Cos'è Island Enterprise Network? Come funziona Browser-First SASE?

Island Enterprise Network è l'architettura SASE di Island che sposta l'applicazione delle policy dal livello proxy di rete al browser e all'endpoint, in modo che la maggior parte del traffico raggiunga la sua destinazione direttamente senza essere instradata attraverso un punto di ispezione cloud remoto. Offre ZTNA, SWG, CASB, DLP, RBI e DEX da un unico motore di policy, con applicazione al momento dell'interazione. La maggior parte delle sessioni avviene direttamente. L'ispezione viene eseguita solo quando apporta un reale valore aggiunto.

Cos'è Island Enterprise Network e in cosa si differenzia dal tradizionale SASE?

Island Enterprise Network è il componente di rete e connettività della piattaforma aziendale di Island, lanciata a marzo 2026. Offre una suite completa di servizi di accesso sicuro (SASE), che include accesso privato, gateway web sicuro, prevenzione della perdita di dati, broker di sicurezza per l'accesso al cloud, isolamento del browser remoto e monitoraggio dell'esperienza digitale, il tutto gestito da un unico motore di policy.

La principale differenza architetturale rispetto al SASE tradizionale risiede nel punto in cui avviene l'applicazione delle policy. I prodotti SASE legacy di fornitori come Zscaler, Netskope e Palo Alto Prisma instradano tutto il traffico attraverso nodi proxy basati su cloud, lo decifrano e lo ispezionano lì, per poi inoltrarlo a destinazione. Island Enterprise Network fa l'opposto: applica le policy all'interno del browser e a livello di dispositivo, prima che i dati lascino la sessione. Il livello di rete viene utilizzato in modo selettivo, solo quando l'instradamento o l'ispezione aggiungono valore che l'applicazione locale non può fornire.

Island definisce questa architettura "Perfect Packet". Per la maggior parte delle sessioni, non è previsto alcun passaggio tramite proxy. Il traffico viaggia direttamente. La sicurezza segue l'utente, non attraverso un punto di strozzatura centralizzato.

Perché il backhauling SASE non è adatto alle moderne esigenze aziendali?

SASE con proxy in primo piano è stato concepito per un'epoca in cui le applicazioni aziendali risiedevano nei data center e la maggior parte del traffico aziendale transitava su HTTP. Quel modello richiedeva che tutto passasse attraverso un punto di ispezione centrale, poiché non esisteva altro modo per applicare le policy. L'architettura aveva senso nel 2010, ma oggi non rispecchia più il modo in cui il lavoro si svolge realmente.

Tre specifici fallimenti definiscono il divario attuale.

Innanzitutto, la crittografia moderna rende inefficace l'ispezione tramite proxy. La maggior parte del traffico web ora utilizza TLS 1.3 e HTTP/2, HTTP/3 e QUIC sono standard in tutti i principali browser. Il certificate pinning impedisce la decrittazione per un numero crescente di applicazioni. Implementazioni crittografiche post-quantistiche sono già presenti in Chrome e Firefox. Questi protocolli sono strutturalmente incompatibili con le architetture legacy di tipo "break-and-inspect" (intercettazione e ispezione). Quando un proxy non è in grado di decrittografare il traffico, lo esenta dall'ispezione. Ogni esenzione rappresenta una sessione al di fuori del perimetro di sicurezza.

In secondo luogo, la latenza e l'attrito inducono a ricorrere a soluzioni alternative. Quando l'applicazione delle norme dipende dall'instradamento di ogni sessione attraverso un nodo cloud remoto, gli utenti se ne accorgono. Le sessioni CRM subiscono ritardi. Le videochiamate si interrompono. I flussi di lavoro SaaS si bloccano quando l'ispezione proxy interferisce con il comportamento delle applicazioni moderne. Gli utenti trovano il modo di aggirare questi ostacoli. Tali soluzioni alternative, tuttavia, ampliano la superficie di attacco.

