Kurumsal ağın merkezinde artık veri merkezi yok. Uygulamalar SaaS'a ve buluta taşındı, çalışanlar şubelerden, evden ve sahadan bağlanıyor, iş ortakları kurumsal kaynaklara dışarıdan erişiyor. Buna rağmen birçok kurumda trafik hâlâ güvenlik denetimi için önce merkeze taşınıyor, oradan internete çıkıyor. Bu "hairpin" mimarisi hem gecikmeyi artırıyor hem de pahalı MPLS hatlarını gereksiz trafikle dolduruyor. SASE (Secure Access Service Edge), tam olarak bu sorunu çözmek için doğdu: ağ ve güvenlik fonksiyonlarını buluttan, kullanıcıya en yakın noktadan, tek bir hizmet olarak sunmak.
SASE Nedir?
Gartner'ın 2019'da tanımladığı SASE, iki dünyayı tek mimaride birleştirir: WAN tarafında SD-WAN'ın uygulama bazlı akıllı yönlendirmesi; güvenlik tarafında ise SSE (Security Service Edge) adı verilen bulut tabanlı güvenlik yığını. Kullanıcı nerede olursa olsun, trafiği önce en yakın SASE noktasına (PoP) ulaşır; kimlik doğrulama, tehdit denetimi ve veri koruması burada uygulanır ve trafik hedefine en kısa yoldan iletilir. Güvenlik, veri merkezindeki bir kutudan değil, küresel bir bulut hizmetinden sağlanır.
SASE'nin Temel Bileşenleri
SASE tek bir ürün değil, birlikte çalışan hizmetler bütünüdür:
- SD-WAN: Şubeleri ve veri merkezlerini uygulama bazlı politikalarla, birden çok hat (MPLS, internet, LTE/5G) üzerinden akıllıca bağlar; hat kalitesini sürekli ölçüp trafiği en iyi yola yönlendirir.
- SWG (Secure Web Gateway): Web trafiğini zararlı sitelere, kötü amaçlı indirmelere ve uygunsuz içeriğe karşı denetler.
- CASB (Cloud Access Security Broker): SaaS kullanımına görünürlük kazandırır; onaysız uygulamaları (shadow IT) tespit eder, hassas verinin buluta kontrolsüz çıkışını engeller.
- ZTNA (Zero Trust Network Access): Kullanıcıyı ağa değil, yalnızca yetkili olduğu uygulamaya bağlar; VPN'in geniş erişim modelini kimlik temelli, uygulama bazlı erişimle değiştirir.
- FWaaS (Firewall as a Service): Yeni nesil güvenlik duvarı yeteneklerini (IPS, uygulama kontrolü, DNS güvenliği) buluttan sunar; şubelerde donanım yığınına ihtiyacı ortadan kaldırır.
Neden Şimdi?
Üç eğilim SASE'yi gündemin merkezine taşıdı. Birincisi, trafiğin doğası değişti: kurumsal trafiğin büyük bölümü artık veri merkezine değil, doğrudan buluta ve SaaS'a akıyor. İkincisi, hibrit çalışma kalıcılaştı; güvenliğin kullanıcıyı ofiste beklemesi mümkün değil. Üçüncüsü, cihaz ve nokta çözümü yığını yönetilemez hale geldi: her şubede ayrı güvenlik duvarı, ayrı web filtresi, ayrı VPN yoğunlaştırıcısı işletmek hem maliyetli hem de politika tutarsızlığına açık. SASE bu yığını tek politika, tek konsol ve tek bulut hizmetine indirger.
SD-WAN'dan SASE'ye Geçiş Yolu
Kurumların çoğu SASE'ye tek adımda değil, aşamalı geçer. Tipik yol haritası şöyledir: önce şube bağlantıları SD-WAN ile modernize edilir ve pahalı MPLS bağımlılığı azaltılır. Ardından uzaktan erişim VPN'den ZTNA'ya taşınır; böylece en riskli alan olan uzak kullanıcı erişimi kimlik temelli hale gelir. Üçüncü adımda web ve SaaS trafiği SWG ve CASB üzerinden buluttan denetlenmeye başlar. Son adımda şubelerdeki güvenlik donanımı FWaaS'a devredilir ve tüm politika tek konsolda birleştirilir. Her aşama kendi başına ölçülebilir fayda üretir; bu da projeyi "ya hep ya hiç" riskinden kurtarır.
Ölçülebilir Faydalar
Doğru kurgulanmış bir SASE mimarisi somut sonuçlar üretir: SaaS ve bulut uygulamalarında gecikmenin düşmesiyle kullanıcı deneyimi belirgin iyileşir; MPLS ve şube donanımı maliyetleri azalır; politika her yerde aynı uygulandığı için denetim ve uyumluluk kolaylaşır; saldırı yüzeyi küçülür çünkü uygulamalar internete kapatılır ve erişim kimlikle sınırlanır. Operasyon tarafında ise tek konsol, onlarca kutunun ayrı ayrı yönetilmesinin yerini alır.
