Seguretat de Xarxa Empresarial 2026: Guia SASE, ZTNA i NDR
El mercat global de SASE (Secure Access Service Edge) assolirà els 15.540 milions de dòlars el 2026, amb un creixement anual compost del 29% segons Gartner. Paral·lelament, el 65% de les grans empreses planifiquen substituir les seves VPN corporatives per solucions ZTNA abans de finalitzar l'any, segons la mateixa font. Aquestes dades reflecteixen una transformació estructural en la seguretat de xarxa empresarial: el perímetre tradicional ha deixat d'existir i les eines dissenyades per protegir-lo ja no són suficients.
Les xarxes corporatives actuals són híbrides, distribuïdes i multicloud. Empleats que treballen des de qualsevol ubicació, aplicacions que resideixen en múltiples proveïdors cloud, dispositius IoT que es connecten directament a la xarxa operativa. En aquest context, confiar en un tallafocs perimetral com a línia de defensa principal és l'equivalent a protegir una ciutat sense muralles amb una única porta d'accés.
Aquesta guia proporciona una arquitectura pràctica de seguretat de xarxa organitzada en sis capes: microsegmentació, tallafocs de nova generació (NGFW), SASE/SSE, ZTNA, NDR i controls específics per a entorns híbrids. Cada secció inclou criteris de selecció, passos d'implementació i referències a estàndards reconeguts. Si necessiteu context addicional sobre l'estratègia global de ciberseguretat, consulteu la nostra guia completa de ciberseguretat empresarial.
El Perímetre de Xarxa ja No Existeix
Durant dècades, la seguretat de xarxa es va basar en el model de castell i fossat: una frontera clarament definida entre la xarxa interna (de confiança) i l'exterior (hostil). Els tallafocs perimetrals, les DMZ i les VPN constituïen les defenses principals. Aquest model funcionava raonablement bé quan tots els empleats treballaven des d'oficines corporatives i totes les aplicacions residien en centres de dades propis.
Tres forces han enderrocat aquell perímetre. Primer, l'adopció massiva del cloud: les càrregues de treball ja no resideixen en un únic centre de dades, sinó distribuïdes entre AWS, Azure, GCP i entorns on-premise. Segon, el treball remot i híbrid, que ha convertit cada llar i cada cafeteria en una extensió de la xarxa corporativa. Tercer, la proliferació de dispositius IoT i OT que es connecten a la xarxa amb sistemes operatius limitats i capacitats de seguretat mínimes.
L'informe Verizon DBIR 2025 documenta que el 30% de les bretxes de seguretat s'originen en tercers amb accés a la xarxa corporativa. Un proveïdor, un contractista o un partner amb credencials VPN legítimes que accedeix des d'un dispositiu compromès representa un vector d'atac directe que el tallafocs perimetral no pot detectar.
El problema fonamental de les xarxes planes és el moviment lateral. Quan un atacant aconsegueix accés inicial —ja sigui mitjançant phishing, credencials robades o l'explotació d'una vulnerabilitat— una xarxa sense segmentació li permet moure's lliurement entre servidors, bases de dades i sistemes crítics. Segons ENISA Threat Landscape 2025, el temps mitjà des de l'accés inicial fins a l'exfiltració de dades s'ha reduït a hores en atacs sofisticats, mentre que la detecció segueix requerint dies o setmanes. L'única forma de frenar aquest moviment lateral és dissenyar la xarxa de manera que cada segment estigui aïllat i cada comunicació requereixi autorització explícita.
Microsegmentació de Xarxa: La Base de la Defensa en Profunditat
La microsegmentació divideix la xarxa en zones de seguretat granulars on cada càrrega de treball, aplicació o servei opera en un segment aïllat amb polítiques d'accés específiques. A diferència de la segmentació tradicional basada en VLANs i subxarxes, la microsegmentació aplica controls a nivell de càrrega de treball individual, independentment de la seva ubicació a la xarxa.
