Zero Trust (Không Tin Tưởng) là mô hình bảo mật mạng hiện đại loại bỏ khái niệm “tin tưởng mặc định” trong mạng nội bộ. Mỗi yêu cầu truy cập đều phải được xác thực và ủy quyền, bất kể nguồn gốc là bên trong hay bên ngoài mạng doanh nghiệp.
1. Zero Trust Là Gì?
Zero Trust là khung làm việc bảo mật dựa trên nguyên tắc “không bao giờ tin tưởng, luôn xác thực” (never trust, always verify). Khác với mô hình truyền thống “castle-and-moat” (thành trì và hào) – tin tưởng mọi thứ bên trong firewall – Zero Trust coi mọi thiết bị, người dùng, và ứng dụng đều có thể bị xâm hại.
Nguồn gốc và bối cảnh
Thuật ngữ Zero Trust được Forrester Research giới thiệu năm 2010. Đến 2021, NIST chính thức công bố NIST SP 800-207, định nghĩa các nguyên tắc và kiến trúc Zero Trust chuẩn cho toàn ngành. Sự bùng nổ của làm việc từ xa và điện toán đám mây khiến mô hình truyền thống không còn đủ hiệu quả.
Ba nguyên tắc cốt lõi
- Xác thực rõ ràng: Luôn xác thực và ủy quyền dựa trên danh tính, thiết bị, vị trí, và ngữ cảnh
- Ít quyền nhất (Least Privilege): Chỉ cấp quyền truy cập tối thiểu cần thiết cho từng nhiệm vụ
- Giả định vi phạm (Assume Breach): Thiết kế hệ thống như thể đã bị xâm nhập, giới hạn tác động khi xảy ra sự cố
2. So Sánh Với Mô Hình Truyền Thống
Mô hình Perimeter-based (Dựa trên ranh giới)
- VPN để truy cập mạng nội bộ từ xa
- Tin tưởng mặc định sau khi đăng nhập VPN
- Phòng thủ biên giới mạng (firewall, IDS/IPS)
- Khó kiểm soát truy cập khi nhân viên làm việc từ xa
- Rủi ro lớn nếu tài khoản admin bị xâm hại
Mô hình Zero Trust
- Không cần VPN truyền thống (thay bằng ZTNA)
- Mỗi request được đánh giá độc lập theo chính sách
- Micro-segmentation ngăn chặn kẻ tấn công di chuyển ngang
- Phù hợp môi trường hybrid cloud, remote work
- Giảm thiểu thiệt hại khi xảy ra breach
3. Các Thành Phần Chính Của Kiến Trúc Zero Trust
Identity Provider (IdP) và Multi-Factor Authentication (MFA)
Danh tính là ranh giới bảo mật mới. Các giải pháp IdP phổ biến: Microsoft Entra ID (trước đây Azure AD), Okta, Ping Identity. MFA bắt buộc cho mọi truy cập tài nguyên nhạy cảm, kết hợp sinh trắc học, OTP, và push notification.
Device Trust (Niềm tin thiết bị)
Đăng ký thiết bị (device enrollment) và đánh giá trạng thái bảo mật (compliance posture): bản vá lỗi mới nhất, mã hóa ổ cứng, phần mềm EDR hoạt động. Chỉ thiết bị tuân thủ mới được phép truy cập tài nguyên. Microsoft Defender for Endpoint là giải pháp EDR phổ biến.
Policy Engine và Enforcement Point
Policy Engine quyết định cho phép/từ chối truy cập dựa trên: danh tính, thiết bị, vị trí, ứng dụng, mức độ rủi ro. Policy Enforcement Point (thường là reverse proxy hoặc API gateway) thi hành quyết định đó. Policy Decision Point (PDP) lưu trữ và quản lý chính sách tập trung.
Micro-segmentation
- Chia nhỏ mạng thành các zone bảo mật riêng biệt
- Mỗi workload hoặc microservice có chính sách truy cập riêng
- Ngăn chặn lateral movement khi kẻ tấn công xâm nhập một điểm
- Áp dụng cho cả môi trường vật lý và đám mây
4. Triển Khai Zero Trust: Các Bước Thực Hành
Bước 1: Xác định bề mặt bảo vệ (Protect Surface)
Thay vì bảo vệ toàn bộ mạng (quá lớn), tập trung vào DAAS: Data (dữ liệu nhạy cảm), Applications (ứng dụng quan trọng), Assets (tài sản giá trị), Services (dịch vụ then chốt). Tất cả đều nằm trong một hoặc nhiều vòng tròn bảo vệ.
Bước 2: Vẽ bản đồ luồng giao dịch (Map Transaction Flows)
Hiểu cách dữ liệu di chuyển trong tổ chức: ai truy cập gì, từ đâu, khi nào, và tại sao. Xác định các đường truyền hợp pháp để xây dựng chính sách chính xác.
Bước 3: Xây dựng kiến trúc Zero Trust
- Triển khai IdP + MFA cho toàn bộ nhân viên
- Đăng ký và quản lý thiết bị qua MDM/EMM
- Cài đặt Zero Trust Network Access (ZTNA) thay thế VPN dần dần
- Áp dụng micro-segmentation cho workload quan trọng
Bước 4: Tạo chính sách bảo mật (Policy Creation)
Viết chính sách theo mô hình Kipling: Who (ai được phép), What (truy cập tài nguyên nào), Where (từ đâu), When (khi nào), Why (vì lý do gì), How (như thế nào). Sử dụng least privilege mặc định, chỉ cấp quyền khi có yêu cầu hợp lệ.
Bước 5: Giám sát và duy trì (Monitor & Maintain)
- Log mọi quyết định truy cập để audit và phân tích
- Phân tích hành vi bất thường (UEBA – User and Entity Behavior Analytics)
- Cập nhật chính sách khi môi trường thay đổi
- Thử nghiệm xâm nhập (penetration test) định kỳ
5. Công Cụ Và Giải Pháp Zero Trust Phổ Biến
- ZTNA: Cloudflare Access, Zscaler Private Access, Tailscale, Twingate
- Identity: Microsoft Entra ID, Okta, Ping Identity, JumpCloud
- Endpoint Security: CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint
- Micro-segmentation: Illumio, Guardicore (Akamai), VMware NSX
- CASB/DLP: Netskope, Microsoft Defender for Cloud Apps, Symantec
6. Thách Thức Khi Triển Khai
- Chi phí và độ phức tạp ban đầu cao, đặc biệt với doanh nghiệp vừa và nhỏ
- Thay đổi văn hóa và quy trình làm việc của nhân viên (nhiều bước xác thực hơn)
- Tích hợp với hệ thống legacy (hệ thống cũ) có thể không hỗ trợ ZTNA
- Cân bằng giữa bảo mật chặt chẽ và trải nghiệm người dùng mượt mà
- Vấn đề riêng tư: monitoring có thể xâm phạm quyền riêng tư nhân viên
7. Kết Luận
Zero Trust không phải là một sản phẩm đơn lẻ mà là chiến lược bảo mật toàn diện cần nhiều năm triển khai. Tổ chức nên bắt đầu nhỏ: triển khai MFA bắt buộc, ZTNA cho nhóm nhân sự ưu tiên, sau đó mở rộng dần. Năm 2024, hơn 60% doanh nghiệp lớn đã áp dụng một phần Zero Trust theo khảo sát của Zscaler.
