Son dos de las siglas más repetidas —y más confundidas— en cualquier conversación reciente sobre seguridad perimetral. No es casualidad: Gartner definió SASE en 2019 y SSE en 2021, y la segunda nació literalmente como un recorte de la primera.
Qué es SASE
SASE (Secure Access Service Edge) es una arquitectura que converge dos mundos que históricamente estaban separados: las capacidades de red de una WAN (principalmente SD-WAN) y un conjunto de funciones de seguridad, entregadas todas como un único servicio nativo de nube. La idea de fondo: en vez de que el tráfico pase por un data center central para que lo inspeccione la seguridad corporativa, la seguridad se mueve al borde, cerca de donde está el usuario, sea cual sea su ubicación.
Qué es SSE
SSE (Security Service Edge) es, en la práctica, la mitad de seguridad de SASE sin la mitad de red. Agrupa las mismas funciones de seguridad —puerta de enlace web segura (SWG), broker de seguridad de acceso a la nube (CASB), acceso a red de confianza cero (ZTNA) y, en muchos casos, prevención de pérdida de datos (DLP)— pero sin incluir el componente SD-WAN.
SASE es SSE más la red. Si a un proveedor de SASE le quitas el SD-WAN, lo que queda es, por definición, SSE.
Por qué Gartner separó las dos cosas
Muchas organizaciones ya tenían una inversión importante en SD-WAN —a veces de un proveedor distinto al de seguridad— y no querían (ni necesitaban) reemplazar toda su red para modernizar la seguridad. SSE les da esa puerta de entrada: adoptar la parte de seguridad de forma independiente, sin tocar la red todavía. Por eso Gartner mantiene cuadrantes mágicos separados para SASE y para SSE desde 2022: el mercado se dividió en la práctica, no solo en la teoría.
La trampa comercial más común
No todo lo que un proveedor llama «SASE» lo es realmente. Antes de comprar, vale la pena preguntar directamente:
- ¿El SD-WAN es propio, o es una integración con un tercero?
- ¿Los distintos módulos de seguridad comparten una única consola y un único motor de políticas, o son productos distintos con una marca común?
- ¿Qué pasa si solo necesito la parte de seguridad hoy y la de red más adelante?
Si la respuesta a la primera pregunta es «integración con un tercero» y la política no es unificada, es probable que estés evaluando SSE con una etiqueta de SASE encima.
En resumen
Si tu prioridad inmediata es seguridad de acceso —web, nube, aplicaciones privadas— sin tocar la red todavía, estás buscando SSE. Si además quieres converger la red (sustituir o integrar el SD-WAN) en la misma plataforma, estás buscando SASE. Ninguna es «mejor» en abstracto: depende de dónde esté tu organización en ese camino.