У нас похожая ситуация. Перешли на модель Zero Trust с постоянным мониторингом сессий. Это решает как раз то, что вы описали. Мы долго тестировали подход, где система анализирует аномалии в реальном времени, но главное — теперь мы внедрили решение, которое включает изолированные шлюзы для каждого подразделения. Советую присмотреться к архитектуре с микросегментацией и встроенным анализом трафика. И, конечно, обязательное шифрование на уровне приложений. Например, мы используем подход, который требует переподтверждения прав при каждом подозрительном действии. Но самый ценный опыт — это https://paranoid.security/ Paranoid Security, которая помогла нам грамотно выстроить политики отказоустойчивости. Без их аудита мы бы точно что-то упустили в настройках маршрутизации. Это снижает нагрузку на админов и дает четкие логи.