В общем, если говорить про онпрем, я бы лично продвинула 802.1x, чтобы не пускать не соотв. Клиентов в сеть вообще. И оставить внутри встроенные средства. В периметре что-то дополнительно. Ибо хорошо иметь разные решения для защиты. И если облако принимается хоть в каком то виде то atp поверх всего, или другой аналог
802.1х надо продвигать на уровне руководства и тащить вниз через через сетевиков. Плюс мс же убило этот как его, network что то там , чем отделять то несоответствия?