Dikkat Edilmesi Gerekenler
SASE projelerinde en sık yapılan hata, konuyu yalnızca ürün seçimi olarak görmektir. Oysa başarı; mevcut ağ topolojisinin, uygulama envanterinin ve trafik akışlarının doğru analizine bağlıdır. PoP kapsamının Türkiye ve iş yapılan coğrafyalarla uyumu, yerel internet çıkışlarının (local breakout) planlanması, kimlik sağlayıcı entegrasyonu ve mevcut SD-WAN yatırımının korunması geçiş tasarımının kritik başlıklarıdır. Ayrıca ağ ve güvenlik ekiplerinin ortak politika diliyle çalışması gerekir; SASE, organizasyonel olarak da bir yakınsama projesidir.
Tek Sağlayıcı mı, Çok Sağlayıcı mı?
SASE pazarında iki ana yaklaşım var. Tek sağlayıcı (single-vendor) SASE, ağ ve güvenlik yığınının tamamını aynı üreticiden almayı ifade eder; entegrasyon derinliği, tek konsol deneyimi ve tek destek muhatabı en güçlü yanlarıdır. Çok sağlayıcılı yaklaşımda ise mevcut SD-WAN yatırımı korunur ve üzerine farklı bir üreticinin SSE katmanı eklenir; bu, geçişi yumuşatır ancak politika ve log bütünlüğünün özenle kurulmasını gerektirir. Doğru cevap kurumun mevcut sözleşmelerine, ekip yetkinliğine ve yenileme takvimine bağlıdır. Kritik olan, hangi model seçilirse seçilsin kimlik, politika ve görünürlüğün tek noktada birleşmesidir; aksi halde SASE, yeni isimle eski silo yapısına dönüşür.
Performansın Görünmeyen Belirleyicisi: Omurga Kalitesi
İki SASE hizmeti kağıt üzerinde aynı bileşenlere sahip olabilir; farkı yaratan, sağlayıcının küresel omurgasıdır. PoP sayısı ve konumu, PoP'lar arası özel omurga kullanımı, Türkiye'deki kullanıcılar için en yakın giriş noktasının gecikmesi ve SaaS sağlayıcılarla eşleşme (peering) kalitesi doğrudan kullanıcı deneyimini belirler. Değerlendirme aşamasında mutlaka gerçek lokasyonlardan kavram kanıtlama (PoC) testi yapılmalı; ölçümler tek seferlik değil, mesai saatlerini kapsayan sürelerde alınmalıdır.
Sektörel Uygulama Örnekleri
Perakendede yüzlerce mağazanın tek tip güvenlik politikasıyla, ucuz internet hatları üzerinden merkeze bağlanması SASE'nin en olgun senaryosudur. Finans sektöründe şube dönüşümü, sıkı regülasyon ve loglama gereksinimleriyle birlikte ele alınır; verinin hangi PoP'ta işlendiği ve logların nerede tutulduğu sözleşmenin parçası olmalıdır. Üretim şirketlerinde SASE, saha mühendislerinin ve tedarikçilerin OT ortamlarına kontrollü uzaktan erişiminde ZTNA katmanıyla öne çıkar. Holding yapılarında ise şirket satın almalarında yeni ağların hızla ortak politika çatısına alınabilmesi, SASE'nin birleşme-devralma süreçlerine sağladığı az bilinen ama güçlü bir katkıdır.
Nereden Başlamalı? Kısa Kontrol Listesi
SASE değerlendirmesine başlarken şu soruların yanıtları yol haritanızı netleştirir:
- Trafiğinizin yüzde kaçı veri merkezine, yüzde kaçı doğrudan buluta ve SaaS'a gidiyor? Akış haritanız güncel mi?
- MPLS ve şube güvenlik donanımı sözleşmeleriniz ne zaman yenileniyor? Geçiş pencereleri bu takvimle örtüşüyor mu?
- Uzaktan erişimde hâlâ klasik VPN mi kullanıyorsunuz; kaç kullanıcı, hangi uygulamalara erişiyor?
- Kimlik sağlayıcınız (dizin, MFA, koşullu erişim) SASE ile entegrasyona hazır mı?
- Ağ ve güvenlik ekipleriniz ortak politika yönetimi için hangi modelde çalışacak?
Bu envanter çıkarıldığında, hangi aşamadan başlanacağı ve hangi modelin (tek/çok sağlayıcı) uygun olduğu çoğu zaman kendiliğinden görünür hale gelir.
Datnes Bilişim olarak İletişim Ağları Çözümleri ve Siber Güvenlik Çözümleri kapsamında; SD-WAN'dan SASE'ye uzanan yolculuğu mevcut altyapınızı koruyarak planlıyor, tasarlıyor ve uçtan uca hayata geçiriyoruz.