Macrosegmentació vs. microsegmentació. La macrosegmentació separa la xarxa en zones àmplies: producció, desenvolupament, DMZ, usuaris. La microsegmentació va més enllà: dins de la zona de producció, cada aplicació o grup de serveis té el seu propi perímetre virtual. Un servidor web només pot comunicar-se amb el seu servidor d'aplicacions corresponent, que al seu torn només accedeix a la base de dades que necessita. Si un atacant compromet el servidor web, no pot arribar a altres bases de dades ni a altres serveis de la mateixa zona.
El CIS Controls v8, Control 12 (Gestió d'Infraestructura de Xarxa), estableix la segmentació com a mesura fonamental per limitar l'abast d'un incident. NIST SP 800-207 la considera un component essencial de l'arquitectura Zero Trust.
Implementació en cinc passos.
- Mapejar el trànsit est-oest. Abans de segmentar, és imprescindible entendre com es comuniquen les càrregues de treball entre si. Les eines d'anàlisi de trànsit generen un mapa de dependències que revela comunicacions legítimes i, sovint, fluxos inesperats que representen risc.
- Definir polítiques per classificació de dades. Les zones de segmentació han d'alinear-se amb la sensibilitat de les dades que processen. Els sistemes que gestionen dades financeres, dades personals o propietat intel·lectual requereixen segments amb controls més restrictius.
- Implementar mitjançant SDN o agents d'amfitrió. La microsegmentació es pot desplegar a nivell de xarxa mitjançant SDN (Software-Defined Networking) o a nivell d'amfitrió mitjançant agents instal·lats en cada càrrega de treball. L'enfocament basat en agents ofereix major granularitat i funciona en entorns multicloud.
- Provar amb simulació de moviment lateral. Abans d'activar les polítiques en mode de bloqueig, cal verificar que les regles no interrompin comunicacions legítimes i que efectivament impedeixin el moviment lateral no autoritzat.
- Monitoritzar contínuament. Les polítiques de microsegmentació han d'evolucionar amb la infraestructura. Nous serveis, canvis en dependències i actualitzacions requereixen revisió periòdica de les regles.
En el sector financer, la microsegmentació és particularment rellevant per al compliment de PCI DSS 4.0, que exigeix l'aïllament de l'entorn de dades de targetes (CDE) de la resta de la xarxa corporativa. Una microsegmentació adequada redueix significativament l'abast del compliment PCI DSS i, per extensió, el cost de les auditories.
Tallafocs de Nova Generació (NGFW)
Els tallafocs de nova generació (NGFW) superen les capacitats d'un tallafocs tradicional en integrar funcions que abans requerien dispositius independents. Un NGFW combina filtrat de paquets amb estat, inspecció profunda de paquets (DPI), sistema de prevenció d'intrusions (IPS), inspecció de trànsit TLS xifrat, identificació d'usuaris i aplicacions, i integració amb fonts d'intel·ligència d'amenaces.
| Dimensió | Tallafocs tradicional | NGFW |
|---|---|---|
| Inspecció | Capçaleres de paquet (L3/L4) | Contingut complet (L7) |
| Identificació | IP i port | Usuari, aplicació, context |
| Prevenció d'intrusions | Requereix dispositiu separat | IPS/IDS integrat |
| Trànsit xifrat | No inspecciona | Desxifrat i inspecció TLS |
| Intel·ligència d'amenaces | Manual, basada en signatures | Automàtica, en temps real |
IDS vs. IPS: aclariment necessari. Un IDS (Intrusion Detection System) detecta i alerta sobre activitat sospitosa però no la bloqueja. Un IPS (Intrusion Prevention System) detecta i bloqueja automàticament. Els NGFW moderns integren IPS amb capacitat d'operar en mode IDS quan es requereix visibilitat sense bloqueig durant fases de prova.
Tanmateix, un NGFW per si sol no constitueix una estratègia de seguretat de xarxa completa. El NGFW protegeix els punts d'entrada i sortida de la xarxa (trànsit nord-sud), però no controla les comunicacions internes (trànsit est-oest) on la microsegmentació és imprescindible. A més, en un entorn on els usuaris accedeixen directament a aplicacions cloud sense passar per la xarxa corporativa, el NGFW perimetral ni tan sols veu aquest trànsit. Aquí és on ZTNA i SASE completen l'arquitectura.
