Модернизация доступа к сети государственного сектора взамен устаревших VPN

Директора по информационной безопасности (CISO) и IT-руководители государственного сектора ведут постоянную борьбу за то, где и как должны работать правительственные служащие.

Хотя директивы о возвращении в офисы направлены на то, чтобы вернуть федеральных служащих на рабочие места, арбитражные решения 2026 года в ключевых гражданских ведомствах, включая IRS, Лесную службу США, Администрацию социального обеспечения и Министерство здравоохранения и социальных служб, восстановили возможности удаленной работы для сотен тысяч сотрудников. В сочетании с действующей в штатах, на местном уровне и в сфере образования (SLED) политикой гибридной работы, удаленный формат остается реальностью для всего государственного сектора.

Независимо от того, сидит ли сотрудник за столом в федеральном учреждении или работает из домашнего офиса, государственные ведомства сталкиваются с общей операционной преградой: устаревшими VPN и их статическими зашифрованными туннелями.

Изначально созданные для ориентированного на сеть мира, традиционные аппаратные VPN стали серьезной угрозой безопасности для ведомств, пытающихся защитить распределенные среды. В архитектурах VPN пропускная способность шлюза может снижаться по мере роста числа удаленных пользователей, что замедляет производительность сети и ухудшает взаимодействие с пользователем.

Для защиты как выполнения задач, так и персонала, IT-руководителям государственного сектора необходимо отказаться от устаревших сетевых туннелей и внедрить независимый от устройств облачный подход к обеспечению безопасного удаленного доступа с помощью сетевого доступа с нулевым доверием (ZTNA).

Как ведомства могут снизить аппаратную нагрузку при гибридной работе?

Федеральные органы, ведомства штатов и местные организации активно полагаются на смешанный персонал, состоящий из штатных гражданских служащих, межведомственных команд и подрядчиков. Поддержка гибридной и удаленной работы в этой разнородной среде исторически вынуждала ведомства использовать тяжелую аппаратную инфраструктуру: закупку, отправку и отслеживание предоставленного правительством оборудования для каждого внешнего подрядчика или партнера, которому требуется доступ к внутренним системам.

Эта модель, ориентированная на «железо», создает серьезные финансовые и операционные трудности. Помимо высоких первоначальных затрат на покупку физических ноутбуков, IT-команды сталкиваются с постоянными административными требованиями, включая непрерывное обновление ОС, установку патчей безопасности, устранение неполадок на конечных устройствах и отслеживание жизненного цикла оборудования для рассредоточенного персонала.

Перейдя на ориентированную на приложения архитектуру Zero Trust с помощью решения Akamai Enterprise Application Access, ведомства могут модернизировать доступ как для сотрудников, так и для подрядчиков посредством безопасных сеансов через браузер с проверкой подлинности.

Откройте для себя ключевые преимущества

Этот переход дает три важнейших организационных преимущества.

• Сокращение прямых затрат: федеральные ведомства и структуры SLED могут закупать значительно меньше физических устройств, позволяя сторонним подрядчикам безопасно получать доступ к необходимым приложениям без использования выделенных государственных ноутбуков.

Сокращение прямых затрат: федеральные ведомства и структуры SLED могут закупать значительно меньше физических устройств, позволяя сторонним подрядчикам безопасно получать доступ к необходимым приложениям без использования выделенных государственных ноутбуков.

• Минимизация поверхностей атаки: неуправляемые или подрядные конечные устройства никогда не касаются внутренней корпоративной сети ведомства и не маршрутизируются в ней. Изолируя доступ строго на уровне приложений с помощью стандартных веб-браузеров, ведомства исключают широкую видимость сети и удаляют векторы латерального перемещения.

Минимизация поверхностей атаки: неуправляемые или подрядные конечные устройства никогда не касаются внутренней корпоративной сети ведомства и не маршрутизируются в ней. Изолируя доступ строго на уровне приложений с помощью стандартных веб-браузеров, ведомства исключают широкую видимость сети и удаляют векторы латерального перемещения.

• Обеспечение операционной разгрузки для IT-команд: сокращение парка управляемых устройств освобождает IT-организации от трудоемкого цикла удаленного управления конечными точками, установки патчей ОС, распространения программного обеспечения и возврата активов.

Обеспечение операционной разгрузки для IT-команд: сокращение парка управляемых устройств освобождает IT-организации от трудоемкого цикла удаленного управления конечными точками, установки патчей ОС, распространения программного обеспечения и возврата активов.

Когда проверка безопасности переносится с физической конечной точки на уровень приложений на периферии, ведомства могут добиться снижения операционных расходов и более надежного уровня безопасности на принципах Zero Trust.

Почему устаревшие VPN становятся все большим риском для безопасности?

Хотя ограничения производительности устаревших VPN препятствуют продуктивности, риски безопасности также вызывают серьезную озабоченность. Рекомендации Агентства по кибербезопасности и инфраструктурной безопасности (CISA) неоднократно предупреждали о десятках известных используемых уязвимостей, нацеленных именно на инфраструктуру устаревших VPN.

Эта ландшафтная ситуация с уязвимостями недавно побудила официальных лиц обратиться с официальной петицией в CISA, Административно-бюджетное управление и Национальный институт стандартов и технологий с требованием установить обязательный двухлетний федеральный срок для полного удаления устаревших общедоступных VPN-серверов в гражданских сетях и сетях национальной безопасности.