I numeri confermano il divario. Secondo LayerX Rapporto sulla sicurezza del browser 2025Il 77% dei dipendenti aziendali incolla dati nei prompt di GenAI e l'82% di questa attività avviene tramite account personali non gestiti. Nessuna di queste attività passa attraverso un proxy aziendale. Nessuna di queste attività è visibile a Zscaler, Netskope o a qualsiasi strumento di ispezione del livello di rete.

Nell'ambito di tutte le attività di navigazione aziendale, le organizzazioni non hanno visibilità sull'89% dell'utilizzo dell'IA al loro interno, poiché il 67% dei dipendenti accede agli strumenti GenAI tramite account personali e un ulteriore 21% utilizza account aziendali senza Single Sign-On (SSO). Il proxy non visualizza affatto la sessione.

In terzo luogo, l'IA ha reso impossibile ignorare il divario di visibilità. Un utente incolla dati interni in un prompt di ChatGPT. Un agente IA richiama uno strumento esterno tramite MCP. L'output generato viene spostato in un repository di codice. Nulla di tutto ciò viaggia sulla rete in un modo che un proxy possa interpretare. L'ispezione di rete vede le connessioni. Non può vedere le azioni degli appunti, il contesto del tenant, il contenuto del prompt o ciò che un utente ha digitato in un campo di input del browser. I fornitori SASE tradizionali rispondono nell'unico modo consentito dalla loro architettura: bloccare l'IA o consentirla. Nessuna delle due opzioni la governa.

Il risultato è a sicurezza del browser una lacuna che si trova al di fuori di ogni controllo di sicurezza tradizionale, indipendentemente dal livello di maturità dello stack SASE.

Come fa Island Enterprise Network a garantire la sicurezza senza utilizzare un proxy?

Island Enterprise Network sposta il punto di applicazione delle policy dalla rete al browser e all'endpoint. Per il traffico del browser, le policy vengono applicate nativamente a livello DOM, prima del rendering del contenuto e prima che i dati lascino la sessione. Island opera all'interno di Chromium, quindi vede direttamente il contenuto renderizzato e l'intento dell'utente, senza dedurlo dai metadati dei pacchetti. Non vi è alcun reindirizzamento del traffico, nessuna intercettazione TLS e nessuna ispezione.

Questo funziona perché Island controlla direttamente il browser. L'Enterprise Browser di Island è basato su Chromium. L'estensione Enterprise Browser di Island estende funzionalità simili a Chrome ed Edge senza richiedere il cambio di browser. Entrambe consentono a Island di accedere direttamente al livello di presentazione: la pagina renderizzata, il campo di input, l'evento degli appunti, la finestra di dialogo per il caricamento dei file. Questi sono i segnali che il proxy SASE non può raggiungere.

Per il traffico esterno al browser, le applicazioni desktop, i servizi in background e i protocolli legacy, Island Desktop intercetta il traffico a livello di dispositivo e lo instrada selettivamente alla rete globale di Island per l'ispezione, solo quando richiesto dalle policy. Il tunneling basato su WireGuard gestisce il trasporto crittografato su tutte le porte e i protocolli.

Identità, configurazione del dispositivo, geolocalizzazione, contesto dell'applicazione e azioni dell'utente vengono valutati localmente, in tempo reale, al momento dell'interazione. Un unico motore di policy gestisce browser, endpoint e rete. Non vi è alcuna concatenazione di servizi tra console separate o motori di ispezione separati.

Island afferma che fino al 90% delle sessioni avviene direttamente, senza backhaul. L'implementazione su dispositivi gestiti e non gestiti richiede solo cinque minuti. L'accesso alle applicazioni è fino a 10 volte più veloce quando il traffico segue il percorso diretto anziché passare attraverso un nodo proxy.

Quali funzionalità SASE include Island Enterprise Network?