Criteris de selecció de NGFW. En avaluar solucions, les tres mètriques més rellevants són: rendiment real amb totes les funcions d'inspecció activades (no només throughput brut), taxa de falsos positius de l'IPS (que determina la càrrega operativa de l'equip de seguretat), i capacitat d'integració nativa amb el SIEM corporatiu per a correlació d'esdeveniments.
SASE i SSE: La Convergència de Xarxa i Seguretat
SASE (Secure Access Service Edge), concepte definit per Gartner el 2019, representa la convergència de les funcions de xarxa (SD-WAN) i seguretat (SWG, CASB, ZTNA, FWaaS) en un servei unificat lliurat des del cloud. Segons Gartner, el 60% de les empreses amb estratègia SD-WAN hauran migrat a una arquitectura SASE completa abans de finalitzar el 2026.
Els cinc components de SASE.
- SD-WAN (Software-Defined Wide Area Network). Gestió intel·ligent del trànsit WAN que optimitza el rendiment i redueix costos enfront de MPLS. Incorpora xifratge de trànsit, segmentació i selecció dinàmica de ruta segons polítiques d'aplicació.
- SWG (Secure Web Gateway). Inspecció del trànsit web sortint per bloquejar l'accés a llocs maliciosos, filtrar contingut i aplicar polítiques d'ús acceptable. Substitueix els proxies web tradicionals.
- CASB (Cloud Access Security Broker). Visibilitat i control sobre l'ús d'aplicacions cloud (SaaS). Detecta shadow IT, aplica polítiques de DLP en aplicacions cloud i monitoritza activitat anòmala d'usuaris.
- ZTNA (Zero Trust Network Access). Accés remot segur basat en identitat i context, sense exposar la xarxa subjacent. Es detalla a la secció següent.
- FWaaS (Firewall as a Service). Funcionalitat de tallafocs lliurada des del cloud, aplicant polítiques de seguretat al trànsit independentment de la ubicació de l'usuari.
SASE vs. SSE. SSE (Security Service Edge) és el subconjunt de seguretat de SASE, sense el component SD-WAN. Les organitzacions que ja tenen una inversió significativa en infraestructura WAN poden adoptar SSE per obtenir les capacitats de seguretat cloud (SWG, CASB, ZTNA, FWaaS) sense reemplaçar la seva solució de connectivitat existent.
Seguretat SD-WAN. En les seus remotes, SD-WAN integra xifratge IPsec/TLS en tots els túnels, segmentació del trànsit per aplicació i, en els desplegaments més avançats, funcionalitats NGFW integrades en l'equip de sucursal. Això elimina la necessitat de redirigir tot el trànsit de les oficines remotes al centre de dades central per a la seva inspecció, reduint latència i millorant l'experiència d'usuari.
| Criteri | Arquitectura on-premise | Arquitectura SASE |
|---|---|---|
| Latència per a usuaris remots | Alta (backhauling al datacenter) | Baixa (PoP proper a l'usuari) |
| Complexitat operativa | Alta (múltiples dispositius) | Mitjana (consola unificada) |
| Escalabilitat | Requereix maquinari addicional | Elàstica, sota demanda |
| Model de cost | CAPEX elevat + manteniment | OPEX predictible |
| Seguretat per a accés directe al cloud | Limitada | Nativa |
La migració a SASE ha d'abordar-se de forma incremental. Un enfocament habitual comença amb ZTNA per substituir la VPN, afegeix SWG i CASB per al control del trànsit cloud, i finalment integra SD-WAN per optimitzar la connectivitat WAN. El nostre equip de consultoria en ciberseguretat acompanya les organitzacions en cada fase d'aquesta transició.
