS).
La tecnología de red de área amplia definida por software (SD-WAN) es una superposición de red capaz de utilizar múltiples tipos de conexiones a Internet (por ejemplo, banda ancha, MPLS, LTE) para conectar usuarios y sitios remotos a la red corporativa. Proporciona gestión y control centralizados de la red para permitir visibilidad y agilidad.
El perímetro de servicio de acceso seguro (SASE) combina la funcionalidad de SD-WAN con servicios de seguridad, como cortafuegos, puertas de enlace web seguras y agentes de seguridad de acceso a la nube, en una plataforma basada en la nube que permite una conectividad protegida y eficiente entre usuarios y aplicaciones, en cualquier dispositivo y lugar. Al integrar funciones de seguridad en la propia red en lugar de depender de las llamadas soluciones “complementarias”, SASE proporciona un enfoque más integral para la seguridad de la red.
El servicio de acceso seguro en el borde (SASE) suele tener un coste inicial más elevado que una VPN, pero el coste total de propiedad (TCO) del SASE es menor. SASE reúne múltiples herramientas de seguridad en una sola solución, de modo que las empresas pueden consolidar sus herramientas de seguridad heredadas con SASE. Y dado que SASE se ofrece a través de la nube, elimina los costes de hardware y mantenimiento.
Sí, SASE reemplaza la tecnología VPN. SASE proporciona funciones de acceso a la red Zero Trust (ZTNA), que conceden acceso a aplicaciones específicas según el principio de mínimo privilegio. A diferencia de las VPN, ZTNA nunca concede acceso generalizado a los usuarios y verifica continuamente la identidad y el contexto dentro de cada sesión de usuario. Las VPN conectan a los usuarios a la red e introducen un riesgo de movimiento lateral, mientras que ZTNA nunca conecta a los usuarios a la red.
Un firewall es una herramienta de seguridad individual que tradicionalmente se implementa como un dispositivo físico en el perímetro de la red. SASE es un marco de trabajo basado en la nube que incluye un firewall como servicio (FWaaS). SASE va más allá de la tecnología de firewall al integrar redes y seguridad en una única plataforma. Las capacidades de SASE incluyen SD-WAN y funciones del servicio de seguridad en el borde (SSE), como SWG, ZTNA y CASB.
Sí, SASE puede reemplazar su firewall local. SASE proporciona un firewall como servicio (FWaaS) basado en la nube, lo que resulta útil para organizaciones con usuarios remotos, muchas sucursales físicas o una infraestructura que prioriza la nube. Con el firewall como servicio, no necesita hardware físico de firewall para obtener una seguridad consistente y basada en políticas.
Sí, SASE funciona con dispositivos antiguos. Dado que SASE se ofrece a través de la nube, puede enrutar el tráfico de los dispositivos existentes a través de sus controles de seguridad mediante túneles IPsec, túneles GRE o agentes conectores ligeros. Pero los dispositivos antiguos no siempre son compatibles con funciones de SASE como la aplicación de políticas de Zero Trust. Las empresas deberían implementar SASE junto con los dispositivos heredados antes de retirarlos gradualmente con el tiempo.
Depende de los requisitos de seguridad de su organización. La SD-WAN optimiza la conectividad de red y el enrutamiento del tráfico, pero no incluye muchas funciones de seguridad integradas. SASE implementa una pila de seguridad completa sobre SD-WAN. Si su organización prioriza la nube o trabaja mayoritariamente de forma remota, la SD-WAN por sí sola introducirá brechas de seguridad. Solo SASE puede proporcionar la amplitud y la profundidad de protección que necesitan las organizaciones nativas de la nube.