Island Enterprise Network offre l'intero stack SASE da un unico piano di controllo. Ogni funzionalità viene applicata per impostazione predefinita a livello di browser e di endpoint, con la rete utilizzata come soluzione di ripiego per gli scenari in cui l'applicazione a livello di dispositivo non è possibile. La piattaforma copre Sicurezza SaaS e il traffico web attraverso lo stesso motore di policy, senza console o set di regole separati.

Accesso privato all'isola (ZTNA). Accesso zero trust a livello di applicazione per applicazioni web e non web, conforme allo standard NIST SP 800-207. L'accesso viene concesso per applicazione, per sessione, in base al ruolo dell'utente, alla configurazione del dispositivo, alla posizione e all'identità, valutate in modo continuo anziché solo al momento del login. Le risorse private rimangono inaccessibili da Internet. Island Desktop estende lo stesso modello a tutte le porte e i protocolli, inclusi SSH, RDP, SMB, SIP e QUIC, tramite tunnel basati su WireGuard.

Gateway Web sicuro (SWG). Il traffico del browser viene gestito a livello DOM con filtri URL, protezione antimalware, antiphishing e sicurezza DNS applicati prima del rendering delle pagine. Nessun reindirizzamento tramite proxy. Nessuna ispezione TLS. Per il traffico esterno al browser, Island Desktop lo indirizza selettivamente al SWG cloud di Island, applicando l'ispezione SSL/TLS solo quando richiesto dalle policy.

Protezione dei dati (DLP). Island protegge i dati a livello DOM prima della crittografia. La copertura si estende agli eventi degli appunti, al caricamento e al download dei file e agli screenshot. Il rilevamento utilizza il riconoscimento di pattern, la corrispondenza esatta dei dati (EDM), l'OCR e classificatori basati sull'intelligenza artificiale. La stessa policy si applica a tutti i canali di browser, endpoint e rete senza richiedere configurazioni separate.

Protezione delle API SaaS (CASB). Visibilità e controllo sugli ambienti SaaS tramite API native, monitoraggio di file, autorizzazioni, configurazioni e condivisione delle attività senza reindirizzamento del traffico. Gli stessi rilevatori DLP utilizzati in linea vengono applicati fuori banda ai contenuti archiviati nel cloud. La correzione può essere automatizzata, supervisionata dall'amministratore o gestita dall'utente.

Governance dell'IA e dell'IA agentiva. Island gestisce l'IA nel punto di interazione, prima che i dati lascino il dispositivo. Il rilevamento basato sul contenuto analizza in tempo reale prompt, caricamenti e dati attraverso strumenti come ChatGPT, Microsoft Copilot e Gemini. Per l'IA agentiva, le chiamate agli strumenti, l'accesso all'MCP e la comunicazione tra agenti sono gestiti a livello di presentazione e registrati con una traccia di controllo completa.

Isolamento del browser remoto (RBI). L'isolamento locale viene eseguito nativamente all'interno del browser, disabilitando le API di Chromium ad alto rischio sui siti non categorizzati. RBI basato su cloud viene richiamato dinamicamente solo per il piccolo sottoinsieme di siti che richiedono tali API per funzionare.

Monitoraggio dell'esperienza digitale (DEX). Le prestazioni delle applicazioni, lo stato di salute del dispositivo, la latenza di rete e l'utilizzo delle risorse vengono rilevati nel browser e tramite Island Desktop. Poiché l'applicazione delle policy non altera il percorso del traffico, DEX riflette l'esperienza utente reale, non un'approssimazione instradata tramite proxy.

Come si confronta Island Enterprise Network con Zscaler, Netskope e Cloudflare?

Island Enterprise Network e i fornitori tradizionali di SASE si trovano ad affrontare lo stesso problema di fondo: come applicare le policy di sicurezza a una forza lavoro distribuita che utilizza strumenti SaaS e di intelligenza artificiale da qualsiasi dispositivo? Le architetture divergono sul punto in cui avviene l'applicazione delle policy, e questa differenza ha conseguenze concrete in termini di copertura, prestazioni e governance dell'IA.

