SSE vs SASE :
quelle différence, et lequel vous faut-il ?

Il y a dix ans, la sécurité se trouvait dans vos locaux : un pare-feu à l'entrée du bâtiment, et tout ce qui compte derrière. Ce modèle a volé en éclats dès que vos applications sont passées dans le cloud et que vos collaborateurs se sont mis à travailler depuis chez eux, chez les clients ou à l'étranger. Le trafic qui compte ne passe plus par vos bureaux — la sécurité ne peut donc plus y résider non plus. SSE et SASE désignent les deux manières de déplacer cette protection dans le cloud. Ils sont liés, souvent confondus, et ne sont pas interchangeables.

SASE — l'image complète

SASE (Secure Access Service Edge, prononcé « sassy ») a été nommé par Gartner en 2019. Il décrit un service unique, délivré depuis le cloud, qui combine deux choses : votre réseau et votre sécurité. Le volet réseau, c'est le SD-WAN — relier intelligemment vos sites, le cloud et vos utilisateurs distants. Le volet sécurité, c'est un ensemble de contrôles appliqués à tout ce trafic. SASE, c'est la convergence des deux sur une seule plateforme : où que soit l'utilisateur, sa connexion est à la fois rapide et protégée par la même politique.

SSE — la moitié sécurité

SSE (Security Service Edge), nommé par Gartner en 2021, c'est la moitié sécurité du SASE, seule — sans le volet réseau SD-WAN. Il regroupe les contrôles de sécurité cloud essentiels :

• SWG (Secure Web Gateway) — filtre et inspecte le trafic web, bloquant les sites malveillants ou non conformes.
• CASB (Cloud Access Security Broker) — encadre l'usage des applications cloud comme Microsoft 365, en détectant les partages risqués et le shadow IT.
• ZTNA (Zero Trust Network Access) — remplace l'ancien VPN par un accès par application : l'utilisateur n'atteint que ce à quoi il a droit, rien de plus.
• Souvent FWaaS et DLP — pare-feu en tant que service et prévention des fuites de données, selon l'éditeur.

Alors, lequel vous faut-il ?

Cela dépend d'où se situe votre problème. Si votre priorité est de sécuriser une main-d'œuvre hybride et l'usage du SaaS — des collaborateurs qui travaillent de partout, Microsoft 365 partout, des VPN que vous aimeriez retirer — le SSE apporte généralement l'essentiel de la valeur, rapidement, sans toucher à vos contrats réseau. Si vous exploitez en plus plusieurs sites ou succursales et souhaitez moderniser la connectivité entre eux en même temps, le SASE réunit réseau et sécurité sur une seule plateforme gérée.

Pour la plupart des PME suisses, le point de départ honnête est le SSE : il comble les brèches ouvertes par le travail hybride et l'adoption du cloud — trafic web à risque, SaaS non encadré, accès VPN trop larges — qui sont précisément là où commencent les incidents. Le SD-WAN, et donc le SASE complet, devient pertinent dès que plusieurs sites et un trafic inter-sites important le justifient.

Ce qui compte plus que l'acronyme

Les éditeurs vous vendront une boîte étiquetée SSE ou SASE. Ce qui vous protège réellement, c'est la façon dont elle est configurée et exploitée : les politiques ZTNA sont-elles bien cadrées, le CASB couvre-t-il le SaaS que vos équipes utilisent vraiment, quelqu'un surveille-t-il les alertes ? Une plateforme ne vaut que par son exploitation — c'est pourquoi nous traitons le SSE/SASE comme un service géré, avec notre SOC derrière, et non comme une licence qu'on active puis qu'on oublie.

En résumé

Le SSE est la couche de sécurité cloud — SWG, CASB, ZTNA. Le SASE, c'est cette même couche plus le réseau SD-WAN, convergés sur une seule plateforme. Aucun n'est « meilleur » ; ils répondent à des questions différentes. La plupart des organisations devraient commencer par sécuriser les accès et l'usage du cloud avec le SSE, puis évoluer vers le SASE quand leur réseau le justifie — et dans les deux cas, le résultat dépend de la qualité de l'exploitation. C'est là que nous aidons les organisations de toute la Suisse romande.

Article de démonstration pour la maquette — à relire par l'équipe InterHyve avant publication.