¿Qué es un CASB?

Un Cloud Access Security Broker (CASB) es un punto de control de seguridad —implementado en línea a través de una pasarela o mediante la integración directa de una API con los proveedores de SaaS— que se sitúa entre los usuarios y las aplicaciones en la nube para proporcionar a las organizaciones visibilidad sobre el uso de la nube, detectar la «TI en la sombra» y aplicar políticas de acceso basadas en el riesgo y de prevención de la pérdida de datos sobre los datos que se transfieren hacia, desde y dentro de los servicios en la nube.

Puntos clave

• CASB ofrece visibilidad y control sobre el uso autorizado y no autorizado de SaaS.
• El CASB en línea inspecciona el tráfico en tiempo real; el CASB de API analiza los datos que ya se encuentran almacenados.
• La detección de la «TI en la sombra» clasifica cada aplicación como «autorizada» o «no autorizada».
• CASB se integra con DLP y ATP para supervisar las subidas, descargas, comparticiones y publicaciones.
• CASB es el componente de control SaaS de Security Service Edge (SSE) dentro de SASE.

En esta página: Por qué es importante · Cómo funciona · Tipos · CASB y Versa · Preguntas frecuentes

¿Por qué es importante el CASB?

Una vez que las aplicaciones pasaron a funcionar en modelo SaaS, la mayor parte de los datos de una organización dejaron de pasar por cualquier perímetro controlado por el equipo de seguridad. Los empleados adoptan las herramientas en la nube más rápido de lo que el departamento de TI tarda en aprobarlas, y el mismo dominio corporativo suele dar servicio tanto al inquilino empresarial autorizado como a la cuenta personal de un usuario, por lo que una pantalla de inicio de sesión por sí sola no permite distinguirlos.

CASB cubre esa laguna. Detecta la «TI en la sombra» —las aplicaciones SaaS que los empleados utilizan sin que el departamento de TI lo sepa— y convierte el perfil de riesgo de cada aplicación en una norma aplicable: permitir, bloquear o permitir con inspección. A continuación, amplía la aplicación de estas normas a los propios datos, controlando los inicios de sesión, las subidas, las descargas y las actividades de intercambio, de modo que una aplicación «autorizada» no se convierta en una vía de filtración no controlada en el momento en que se comparta un archivo confidencial con el exterior.

¿Qué es CASB?

Un CASB aplica las políticas mediante dos modelos de implementación complementarios. El CASB en línea se sitúa en la ruta del tráfico —normalmente como un proxy inverso detrás de una pasarela web segura— e inspecciona las sesiones en tiempo real mientras los usuarios inician sesión, suben, descargan o comparten contenido, y aplica una acción de permitir, bloquear o rechazar según la actividad. Por su parte, el CASB de API se conecta directamente a la API de gestión de un inquilino de SaaS, lo que le permite ver lo que la inspección en línea no puede: los datos ya almacenados en el inquilino y los eventos de uso compartido, como la publicación de un archivo.

Ninguno de los dos modos por sí solo es completo. El CASB en línea no puede detectar las aplicaciones nativas con certificados fijos ni la actividad de la caché del navegador; el CASB por API no puede intervenir en una sesión en curso. Juntos, cubren el control de acceso en tiempo real y la gobernanza de los datos en reposo en los mismos inquilinos de SaaS e IaaS.

Tipos de CASB

Las implementaciones de CASB se describen generalmente en función de dónde se lleva a cabo la aplicación de políticas. El CASB de proxy directo (forward-proxy) redirige el tráfico saliente a través de un agente o una configuración de proxy explícita, lo más habitual en terminales gestionados. El CASB de proxy inverso (inline) intercepta el tráfico en la pasarela sin necesidad de configuración en los terminales, inspeccionando las sesiones a medida que pasan por ella; este es el modelo en el que se basan la mayoría de las soluciones sin agente que cubren cualquier dispositivo. Los CASB basados en API (fuera de banda) se conectan directamente a la API de gestión del proveedor de SaaS en lugar de situarse en la ruta del tráfico; esta es la única forma de inspeccionar datos que ya se encuentran en reposo o de compartir cambios que nunca generan tráfico en tiempo real. Las implementaciones maduras combinan un modo en línea con un modo basado en API, en lugar de depender únicamente de uno de ellos, ya que cada uno cubre escenarios que el otro, por su propia estructura, no puede abarcar.