Zscaler Instrada tutto il traffico attraverso il suo cloud Zero Trust Exchange, applicando l'ispezione in linea su larga scala in oltre 150 data center. È la piattaforma SSE proxy-first più matura disponibile. Il compromesso risiede nel modello di ispezione: Zscaler decifra, ispeziona e ricifra le sessioni a livello di rete. Non può visualizzare le azioni degli appunti, il contenuto a livello DOM o ciò che un utente ha digitato in un prompt di ChatGPT. La governance basata sull'IA è limitata alle decisioni di autorizzazione/blocco a livello di connessione. Zscaler funziona su qualsiasi dispositivo, ma ha una visione molto più limitata di ciò che accade all'interno di ciascuna sessione.

Netskope Netskope si distingue per la protezione dei dati, grazie a un CASB integrato e a policy DLP specifiche per ogni istanza, che distinguono gli account aziendali da quelli personali. La sua rete NewEdge è progettata appositamente per l'elaborazione della sicurezza in linea. Netskope offre una visibilità più completa rispetto a Zscaler per gli scenari DLP SaaS, ma condivide la stessa limitazione architetturale: l'applicazione delle policy risiede nel proxy cloud, non nel browser. Le azioni che avvengono all'interno della pagina, prima che i dati raggiungano la rete, rimangono invisibili.

Cloudflare Uno Offre la più ampia rete edge globale (oltre 330 città) e l'esperienza di implementazione ZTNA più semplice del settore. È la soluzione più veloce da configurare e la più accessibile per le organizzazioni di piccole dimensioni. Le sue funzionalità CASB e DLP sono più recenti e meno mature rispetto a Netskope o Zscaler. Come entrambi, Cloudflare applica le restrizioni a livello di rete, non a livello di browser.

Island Enterprise Network opera su un piano di controllo completamente diverso. Poiché funziona sia all'interno del browser che a livello di endpoint, è in grado di rilevare ciò che il proxy SASE non può: contenuti renderizzati, eventi degli appunti, testo di richiesta, trasferimenti di file tra applicazioni e chiamate a strumenti agenti. Il compromesso riguarda il modello di implementazione. Island richiede il passaggio a un browser diverso (basato su Chromium) oppure l'installazione di un'estensione su Chrome o Edge. Le organizzazioni che necessitano di un controllo a livello di browser senza chiedere agli utenti di cambiare browser hanno a disposizione una categoria di opzioni separata da valutare.

Chi dovrebbe prendere in considerazione Island Enterprise Network e quando è più opportuno adottare un'estensione per browser?

Island Enterprise Network è la soluzione ideale per le organizzazioni che hanno già deciso di consolidare il proprio stack di sicurezza attorno a un'unica piattaforma e che sono disposte a standardizzare l'utilizzo del browser o dell'estensione di Island come punto di applicazione principale. Il modello di implementazione prevede la migrazione degli utenti al browser di Island basato su Chromium oppure l'installazione dell'estensione di Island su Chrome o Edge. Per le organizzazioni con rigide normative sui browser o ambienti endpoint standardizzati, si tratta di un'operazione gestibile. Per le organizzazioni con ambienti browser eterogenei, per i collaboratori esterni che utilizzano dispositivi personali o per i team che necessitano di sicurezza su Safari, Firefox e altri browser basati su Chromium, inclusi ChatGPT Atlas e Perplexity Comet, l'ambito di implementazione è più ampio e il percorso più complesso.

La lacuna nell'applicazione a livello di browser è reale indipendentemente dal fornitore SASE utilizzato da un'organizzazione. Proxy SASE non vede all'interno delle sessioni del browser. Tale lacuna è particolarmente acuta per BYOD e dispositivi non gestiti scenari in cui gli agenti e i certificati richiesti dal SASE tradizionale spesso non possono essere installati affatto, e per la governance dell'IA, dove l'attività rilevante si svolge in un campo di input del browser anziché sulla rete.

