Zero Trust Architecture: Định nghĩa lại bảo mật mạng doanh nghiệp

Zero Trust Architecture là mô hình bảo mật dựa trên nguyên tắc "không bao giờ tin mặc định, luôn xác minh": mọi yêu cầu truy cập, dù đến từ trong hay ngoài mạng công ty, đều phải được xác thực, ủy quyền và đánh giá rủi ro trước khi được chấp nhận. Doanh nghiệp cần Zero Trust vì vành đai mạng truyền thống đã gần như biến mất khi nhân viên làm việc từ xa, dữ liệu nằm trên đám mây và ứng dụng SaaS được dùng khắp nơi.

Mô hình lâu đài và hào nước đã lỗi thời

Mô hình bảo mật truyền thống giống một tòa lâu đài: tường lửa là bức tường, VPN là cây cầu, và ai đã vào bên trong thì được tin tưởng. Mô hình này có hai điểm yếu lớn. Thứ nhất, khi kẻ tấn công vượt qua được bức tường, ví dụ nhờ một email lừa đảo, chúng di chuyển tự do bên trong. Thứ hai, "bên trong" không còn rõ ràng: dữ liệu nằm trên Microsoft 365, Google Workspace, AWS; nhân viên làm việc từ nhà; đối tác truy cập qua API.

Zero Trust không xóa bỏ tường lửa, mà dời điểm kiểm soát từ biên mạng về từng tài nguyên. Câu hỏi không còn là "người này có ở trong mạng không" mà là "người này, trên thiết bị này, vào lúc này, có nên được truy cập đúng tài nguyên này không".

Ba nguyên tắc cốt lõi

1. Xác minh tường minh: quyết định truy cập dựa trên mọi tín hiệu có sẵn: danh tính, trạng thái thiết bị, vị trí, thời gian, mức nhạy cảm của dữ liệu, hành vi bất thường.
2. Quyền tối thiểu: chỉ cấp quyền vừa đủ cho công việc, trong thời gian cần thiết. Quyền quản trị nên được cấp theo yêu cầu và tự hết hạn.
3. Giả định đã bị xâm nhập: thiết kế hệ thống sao cho khi một phần bị chiếm, thiệt hại được khoanh vùng; mã hóa đầu cuối, phân đoạn nhỏ, giám sát liên tục.

Các thành phần của kiến trúc Zero Trust

Danh tính là trung tâm

Hệ thống quản lý danh tính tập trung với đăng nhập một lần (SSO) và xác thực đa yếu tố là nền móng. Phương thức chống phishing như khóa bảo mật FIDO2 hay passkey được ưu tiên hơn SMS. Chính sách truy cập có điều kiện đánh giá rủi ro cho mỗi lần đăng nhập.

Thiết bị

Chỉ thiết bị được quản lý, đã mã hóa, đã cập nhật và có phần mềm bảo vệ mới được truy cập dữ liệu nhạy cảm. Chi tiết về lớp này có trong bài bảo mật thiết bị đầu cuối khi làm việc từ xa.

Mạng

Phân đoạn nhỏ (microsegmentation) giới hạn máy nào được nói chuyện với máy nào. Truy cập ứng dụng nội bộ qua ZTNA (Zero Trust Network Access) thay vì đưa người dùng vào cả mạng như VPN.

Ứng dụng và khối lượng công việc

Ứng dụng tự xác thực mọi yêu cầu, kể cả giữa các dịch vụ nội bộ với nhau. Với hệ thống kiến trúc microservices, điều này thường được hiện thực bằng mTLS và service mesh.

Dữ liệu

Phân loại dữ liệu theo mức nhạy cảm, mã hóa, ngăn rò rỉ (DLP) và áp quyền truy cập theo phân loại đó.

Giám sát và phân tích

Mọi quyết định truy cập được ghi log và phân tích để phát hiện bất thường, phản hồi lại vào chính sách.

So sánh với mô hình truyền thống

Lộ trình áp dụng cho doanh nghiệp vừa và nhỏ

Zero Trust nghe có vẻ phức tạp và tốn kém, nhưng doanh nghiệp không cần làm mọi thứ một lúc. Một lộ trình thực tế:

1. Kiểm kê: người dùng, thiết bị, ứng dụng, dữ liệu quan trọng và luồng truy cập giữa chúng.
2. Củng cố danh tính: hợp nhất tài khoản về một hệ thống, bật MFA cho tất cả, đặc biệt là quản trị viên và truy cập email.
3. Quản lý thiết bị: đăng ký thiết bị, áp chính sách tối thiểu, dùng trạng thái thiết bị trong chính sách truy cập.
4. Thu hẹp quyền: rà soát quyền quản trị, xóa tài khoản không dùng, cấp quyền đặc biệt theo thời hạn.
5. Thay VPN cho ứng dụng web nội bộ bằng giải pháp ZTNA, bắt đầu từ ứng dụng ít rủi ro.
6. Phân đoạn mạng cho máy chủ quan trọng và hệ thống sao lưu.
7. Giám sát: tập trung log danh tính, thiết bị, truy cập; thiết lập cảnh báo.

Nhiều doanh nghiệp đã có sẵn một phần công cụ trong gói Microsoft 365 hay Google Workspace mà chưa khai thác. Bắt đầu từ những gì đã trả tiền là cách tiết kiệm nhất.

Những trở ngại thường gặp

Hệ thống cũ không hỗ trợ xác thực hiện đại là rào cản phổ biến; giải pháp tạm thời là đặt chúng sau proxy có xác thực. Văn hóa "ai cũng là admin" cũng gây khó khăn khi thu hẹp quyền, cần sự ủng hộ rõ ràng của lãnh đạo. Cuối cùng là tâm lý coi Zero Trust như dự án một lần. Thực tế, đây là quá trình liên tục điều chỉnh chính sách theo thay đổi của doanh nghiệp. Nhiều sai lầm bảo mật phổ biến của doanh nghiệp Việt, như dùng chung tài khoản hay cấp quyền quá rộng, chính là những gì Zero Trust hướng tới khắc phục.

Zero Trust không làm doanh nghiệp miễn nhiễm với tấn công, nhưng thay đổi căn bản kết quả: một tài khoản bị lộ không còn đồng nghĩa với việc mất toàn bộ hệ thống. Trong bối cảnh tấn công ngày càng tinh vi, đó là khác biệt rất lớn.