CASB y Versa

VersaEl CASB de SASE está integrado en la ruta de datos de VOS™ y se ofrece como parte de la estructura de , con modelos de implementación tanto en línea como a través de API. El CASB en línea funciona como software utilizando la inspección profunda de paquetes de VOS a través de la pasarela en la nube de Versa o de un dispositivo VOS, y es compatible con unas 80 aplicaciones SaaS mediante una clasificación de riesgo de cinco niveles, configuradas como perfiles CASB asociados a una regla de protección de Internet en Director o Concerto.

El modelo API, configurado como conectores API-DP en Concerto, inspecciona los datos ya almacenados en un inquilino y reacciona ante los eventos de intercambio, combinándose con los perfiles de DLP y de Protección Avanzada contra Amenazas para aplicar medidas correctivas. Las prácticas recomendadas para la seguridad CASB aconsejan implementar ambos modos para cada inquilino incluido en el ámbito de aplicación, incorporando la clasificación de TI en la sombra y encabezados de restricción de inquilinos que impidan la filtración de datos hacia cuentas personales en la nube. Los administradores realizan un seguimiento de la actividad a través de las pestañas CASB en los paneles de control de seguridad de Concerto.

Preguntas frecuentes

¿Cuál es la diferencia entre un CASB en línea y un CASB por API?

El CASB en línea se sitúa en la ruta del tráfico e inspecciona las sesiones en tiempo real cuando los usuarios inician sesión, suben o comparten contenido. El CASB por API se conecta directamente a la API de gestión de un inquilino de SaaS para inspeccionar los datos que ya se encuentran en reposo, algo que la inspección en línea nunca detecta.

¿Sustituye un CASB a un cortafuegos o a una pasarela web segura?

No. CASB es un control complementario centrado específicamente en la actividad de las aplicaciones SaaS y en la nube, no en el tráfico de red general. Normalmente se implementa junto con una pasarela web segura y un cortafuegos de última generación, a menudo como parte de una plataforma convergente de seguridad de la entrada (SSE) o de seguridad de la entrada de la nube ( SASE ), en lugar de como un dispositivo independiente.

¿Qué es la «TI en la sombra» y cómo la aborda el CASB?

La «TI en la sombra» es el uso de aplicaciones en la nube que se produce sin el conocimiento ni la autorización del departamento de TI. El CASB detecta qué aplicaciones se están utilizando, evalúa su nivel de riesgo y permite a los administradores clasificarlas como «autorizadas» o «no autorizadas», de modo que dicha clasificación pueda aplicarse como una regla de permiso o denegación.

¿Puede un CASB proteger los datos que ya están almacenados en una aplicación SaaS, y no solo los datos en tránsito?

Sí, esa es la función de una API CASB. Al conectarse directamente a la API de gestión del proveedor de SaaS, analiza el contenido que ya se encuentra almacenado, supervisa los cambios en el intercambio de datos y puede poner en cuarentena o subsanar las infracciones sin necesidad de que el tráfico pase por una pasarela.

¿Qué relación hay entre CASB, « SASE » y SSE?

CASB es uno de los servicios principales de Security Service Edge (SSE), junto con la pasarela web segura, ZTNA y DLP. SSE constituye la parte dedicada a la seguridad de SASE, por lo que CASB llega a los usuarios como parte de la estructura más amplia de SASE , en lugar de como un producto independiente.

Más información sobre CASB

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre CASB, te conviene echar un vistazo a lo siguiente.