Le organizzazioni che valutano come colmare questo divario hanno due strade. La prima è l'approccio di Island: un browser o un'estensione aziendale appositamente progettati che offrono a un unico fornitore il controllo sul browser stesso. La seconda è un'estensione per browser aziendale che funziona con qualsiasi browser già in uso dagli utenti, senza richiedere un cambio di browser, modifiche all'architettura di rete o un progetto di migrazione.

Come LayerX risolve questo problema

La sfida che Island Enterprise Network affronta, ovvero che il proxy SASE non può vedere all'interno delle sessioni del browser, è lo stesso problema che LayerX è stato creato per risolvere. La piattaforma di sicurezza del browser e AI senza agenti di LayerX offre visibilità dell'ultimo miglio e applicazione in tempo reale come estensione del browser aziendale che funziona su qualsiasi browser già utilizzato dai dipendenti, inclusi Chrome, Edge, Safari, Firefox e qualsiasi browser basato su Chromium, senza chiedere a nessuno di cambiare browser o ristrutturare l'architettura di rete. Per le organizzazioni che necessitano di sicurezza a livello di browser controllo dell'utilizzo dell'IAGrazie alla scoperta di informazioni riservate tramite IA, alla prevenzione della perdita di dati tramite IA e alla governance delle identità su account personali e aziendali, LayerX offre protezioni intelligenti adattive al rischio nel punto di interazione, dal monitoraggio all'avviso, dalla prevenzione alla redazione, senza alcun impatto sull'esperienza utente. Il modello di applicazione raggiunge lo stesso livello finale di Island Enterprise Network, ma con una diversa modalità di implementazione: anziché controllare il browser, LayerX estende l'applicazione delle policy a qualsiasi browser già in esecuzione nell'azienda.

Richiedi un demo

Come viene implementata Island Enterprise Network?

Island Enterprise Network è progettato per un'implementazione graduale, con ogni fase che offre valore autonomo fin dal primo giorno.

Fase 1: Estensione dell'isola. Controllo immediato delle policy sui browser Chrome o Edge esistenti. Nessuna riconfigurazione di rete. Nessuna sostituzione completa. La governance inizia dal primo giorno. Questa è la soluzione più rapida per l'applicazione delle policy a livello di browser per le organizzazioni che non desiderano migrare immediatamente gli utenti a un nuovo browser.

Fase 2: Island Enterprise Browser. Basato su Chromium con supporto nativo per IPv6, TLS 1.3, HTTP/3 e crittografia post-quantistica. Applicazione completa a livello DOM. Non sono necessarie liste di bypass. Gli utenti ottengono un'esperienza di navigazione personalizzata con strumenti di produttività integrati.

Fase 3: Desktop dell'isola. Estende lo stesso modello di policy alle applicazioni desktop, ai protocolli legacy e al traffico a livello di dispositivo. Un'unica identità. Un'unica valutazione della postura. Un'unica struttura di policy per browser e dispositivi.

Fase 4: Proxy esplicito e IPsec. Per gli ambienti in cui non è possibile distribuire l'agente del browser o dell'endpoint, Island supporta il proxy esplicito (file PAC) per le implementazioni gestite senza agente e i tunnel IPsec per la copertura a livello di sito, comprese le filiali e le infrastrutture IoT/OT.

La rete globale di Island si estende su tre hyperscaler (GCP, AWS, Azure) con due stack di rete indipendenti e oltre 100 punti di presenza a livello globale. Ogni PoP esegue l'intero stack di servizi. Client e connettori si connettono simultaneamente a più PoP, in modo che un'interruzione del cloud a livello regionale non causi disagi agli utenti.