Zero Trust (ZT) không chỉ là một cụm từ quảng bá, mà là một kiến trúc bảo mật hoàn toàn thay đổi cách tư duy về phòng vệ mạng doanh nghiệp. Thay vì dựa vào tường lửa biên giới — giả sử mọi thứ bên trong mạng nội bộ là an toàn — Zero Trust khởi đi từ nguyên tắc không bao giờ tin tưởng, luôn xác minh. Mọi yêu cầu truy cập, dù đến từ máy để bàn văn phòng hay điện thoại của nhân viên làm việc từ xa, đều phải trải qua bước xác thực và ủy quyền trước khi được chạm tới tài nguyên.
Lý tưởng này ra đời như một phản ứng thực sự trước xu hướng hiện đại: nhân viên làm việc từ xa, thiết bị mang theo cá nhân, dịch vụ đám mây và ứng dụng SaaS không còn nằm gọn trong một biên mạng được xác định rõ. Khi biên giới mờ nhạt, mô hình tin tưởng bên trong và kiểm tra bên ngoài đã không còn hiệu lực. Zero Trust đảo ngược cách suy nghĩ đó: bảo vệ tài nguyên, không phải bảo vệ địa chỉ mạng.
Các nguyên tắc cốt lõi
Zero Trust dựa trên bộ nguyên tắc được mô tả rõ ràng trong tài liệu NIST SP 800-207 và được triển khai thông qua các khung công việc như BeyondCorp của Google hay mô hình SASE. Dưới đây là những điều bất biến trong mọi triển khai Zero Trust thật sự:
- Không tin ngầm vào bất kỳ yếu tố nào dựa trên vị trí. Máy tính kết nối trực tiếp vào switch trong phòng máy vẫn được đối xử như đối tượng bên ngoài cho tới khi hoàn tất xác thực.
- Xác thực và ủy quyền là hai bước riêng biệt, bắt buộc trước mỗi phiên. Không có phiên tin tưởng vô thời hạn; mỗi lần truy cập một tài nguyên mới đều phải chứng thực lại danh tính và kiểm tra quyền.
- Giám sát liên tục. Sau khi cấp quyền, hệ thống vẫn theo dõi hành vi và có thể thu hồi quyền ngay lập tức khi phát hiện dấu hiệu bất thường.
- Bảo vệ tài nguyên, không phải phân đoạn mạng. Chính sách được gắn trực tiếp với từng ứng dụng, dịch vụ hay cơ sở dữ liệu, thay vì chỉ áp dụng trên một dải địa chỉ IP.
Một mô hình Zero Trust tiêu chuẩn gồm ba thành phần chính:
- Policy Engine (PE) — bộ não ra quyết định: truy cập được phép hay bị từ chối.
- Policy Administrator (PA) — biến quyết định thành lệnh cấu hình thực thi, ví dụ tạo một tunnel bảo mật bao quanh tài nguyên.
- Policy Enforcement Point (PEP) — điểm thực thi, thường là gateway hoặc agent đặt ngay trước tài nguyên, áp dụng các lệnh từ PA.
Khi một yêu cầu đến, PE tính điểm tin cậy dựa trên danh tính, sức khỏe thiết bị, vị trí địa lý, thời điểm truy cập và hành vi trước đó. Nếu đạt ngưỡng, PE thông báo cho PA tạo chính sách tạm thời, thường là một kênh mã hóa dựa trên chứng thỉ hoặc token, và PEP áp dụng chính sách đó cho tới khi phiên kết thúc hoặc ngữ cảnh thay đổi.
Triển khai thực tế
Zero Trust không phải là một sản phẩm mua về cài xong là xong. Nó là một kiến trúc gồm nhiều lớp công nghệ làm việc cùng nhau. Dưới đây là những thành phần thường thấy trong một triển khai hiện đại:
| Lớp | Chức năng | Ví dụ công nghệ |
|---|---|---|
| Quản lý danh tính | Xác thực đa yếu tố, đăng nhập hợp nhất, phân quyền theo vai trò | Microsoft Entra ID, Okta, JumpCloud |
| An toàn thiết bị | Kiểm tra sức khỏe máy, áp dụng cấu hình bảo mật | CrowdStrike, Microsoft Intune, Jamf |
| Mã hóa truyền thông | Tunnel bảo mật cho mọi luồng truy cập | WireGuard, IPsec, mTLS |
| Micro-perimeter | Tạo vùng cô lập quanh từng ứng dụng | Zscaler Private Access, Cloudflare Access |
| Phát hiện đe dọa | Phát hiện bất thường bằng phân tích hành vi | Darktrace, Vectra AI |
| Bảo mật ứng dụng web | Tường lửa ứng dụng và bảo vệ API | Cloudflare WAF, AWS WAF, F5 |
Lộ trình chuyển đổi
Zero Trust là hành trình dài hạn, thường đi qua bốn giai đoạn:
- Kiểm kê tài nguyên. Liệt kê toàn bộ ứng dụng, API, cơ sở dữ liệu và xếp hạng mức độ nhạy cảm của từng tài nguyên.
- Lấy danh tính làm trung tâm. Đẩy mọi luồng truy cập qua một nhà cung cấp danh tính duy nhất, bắt buộc xác thực đa yếu tố.
- Mã hóa toàn bộ truyền thông. Thay thế phân vùng mạng cũ bằng mutual TLS hoặc WireGuard giữa các dịch vụ.
- Áp dụng chính sách tối thiểu. Mỗi tài nguyên chỉ nhận đúng những gì cần thiết, rút gọn dần các quyền cũ.
Kết quả không chỉ là giảm nguy cơ rò rỉ dữ liệu mà còn tăng khả năng thích ứng: khi một dịch vụ mới ra mắt hoặc một thiết bị bị thay thế, chỉ cần cập nhật chính sách là xong, không phải thiết kế lại hạ tầng mạng.
Thách thức thực tiễn
- Ứng dụng cũ. Nhiều hệ thống nội bộ được viết theo giả định mọi thứ bên trong đều đáng tin, nên cần bọc bằng proxy hoặc viết lại một phần.
- Hiệu năng. Mỗi yêu cầu đều thêm một lớp kiểm tra; chính sách phức tạp có thể trở thành nút thắt mới.
- Quản lý chứng thư. Khi quy mô lớn, việc cấp phát, thu hồi và lưu chuyển khóa trở nên phức tạp hơn đáng kể.
Tuy vậy, khi làm việc linh hoạt tăng và số mối đe dọa ngày càng tinh vi, Zero Trust đang dần trở thành chuẩn mực mới cho bảo mật doanh nghiệp. Các tổ chức đã áp dụng báo cáo giảm đáng kể các sự cố truy cập trái phép và hành vi dịch chuyển ngang bên trong mạng.
Để bắt đầu, bạn có thể đọc bộ nguyên tắc tại NIST SP 800-207 Zero Trust Architecture và nghiên cứu kiến trúc của Google trong báo cáo BeyondCorp.