ZTNA: El Reemplaçament Definitiu de la VPN Corporativa
El 65% de les grans empreses planifiquen substituir les seves VPN per solucions ZTNA durant el 2026, segons Gartner. Les raons són tant de seguretat com operatives: les VPN tradicionals presenten vulnerabilitats estructurals que ZTNA resol per disseny.
Riscos de la VPN tradicional. Una VPN corporativa atorga a l'usuari accés complet a la xarxa interna un cop autenticat. Si les credencials de l'usuari estan compromeses, o si el seu dispositiu està infectat, l'atacant obté el mateix accés que un empleat legítim: visibilitat sobre tots els recursos de la xarxa. A més, les pròpies plataformes VPN són objectiu freqüent d'atacs. Els CVE publicats contra els principals fabricants de VPN el 2024 i 2025 demostren que els concentradors VPN exposats a Internet són una superfície d'atac significativa.
Mecanisme de ZTNA. ZTNA (Zero Trust Network Access) inverteix el model d'accés. En lloc de connectar l'usuari a la xarxa i permetre que hi navegui, ZTNA estableix un túnel xifrat entre l'usuari i únicament l'aplicació o recurs específic que necessita. La xarxa subjacent roman invisible. Cada sessió requereix verificació d'identitat, avaluació de l'estat del dispositiu i validació del context d'accés. No hi ha accés implícit: cada recurs requereix autorització explícita.
NIST SP 800-207 (Zero Trust Architecture) defineix els principis fonamentals d'aquest model: verificació contínua, privilegi mínim, assumpció de bretxa i decisions d'accés basades en múltiples senyals (identitat, dispositiu, ubicació, comportament).
Dos models de desplegament. ZTNA com a servei (ZTNAaaS) es desplega des del cloud del proveïdor, sense infraestructura on-premise addicional. És l'opció més habitual i la que ofereix menor temps d'implementació. ZTNA on-premise desplega els components de control en la infraestructura pròpia de l'organització, cosa que ofereix major control però requereix més recursos de gestió. Moltes organitzacions opten per un enfocament híbrid.
| Dimensió | VPN tradicional | ZTNA |
|---|---|---|
| Model d'accés | Xarxa completa després d'autenticació | Recurs específic per sessió |
| Visibilitat de la xarxa | Completa per a l'usuari | Oculta |
| Verificació | Un cop, en connectar | Contínua durant la sessió |
| Superfície d'atac | Concentrador VPN exposat | Sense infraestructura exposada |
| Moviment lateral | Possible | Impedit per disseny |
| Escalabilitat | Limitada per maquinari | Elàstica al cloud |
Prerequisits d'implementació. ZTNA requereix dues capacitats prèvies que moltes organitzacions subestimen. Primer, autenticació multifactor (MFA) robusta: sense MFA, ZTNA perd la seva capacitat de verificació forta. Segon, un inventari complet i actualitzat de dispositius: ZTNA avalua l'estat del dispositiu en cada accés, cosa que exigeix saber quins dispositius estan autoritzats i quina és la seva configuració de seguretat mínima acceptable.
NDR: Detecció i Resposta a la Capa de Xarxa
El mercat de NDR (Network Detection and Response) assolirà els 3.680 milions de dòlars el 2026, amb un creixement del 9,6% anual segons estimacions de mercat. Aquest creixement reflecteix una realitat operativa: les organitzacions necessiten visibilitat sobre el que ocorre dins de la seva xarxa, no només en els punts d'entrada i sortida.
La bretxa de detecció. Els SIEM agreguen i correlacionen logs de múltiples fonts, però depenen que els dispositius generin els esdeveniments correctes i que les regles de correlació estiguin ben definides. NDR opera de forma diferent: analitza el trànsit de xarxa en temps real, sense dependre de logs, i utilitza models de machine learning per establir línies base de comportament normal i detectar desviacions que indiquen activitat maliciosa.
