SASE: el modelo que unifica red y seguridad en el trabajo híbrido

El trabajo remoto dejó de ser una excepción para convertirse en la norma operativa de buena parte de las organizaciones. Según datos de Gallup (2026), el 53 % de los empleados con posibilidad de trabajar remoto en EE. UU. opera bajo un esquema híbrido, y un 27 % adicional trabaja completamente remoto — solo el 20 % permanece 100 % presencial. La tendencia viene de atrás: ya en 2022, el Workforce Security Report de Check Point registraba que el 57 % de las organizaciones tenía a más de la mitad de su plantilla trabajando remoto al menos dos días por semana. Esa realidad expuso un problema estructural: las redes tradicionales de TI, pensadas para un perímetro fijo, no estaban diseñadas para proteger entornos tan distribuidos.

En este artículo exploramos Secure Access Service Edge (SASE), el modelo que surgió como respuesta a ese problema.

Gartner acuñó el término en 2019 y, en 2020, predijo que “para 2024, al menos el 40 % de las empresas tendrán estrategias explícitas para adoptar SASE”. La predicción se cumplió y el mercado siguió avanzando: para 2026, Gartner estima que el 60 % de las compras nuevas de SD-WAN formarán parte de una oferta single-vendor SASE, frente al 15 % en 2022. Lo que empezó como una apuesta de analista terminó siendo la forma estándar de construir redes corporativas.

¿Qué es Secure Access Service Edge (SASE)?

El término SASE (se pronuncia “sassy”), acuñado por Gartner, describe un modelo de seguridad que combina tecnologías de red y seguridad en una única plataforma entregada desde la nube. Su objetivo es que los usuarios se conecten de forma segura desde cualquier ubicación, con administración centralizada.

Con el crecimiento de las aplicaciones SaaS, muchas organizaciones necesitan acceso directo y seguro sin depender de redes privadas virtuales (VPN). El problema con el modelo VPN tradicional no es la tecnología en sí, sino el camino que obliga a recorrer al tráfico: incluso si un usuario solo necesita acceder a Microsoft 365, su conexión suele pasar primero por la VPN corporativa para ser inspeccionada en el datacenter, y de ahí recién salir hacia la aplicación en la nube. Ese rodeo agrega latencia y convierte al centro de datos en un cuello de botella — justo lo contrario de lo que se busca cuando la aplicación en cuestión ya vive fuera de la red corporativa.

SASE resuelve esto combinando dos ideas: la seguridad entregada como servicio (SECaaS — los proveedores gestionan SWG, CASB, ZTNA y FWaaS desde la nube, sin hardware propio) y la red entregada como servicio (NaaS — el SD-WAN se administra igual, bajo demanda). En la práctica, esto se traduce en un conjunto de tecnologías concretas que conviene ver en funcionamiento.

¿Cómo funciona Secure Access Service Edge?

SASE combina tecnologías de seguridad en la nube con funcionalidades de red de área amplia (WAN) para ofrecer una conexión segura y eficiente, sin importar dónde esté el usuario. Cada componente resuelve un problema puntual, pero todos comparten la misma lógica: aplicar la política de seguridad lo más cerca posible del usuario, no del centro de datos.

• SD-WAN (Red de Área Amplia Definida por Software): enruta de forma inteligente el tráfico hacia aplicaciones y servicios en la nube, optimizando el rendimiento.
• FWaaS (Firewall como Servicio): protege contra amenazas y ataques de red sin depender de un appliance físico.
• CASB (Agente de Seguridad de Acceso a la Nube): monitorea y controla el acceso a las aplicaciones SaaS.
• ZTNA (Acceso a la Red de Confianza Cero): valida la identidad de usuarios y dispositivos antes de otorgar acceso a cada aplicación, en lugar de asumir confianza por estar “dentro” de la red.
• SWG (Puerta de Enlace Web Segura): protege contra amenazas de navegación y controla el acceso a sitios maliciosos.

