Qué es SASE y si sustituye al cortafuegos físico

SASE (Secure Access Service Edge) es una forma de contratar juntas la red y la seguridad: un mismo servicio, normalmente desde la nube, conecta las sedes y a la gente que trabaja fuera, y aplica las mismas reglas a todos. Le interesa sobre todo a quien tiene personal repartido y aplicaciones en la nube.

De dónde sale

El término lo acuñó Gartner en 2019, según recoge NIST, para una arquitectura que une funciones de red y de seguridad y las entrega como un servicio en la nube. NIST aclara algo importante: esos servicios no son nuevos. La novedad es que llegan juntos, en un solo paquete, en lugar de en productos separados.

El motivo lo resume el estándar de Mplify Alliance (antes MEF Forum): ya no basta con el modelo en el que casi todo el tráfico de una empresa queda dentro de un perímetro bien definido. Si las aplicaciones están en la nube y la gente trabaja desde cualquier sitio, muchas conexiones nunca pasan por el cortafuegos de la oficina.

Qué incluye

Las listas varían un poco según la fuente. NIST da como mínimo, en la mayoría de ofertas comerciales, cortafuegos, puerta de enlace web segura, antimalware, IPS, CASB y prevención de fuga de datos. Fortinet e INCIBE destacan además estas piezas:

Como no todas las ofertas llevan lo mismo, pide la lista de funciones por escrito. El estándar Mplify 117.1 existe justo para eso: enumera lo que hay que acordar entre quien presta el servicio y quien lo contrata, como las funciones de seguridad, las políticas y la conectividad.

Cómo funciona

1. Todo se conecta a un punto de presencia. Según NIST, el servicio se presta desde ubicaciones repartidas (PoP), a las que llegan las sedes y los usuarios.
2. Quien está fuera lleva un agente. Es un programa en el portátil o el móvil que dirige el tráfico y permite o niega conexiones según las reglas de la empresa.
3. La confianza no es fija. Según el estándar de Mplify, las políticas de la empresa deciden quién accede a qué, y la confianza se evalúa de forma continua, según el contexto y la actividad.
4. Las reglas se gestionan en un solo sitio. NIST señala la misma política para todos los usuarios, estén donde estén, y una sola vista de usuarios y dispositivos.

¿Sustituye al cortafuegos físico?

La respuesta corta es que puede reducirlos, pero no siempre los elimina. Las fuentes no dicen otra cosa:

• NIST habla de reducir el número de aparatos de seguridad físicos que se gestionan, no de quedarse sin ninguno.
• El estándar de Mplify deja abierto dónde están las funciones: en la nube, en las instalaciones del proveedor o en las del cliente. Pone como ejemplos tanto un servicio solo en la nube como un único aparato en tu sede, sin servicios en la nube, y avisa de que ese aparato debe estar bien dimensionado.
• INCIBE propone una migración gradual, en la que el cortafuegos central sigue en uso durante un tiempo.
• Fortinet, que vende SASE y cortafuegos, dice que con el FWaaS los usuarios no necesitan conectarse a un cortafuegos físico. Eso vale para esos usuarios, no para toda la red.

Lo que falta en estas fuentes es un criterio para cada empresa. A partir de cómo funciona cada cosa, este es el de esta web:

SASE y SSE

Verás también las siglas SSE (Security Service Edge). Es la parte de seguridad, sin la de red. El estándar Mplify 169, de febrero de 2026, la trata como un conjunto de funciones y soluciones de seguridad, como el CASB, la prevención de fuga de datos y las pasarelas seguras, que se conecta con los demás componentes de SASE, como SD-WAN.

Eso sirve de pista: si ya tienes SD-WAN o no lo necesitas, quizá te baste con contratar SSE.

Lo que prometen y lo que hay que comprobar

INCIBE cita como ventajas la flexibilidad, la confianza cero, la gestión centralizada y un mejor rendimiento en aplicaciones en la nube. Fortinet añade que cambia el gasto en aparatos por una suscripción y que ahorra costes, pero ese ahorro lo dice quien lo vende. Antes de firmar, conviene mirar:

• El coste durante varios años: compara la suscripción con el aparato y sus licencias, en el mismo plazo.
• La migración: INCIBE avisa de que no se hace de la noche a la mañana, y de que requiere una inversión significativa y un proceso de maduración.
• Dónde se inspecciona el tráfico: pregunta dónde están los puntos de presencia que usarás y dónde se tratan tus datos. También influye en el retardo.
• Qué pasa si el proveedor falla: la red y la seguridad dependen del mismo servicio, así que pregunta por las garantías y por cómo seguir trabajando si se cae.

Si te afecta el Esquema Nacional de Seguridad, INCIBE recuerda que los servicios en la nube tienen un marco propio (op.nub), y que SASE puede ayudar a cumplirlo, pero los servicios de terceros deben estar certificados con una metodología reconocida. Pide esa certificación.

Cómo se empieza, si te compensa

INCIBE desaconseja implantarlo todo de una vez. Recomienda empezar por una parte de menor riesgo, y da un posible orden:

1. Asegurar el acceso remoto con ZTNA, derivando el tráfico externo hacia el cortafuegos central.
2. Migrar poco a poco las aplicaciones de tus instalaciones a la nube.
3. Unificar las políticas en una configuración nativa de la nube.

No hace falta tirar lo que ya funciona: según INCIBE, se pueden seguir usando las líneas MPLS mientras se adopta el resto. Y si ya tienes un cortafuegos con SD-WAN, pregunta a tu fabricante si encaja con su oferta de nube antes de cambiar de marca.