Mecanisme de NDR. Els sensors NDR es despleguen en punts estratègics de la xarxa per capturar i analitzar el trànsit. Els algorismes de machine learning construeixen un perfil de comportament normal per a cada segment de xarxa, cada servidor i cada patró de comunicació. Quan un servidor que normalment només es comunica amb tres serveis interns inicia connexions cap a una IP externa o comença a escanejar ports en altres segments, el sistema genera una alerta d'alta prioritat.
Ubicació dels sensors. La cobertura efectiva requereix sensors en tres punts. Trànsit nord-sud (entre la xarxa interna i Internet) per detectar comunicacions amb servidors de comandament i control, exfiltració de dades i connexions a dominis maliciosos. Trànsit est-oest (comunicacions internes) per identificar moviment lateral, escaneig de xarxa intern i propagació de malware. Fluxos de xarxa en entorns cloud (VPC Flow Logs a AWS, NSG Flow Logs a Azure) per estendre la visibilitat a les càrregues de treball cloud.
NDR i SIEM: complementaris, no substitutius. NDR proporciona visibilitat sobre el trànsit de xarxa que el SIEM no captura: comunicacions xifrades analitzades per metadades, protocols no estàndard, i patrons de comportament que no generen logs. El SIEM, per la seva banda, correlaciona esdeveniments d'endpoints, aplicacions, identitats i xarxa en una vista unificada. La integració de tots dos ofereix la cobertura de detecció més completa.
La capacitat analítica del NDR es beneficia directament dels avenços en intel·ligència artificial. Els models de detecció d'anomalies milloren amb el volum de dades, i les organitzacions que integren NDR amb les seves solucions d'intel·ligència artificial obtenen capacitats de detecció significativament superiors a les basades en regles estàtiques.
Seguretat de Xarxa en Entorns Híbrids i Multicloud
La majoria de les organitzacions operen en entorns híbrids on les càrregues de treball es distribueixen entre infraestructura on-premise, un o més proveïdors cloud públics i, en molts casos, edge computing. Aquesta realitat introdueix tres reptes de seguretat de xarxa específics que no existien en arquitectures centralitzades.
Repte 1: trànsit est-oest al cloud. Les comunicacions entre serveis dins d'un mateix proveïdor cloud o entre regions cloud són invisibles per als controls de seguretat de xarxa on-premise. Un tallafocs perimetral no veu el trànsit entre dues instàncies EC2 a AWS ni entre dos pods de Kubernetes a GKE. Sense controls específics per a aquest trànsit, un atacant que compromet una càrrega de treball cloud pot moure's lateralment sense restricció.
Repte 2: interconnexions cloud. Les connexions entre proveïdors cloud (peering), entre cloud i on-premise (VPN site-to-site, ExpressRoute, Direct Connect) i entre cloud i partners (APIs) creen punts d'interconnexió que requereixen polítiques de seguretat específiques. Cada interconnexió és un punt potencial de fallada i un vector de propagació d'incidents.
Repte 3: trànsit xifrat. Més del 90% del trànsit web és actualment xifrat amb TLS. Tot i que el xifratge protegeix la confidencialitat, també oculta el contingut del trànsit a les eines d'inspecció. Els atacants utilitzen canals xifrats per a la comunicació amb servidors de comandament i control i per a l'exfiltració de dades, sabent que moltes organitzacions no inspeccionen aquest trànsit.
Controls per a entorns híbrids. La microsegmentació cloud-nativa (Security Groups a AWS, Network Security Groups a Azure, regles de tallafocs a GCP) ha de complementar-se amb solucions de tercers que proporcionin visibilitat i polítiques unificades en entorns multicloud. Les eines natives de cada proveïdor són eficaces dins del seu ecosistema, però no ofereixen una vista consolidada ni polítiques consistents entre proveïdors.
Les polítiques d'interconnexió han de seguir el principi de mínim privilegi: cada connexió entre entorns només permet el trànsit estrictament necessari, amb xifratge obligatori i monitorització d'anomalies. La inspecció TLS ha d'aplicar-se de forma selectiva, prioritzant les connexions de major risc i respectant les implicacions de privadesa i l'impacte en rendiment.