Todo esto se aplica desde una red distribuida de PoPs (Points of Presence): decenas o cientos de nodos operados por el proveedor SASE alrededor del mundo. Cuando un usuario se conecta, su tráfico entra al PoP más cercano, ahí se inspecciona y se aplican las políticas correspondientes, y recién después continúa hacia la aplicación de destino — ya sea SaaS, una app privada o internet en general. Esa cercanía geográfica es lo que permite a SASE bajar la latencia frente al modelo de “todo pasa por el datacenter central”.

Ese enfoque de verificar identidad y contexto en cada conexión, sin asumir confianza por ubicación de red, es la base de Zero Trust. SASE no reemplaza a Zero Trust: lo habilita. Zero Trust define el principio (verificar siempre, no confiar por defecto); SASE provee la infraestructura para aplicar ese principio de forma consistente, sin importar si el usuario está en la oficina, en su casa o en un aeropuerto.

Así cambia el flujo de un usuario remoto

La diferencia se nota mejor con un caso concreto. En un modelo tradicional, un empleado que trabaja desde su casa y necesita revisar el correo en Microsoft 365 se conecta primero a la VPN corporativa. Desde ahí, su tráfico atraviesa el firewall perimetral, pasa por el datacenter de la empresa, y solo entonces sale hacia internet para llegar a los servidores de Microsoft. Si ese mismo usuario también necesita Salesforce o algún servicio en AWS, el tráfico repite el mismo camino cada vez, aunque el destino final nunca haya estado cerca del datacenter.

Con SASE, el usuario se conecta directamente al PoP más cercano a su ubicación. Ahí se valida su identidad, se aplican las políticas de acceso y se inspecciona el tráfico — y desde ese mismo punto sale hacia Microsoft 365, Salesforce o AWS, sin pasar por ningún datacenter intermedio. El resultado es menos saltos de red, menos latencia, y una política de seguridad que se aplica igual sin importar qué aplicación esté usando o desde dónde se conecte.

SASE vs. SSE: la pieza que faltaba en el mapa

Todo lo descrito hasta acá corresponde al modelo SASE completo. Pero desde 2021, Gartner separó una parte de SASE en una categoría propia: Security Service Edge (SSE). SSE agrupa los tres componentes de seguridad de SASE — SWG, CASB y ZTNA — sin incluir la capa de networking. En términos simples: SASE = SSE + SD-WAN.

La distinción existe porque muchas organizaciones ya tienen una red SD-WAN funcional y solo necesitan reemplazar sus herramientas de seguridad heredadas (firewalls, proxies, VPN) por una alternativa entregada desde la nube, sin tocar la capa de networking. SSE cubre ese caso de uso puntual y tiene su propio Magic Quadrant de Gartner desde 2022, separado del de SASE.

En el Magic Quadrant de SSE 2025, Gartner ubicó a Zscaler, Netskope y Palo Alto Networks (vía Prisma Access) como líderes del segmento. Si tu SD-WAN ya está resuelto y lo que necesitas es modernizar la capa de seguridad, SSE puede ser el punto de entrada más práctico antes de dar el salto a un SASE completo.

¿Cuándo tiene sentido adoptar SASE?

No todas las organizaciones necesitan SASE de inmediato, ni todas necesitan el modelo completo desde el primer día. En términos generales, vale la pena evaluarlo cuando se da alguno de estos escenarios:

• Usuarios distribuidos geográficamente con uso intensivo de SaaS: si buena parte del trabajo diario ocurre en aplicaciones como Microsoft 365, Salesforce o Slack, y los usuarios están repartidos entre distintas oficinas, países o trabajando desde casa, el modelo de inspección centralizada deja de tener sentido.
• Presencia multicloud: empresas que operan en AWS, Azure, Google Cloud u OCI simultáneamente suelen terminar con políticas de seguridad y acceso distintas para cada proveedor. SASE permite unificar esas políticas en una sola capa, independiente de dónde viva cada carga de trabajo.
• Reemplazo de VPN tradicional: si el objetivo es migrar de un acceso basado en “estar conectado a la VPN” a uno basado en identidad, contexto y principios de Zero Trust, SASE (o su subconjunto SSE) es el camino natural.

