Nói cách khác, việc đang ở “bên trong” mạng không còn mang ý nghĩa bảo đảm. Với doanh nghiệp vừa và nhỏ sử dụng công cụ SaaS và có nhân viên làm việc từ xa, đây là vấn đề thực tế — và việc chọn VPN nội bộ hay thuê ngoài cần được cân nhắc ngay từ đầu.
Zero Trust, ZTA, ZTNA, SASE và VPN: mỗi khái niệm một vai trò
Nhầm lẫn thường bắt đầu khi mọi nhà cung cấp đều gắn thuật ngữ này lên sản phẩm của mình. Cần phân biệt rõ:
| Thuật ngữ | Bản chất | Định nghĩa |
|---|---|---|
| Zero Trust (ZT) | Mô hình tư duy | Triết lý bảo mật, không phải sản phẩm hay công nghệ (NIST, ANSSI). |
| ZTA | Kiến trúc | Cách thiết kế hạ tầng để áp dụng mô hình, theo NIST SP 800-207. |
| ZTNA | Công nghệ | Truy cập mạng theo từng ứng dụng, cụ thể và chi tiết. Có thể là một thành phần của ZTA, không phải từ đồng nghĩa. |
| SASE | Khuôn khổ | Tích hợp ZTNA vào các dịch vụ mạng và bảo mật được cung cấp từ cloud. |
| VPN | Cơ chế | Mã hóa lưu lượng giữa một thiết bị và một mạng. VPN không mặc nhiên là Zero Trust nhưng có thể cùng tồn tại. |
Điều thực sự thay đổi
Mô hình vành đai giống một pháo đài: cổng vào vững chắc nhưng bên trong ít lớp bảo vệ. Kẻ tấn công vượt qua cổng bằng thông tin đăng nhập bị đánh cắp hoặc phishing sẽ thừa hưởng quyền của người dùng bị xâm nhập và di chuyển ngang mà khó bị phát hiện. Zero Trust thay đổi ba điểm:
- Vị trí mạng không còn là bằng chứng tin cậy. Ở văn phòng, trong đường hầm hay tại quán cà phê ở nước ngoài đều không quan trọng bằng ai đang yêu cầu, dùng thiết bị nào, trong bối cảnh gì và muốn vào tài nguyên nào.
- Quyền truy cập chi tiết và tạm thời theo nguyên tắc đặc quyền tối thiểu của NIST: chỉ vào công cụ cần cho nhiệm vụ hiện tại, không vào toàn bộ mạng. Việc triển khai có thể bất tiện nhưng mang lại hiệu quả thực.
- Xác minh không kết thúc sau khi đăng nhập: vị trí bất thường, khối lượng dữ liệu khác thường hoặc tài nguyên ngoài phạm vi có thể khiến phiên bị đánh giá lại và ngắt.
Bốn bước cho doanh nghiệp nhỏ, không cần cuộc cách mạng
Cloud Security Alliance khuyến nghị tiến hành theo từng giai đoạn thay vì chuyển toàn bộ trong một lần. Một doanh nghiệp 30 người không có đội bảo mật riêng khó triển khai ZTA hoàn chỉnh trong sáu tháng — khẳng định ngược lại thường chỉ là cách bán sản phẩm.
Bước 1 — Danh tính mạnh
Bật MFA cho mọi quyền truy cập quan trọng như email, công cụ nghiệp vụ, truy cập từ xa và quản trị. Đây là nền móng, là hạng mục mang lại hiệu quả đầu tư cao nhất nhưng nhiều doanh nghiệp nhỏ vẫn chưa hoàn thành. Thiếu lớp này, phần còn lại chỉ mang tính hình thức.
Bước 2 — Đặc quyền tối thiểu
Kiểm tra các quyền vốn gần như luôn quá rộng vì được kế thừa, cấp cho tiện hoặc không bao giờ rà soát. Giới hạn theo vai trò ở đúng mức cần thiết. Công sức ban đầu là có thật, nhưng bề mặt tấn công giảm ngay lập tức.
