Wyden begründet seine Forderung damit, dass Bundesbehörden und Regierungsauftragnehmer seit Jahren wegen ihrer Abhängigkeit von älteren, unsicheren und über das öffentliche Internet erreichbaren VPN-Servern für den Mitarbeiterzugang Ziel schwerer Cyberangriffe geworden seien. In seinem Schreiben an CISA, OMB und NIST erklärt er, diese Stellen müssten die Führung bei der Entfernung solcher Systeme aus den Regierungsnetzen übernehmen.
Als Beleg nennt der Senator mehrere jüngere Angriffskampagnen auf VPN- und Fernzugriffsinfrastrukturen. Genannt werden dabei Produkte von Cisco, Fortinet, Ivanti und Check Point. Verwundbare VPNs seien mit hohem Risiko verbunden, weil ihnen moderne Sicherheitsvorkehrungen fehlten. Da diese Einstiegspunkte öffentlich exponiert seien, könnten Hacker sie leicht aufspüren, gezielt angreifen und in Systeme eindringen, so Wyden.
Nach seiner Darstellung haben ausländische Gegner über solche Angriffe administrativen Zugang zu Zielnetzwerken erhalten. Das habe ihnen ermöglicht, sensible Daten aus US-Regierungsbehörden und Unternehmen zu stehlen. Wyden benennt in dem Schreiben ausdrücklich russische und chinesische Hacker als Hintergrund der aktuellen Besorgnis über die Nutzung jahrealter VPN-Systeme gegen Bundesnetze.
Der Senator, der dem Geheimdienstausschuss des Senats angehört, hält das Problem für lösbar. Er verweist darauf, dass heute verfügbare Fernzugriffswerkzeuge den „digitalen Vordereingang“ schließen könnten, indem sie Nutzern Zugriff gewährten, ohne ihre Präsenz nach außen sichtbar zu machen.
Konkret fordert Wyden von CISA, für zivile Behörden eine Frist von zwei Jahren festzulegen, um öffentlich erreichbare Fernzugriffssysteme auszusortieren und durch Zero-Trust-Architekturen zu ersetzen. Für die NSA als Teil des Verteidigungsministeriums verlangt er eine entsprechende Anordnung zur Bereinigung „aller Altsysteme für den Fernzugriff und aller Perimeter-Einstiegspunkte in militärischen, nachrichtendienstlichen und anderen nationalen Sicherheitsnetzen des Bundes“.
Zudem drängt Wyden NIST, „Umsetzungsstandards“ für Behörden zu erarbeiten, die auf Zero-Trust-Architekturen migrieren. Diese Konzepte setzen auf eine regelmäßige Überprüfung von Nutzern und gehen davon aus, dass sich Angreifer bereits im Netzwerk befinden können. OMB soll nach Wydens Vorstellung außerdem ein Memorandum ausarbeiten, das Bundesbehörden zu Investitionen in Zero-Trust-Infrastruktur verpflichtet.