La Directiva NIS2 estableix requisits explícits sobre la seguretat de les interconnexions amb tercers i proveïdors cloud, exigint a les organitzacions l'avaluació i gestió del risc d'aquests punts de connexió. Les organitzacions que operen en entorns multicloud necessiten un partner especialitzat en cloud i DevOps que integri la seguretat de xarxa en el disseny de l'arquitectura cloud, no com una capa afegida a posteriori.
Full de Ruta: Com Enfortir la Seguretat de Xarxa
Abans d'invertir en tecnologia, tot responsable de TI hauria de respondre cinc preguntes diagnòstiques sobre l'estat actual de la seva seguretat de xarxa.
- ¿Pot un usuari amb accés VPN arribar a sistemes que no necessita per a la seva feina? Si la resposta és sí, la xarxa manca de segmentació adequada.
- Té visibilitat sobre les comunicacions entre càrregues de treball internes (trànsit est-oest)? Si no, el moviment lateral passarà desapercebut.
- Sap quantes aplicacions SaaS utilitzen els seus empleats sense autorització (shadow IT)? Si no, necessita un CASB amb urgència.
- El seu tallafocs inspecciona trànsit xifrat TLS? Si no, més del 90% del trànsit web travessa els seus controls sense inspecció.
- Té un inventari actualitzat de tots els dispositius que accedeixen a la xarxa corporativa? Sense inventari, ZTNA i qualsevol control basat en dispositiu seran ineficaços.
Matriu de prioritats per mida d'organització.
Organització petita (menys de 250 empleats). Prioritat: NGFW amb IPS activat, ZTNA per substituir la VPN i NDR bàsic per a visibilitat de xarxa. Aquestes tres mesures proporcionen protecció significativa amb inversió i complexitat operativa assumibles.
Organització mitjana (250-2.000 empleats). Prioritat: microsegmentació per zones de sensibilitat, ZTNA complet, migració progressiva a SASE i NDR amb integració SIEM. La segmentació de xarxa i la visibilitat de trànsit són crítiques a aquesta escala per la major superfície d'atac.
Organització gran (més de 2.000 empleats). Prioritat: arquitectura SASE completa, microsegmentació avançada a nivell de càrrega de treball, NDR amb cobertura nord-sud i est-oest, i controls específics per a entorns multicloud i interconnexions amb tercers. La complexitat de l'entorn requereix una arquitectura integrada amb gestió centralitzada de polítiques.
Independentment de la mida, les organitzacions subjectes a NIS2 han de tenir present que la primera data límit d'auditoria és el 30 de juny de 2026. La implementació de controls de seguretat de xarxa és un procés que requereix mesos de planificació, desplegament i ajust. Les organitzacions que no hagin iniciat la planificació s'enfronten a terminis molt ajustats.
Conclusió
La seguretat de xarxa empresarial el 2026 exigeix una arquitectura per capes on cada control complementa els altres: microsegmentació per limitar el moviment lateral, NGFW per a inspecció profunda del trànsit, SASE/SSE per protegir l'accés des de qualsevol ubicació, ZTNA per eliminar les vulnerabilitats inherents a la VPN, NDR per detectar amenaces que evadeixen els controls preventius, i polítiques específiques per a entorns híbrids i multicloud.
Cap d'aquestes tecnologies resol el problema de forma aïllada. El seu valor rau en la integració coherent dins d'una estratègia de seguretat que s'adapti a la realitat de cada organització: la seva mida, sector, nivell de maduresa i requisits regulatoris.
A Technova Partners ajudem les organitzacions a dissenyar i implementar arquitectures de seguretat de xarxa adaptades al seu context específic. Des de l'avaluació inicial fins al desplegament operatiu, el nostre equip aporta experiència tècnica i coneixement regulatori perquè la seguretat de xarxa sigui un habilitador del negoci, no un fre.
Necessiteu avaluar la seguretat de la vostra xarxa corporativa? Sol·liciteu una avaluació de seguretat de xarxa i obteniu un diagnòstic clar amb recomanacions prioritzades per a la vostra organització.