Аппаратные VPN-шлюзы действуют как открытые цифровые парадные входы, которые киберпреступники и злоумышленники могут легко использовать для проведения разрушительных кибератак. Поскольку традиционные архитектуры VPN предоставляют широкий сетевой доступ после успешной аутентификации, использование уязвимости периметра может дать злоумышленнику возможность перемещаться в латеральном направлении по всей корпоративной среде. Замена устаревших VPN больше не является просто целью модернизации; она становится все более острой приоритетной задачей кибербезопасности (Рисунок).

Как доступ на основе приложений меняет модель безопасности?

Ведомствам требуется адаптивная структура, поддерживающая удаленную работу и одновременно снижающая поверхность корпоративной атаки. Переход от ориентированной на сеть архитектуры VPN к проверке на основе приложений помогает достичь этого баланса.

С помощью Enterprise Application Access, получившего в 2026 году уровень авторизации FedRAMP Moderate, конечные точки больше не подключаются напрямую к открытой сети ведомства. Вместо этого архитектура устанавливает изолированное соединение с проверкой подлинности, которое разрешает трафик строго в адрес конкретных частных ресурсов и обратно.

Платформа использует исходящие коннекторы приложений для установления безопасного доступа к частным приложениям, помогая ведомствам избегать прямой демонстрации этих приложений публичному интернету или открытия входящих портов брандмауэра для удаленных пользователей.

В совокупности эти возможности решают три основные задачи доступа и безопасности:

• Обеспечение универсального доступа

Обеспечение универсального доступа

• Сокращение публичной экспозиции и латерального перемещения

Сокращение публичной экспозиции и латерального перемещения

• Поддержка продвижения к «оптимальному» уровню CISA

Поддержка продвижения к «оптимальному» уровню CISA

Обеспечение доступа, не зависящего от устройства

Enterprise Application Access обеспечивает полностью независимый от устройств пользовательский опыт. Авторизованные подрядчики и сотрудники могут безопасно получать доступ к необходимым веб-приложениям, внутренним инструментам и платформам для совместной работы напрямую через стандартный веб-браузер. Это избавляет от необходимости переключаться между несколькими физическими устройствами или бороться со снижающими пропускную способность программными клиентами.

Снижение уязвимости для внешних пользователей и предотвращения латерального перемещения

Скрывая исходные серверы внутренних приложений за границей сети Akamai и создавая исчерпывающие журналы аудита, Enterprise Application Access закрывает уязвимые цифровые точки входа. Политики безопасности, многофакторная аутентификация и проверка подлинности постоянно контролируются при передаче данных.

Даже если отдельные учетные данные или конечная точка будут скомпрометированы вредоносным ПО, доступ на уровне приложений помогает ограничить латеральное перемещение по всей корпоративной сети, защищая конфиденциальные данные с помощью сквозного шифрования как при передаче, так и в состоянии покоя.

Поддержка продвижения к «оптимальному» уровню по классификации CISA

Федеральные директивы требуют, чтобы современные концепции удаленного доступа соответствовали модели зрелости Zero Trust (нулевого доверия) CISA. В рамках компонента «Сети» модели CISA замена широкого сетевого подключения программно-определяемой проверкой для конкретных приложений явно указана как ключевая возможность, необходимая для достижения наивысшего уровня зрелости.

Enterprise Application Access помогает государственным ведомствам переходить к этой модели доступа с минимальными привилегиями для конкретных приложений в рамках более широкой архитектуры Zero Trust.

Как государственным ведомствам сбалансировать безопасный доступ и производительность труда сотрудников?

Обеспечение безопасности современной распределенной гибридной рабочей силы в государственном секторе не должно происходить в ущерб производительности пользователей. Перенеся проверку сетевого доступа в Enterprise Application Access, федеральные ведомства и организации государственного и местного управления (SLED) могут снизить подверженность критическим уязвимостям и помочь своим командам сохранять высокую производительность.

Об авторе

Кендрик Дэниел (Kendrick Daniel)

Кендрик Дэниел — инженер по решениям в компании Akamai, специализирующийся на государственном секторе. Более десяти лет Кендрик посвятил поддержке федеральных гражданских ведомств и технологических инициатив государственного сектора. Он имеет степень бакалавра делового администрирования в области управленческих информационных систем бизнес-школы Гоузуэта при Университете Эмори и в настоящее время проживает в Сиэтле, штат Вашингтон.

Сегодня веб-сайт должен обслуживать как людей, так и искусственный интеллект. К сожалению, эффективно обслуживать обе аудитории с помощью одного и того же ответа не получится.

Тенденции

У вашего веб-сайта теперь две аудитории: люди и ИИ

Оптимизируйте свой сайт как для людей, так и для ИИ-краулеров с помощью Akamai Functions и Akamai Bot Manager на границе сети для повышения производительности и видимости для ИИ.

Если вы не можете доверить своему агенту соблюдение ограничений и игнорирование вредоносных входных данных, вы не можете его использовать.

Тенденции

Кризис безопасности агентных систем: почему вам нужно действовать прямо сейчас

Akamai и RAD Security выпустили новый инструмент, работающий в облаке Akamai Cloud, который помогает защитить развертывание OpenClaw. Узнайте, как попробовать его самостоятельно.

Проблема заключается не в недостатке интеллекта модели, а в архитектурном несоответствии.

Тенденции

Сделка Mistral и Koyeb и сдвиг в сторону архитектурной зрелости в сфере ИИ

Недавнее приобретение Koyeb компанией Mistral демонстрирует тенденцию в отрасли к приоритизации архитектурной зрелости для искусственного интеллекта.