Si ninguno de estos escenarios aplica todavía — por ejemplo, una organización pequeña, con todo el personal presencial y pocas aplicaciones en la nube — probablemente no valga la pena la complejidad de migrar por ahora.

Niveles de implementación de SASE

Según Security Boulevard, Gartner propone tres niveles para un modelo SASE completo:

1. Básico: tecnologías esenciales — SD-WAN, SWG, FWaaS, CASB y ZTNA — que forman la base de una arquitectura de red segura.
2. Recomendado: capas adicionales como aislamiento de navegador, firewall de aplicaciones web (WAF), control de acceso a la red (NAC) y detección y respuesta avanzada de endpoints (NGAV/EDR).
3. Opcional: servicios para quienes aún los necesitan, como VPN y red de área local inalámbrica (WLAN).

¿Por qué las organizaciones necesitan SASE?

Más allá de los escenarios puntuales, hay razones de fondo que explican la adopción creciente de SASE:

• Adopción de la nube: responde mejor a las necesidades de los entornos de TI actuales, con más flexibilidad y escalabilidad.
• Menos complejidad: integrar tecnologías en una sola plataforma simplifica la gestión y centraliza el control de seguridad.
• Perímetro basado en software: protege endpoints y aplicaciones en lugar de limitarse al borde físico de la red.
• Mitigación con reconocimiento de identidad: aplica privilegios mínimos para que solo las personas correctas accedan a los recursos correctos.
• Políticas consistentes: las reglas de seguridad se aplican igual para todos los usuarios, sin importar dónde estén.

Desafíos de la seguridad tradicional vs. SASE

En un entorno de trabajo híbrido, la seguridad de red tradicional tiene dificultades para proteger usuarios y datos dispersos:

• Gestión compleja: los equipos de TI administran múltiples herramientas, lo que aumenta la carga operativa.
• Latencia alta: al canalizar el tráfico por centros de datos locales, VPN y firewalls tradicionales afectan el rendimiento y la experiencia de usuario — el mismo problema que describimos antes con el ejemplo de Microsoft 365.
• Costos elevados: la infraestructura física y la gestión de herramientas dispares elevan los costos operativos.

SASE, en cambio, permite gestión centralizada, menor latencia y mejor eficiencia operativa.

Beneficios de implementar un modelo SASE

1. Seguridad basada en identidad: el acceso se evalúa por quién es el usuario y en qué contexto se conecta, no por la ubicación de red desde la que llega.
2. Optimización de costos y tiempos: la gestión centralizada en la nube reduce tiempo y costo de administración de redes y seguridad.
3. Simplificación operativa: integrar red y seguridad en una sola solución reduce complejidad y mejora la productividad del equipo de TI.
4. Cumplimiento y control: las políticas de acceso se aplican de forma uniforme, sin importar la ubicación del usuario.
5. Menor latencia percibida: al inspeccionar el tráfico en el PoP más cercano en lugar de un datacenter central, el usuario nota una mejora directa en el tiempo de respuesta de sus aplicaciones.

Conclusión

SASE no resuelve todos los problemas de seguridad de un entorno híbrido, pero sí ataca la causa raíz: un perímetro que ya no existe como tal. Para equipos que siguen operando con VPN y firewalls pensados para una red centralizada, migrar a un modelo SASE — completo o por fases, empezando incluso por SSE si el SD-WAN ya está resuelto — es una forma concreta de reducir superficie de ataque sin sacrificar rendimiento para los usuarios remotos.

Las aplicaciones ya no viven en el centro de datos, y los usuarios tampoco. Seguir defendiendo un perímetro físico es proteger una frontera que, para buena parte del tráfico corporativo, dejó de existir hace rato.