Bước 3 — Trạng thái thiết bị
Người dùng đã xác thực nhưng sử dụng máy chưa cập nhật hoặc đã bị xâm nhập vẫn không đáng tin. Trước khi mở tài nguyên nhạy cảm, cần kiểm tra điều kiện thiết bị: hệ điều hành cập nhật, mã hóa đang bật và có lớp chống mã độc. Các giải pháp dành cho doanh nghiệp nhỏ có thể tự động hóa việc này mà không cần đội chuyên trách.
Bước 4 — Khả năng quan sát
Zero Trust mà không có nhật ký là một mâu thuẫn. Biết ai truy cập gì, từ đâu và vào lúc nào là điều kiện tối thiểu để phát hiện bất thường, đồng thời hỗ trợ trách nhiệm giải trình về dữ liệu cá nhân. Bốn hành động này cũng áp dụng cho công cụ SaaS, thường là nhóm bị phơi lộ nhiều nhất.
NIS2 — chỉ thị của châu Âu. Các nguyên tắc Zero Trust phù hợp với nhiều kỳ vọng của NIS2 như kiểm soát truy cập, quản lý rủi ro, phát hiện và phản ứng. Với doanh nghiệp Việt Nam, nên coi đây là một chuẩn tham chiếu quốc tế hữu ích, không phải nghĩa vụ pháp lý mặc nhiên áp dụng.
Zero Trust không phải là gì?
- Không phải sản phẩm. Không nhà cung cấp nào bán “Zero Trust” hoàn chỉnh; họ chỉ bán công cụ áp dụng một số nguyên tắc. Nhãn “Zero Trust” không có ý nghĩa nếu không xem bên trong thực sự gồm gì.
- Không thay thế VPN ngay lập tức. Với tài nguyên đặt tại chỗ, VPN vẫn hoạt động tốt; câu hỏi SDP hay VPN xuất hiện khi doanh nghiệp hiện đại hóa kiến trúc.
- Không phải chứng nhận. NIST SP 800-207 là tài liệu tham chiếu kiến trúc, không phải khuôn khổ tuân thủ có kiểm toán bên thứ ba.
- Không chỉ dành cho tập đoàn. Doanh nghiệp nhỏ chịu sự cố khó hơn; những bước đầu tiên chính xác là những việc phù hợp với nguồn lực và rủi ro của họ.
Từ hiểu khái niệm tới chọn giải pháp
Trang này định nghĩa Zero Trust và ý nghĩa của nó với doanh nghiệp vừa và nhỏ. Bước tiếp theo là chọn cách tiếp cận phù hợp với hạ tầng và ngân sách: xem phân tích về giải pháp Zero Trust cho doanh nghiệp, cùng bài về giao thức VPN khi VPN vẫn là một phần kiến trúc.
Câu hỏi thường gặp
VPN có phải Zero Trust không? Không. VPN cấp quyền mạng sau lần xác thực ban đầu; Zero Trust yêu cầu xác minh liên tục và quyền tối thiểu theo từng phiên. ZTNA, đôi khi được gọi là “VPN Zero Trust”, là công nghệ truy cập ứng dụng có thể nằm trong ZTA, không phải từ đồng nghĩa.
Doanh nghiệp nhỏ có thể bắt đầu không? Có, theo từng bước. MFA, rà soát quyền và ghi nhật ký không đòi hỏi chuyên môn quá cao hay ngân sách lớn. NIST và CSA đều khuyến nghị triển khai dần.
VPN có ngăn di chuyển ngang không? Không trực tiếp, nhưng khi kết hợp phân đoạn, VPN thu hẹp bề mặt và làm kẻ tấn công khó tiến sâu hơn. Đây là một lớp phòng thủ chiều sâu, không phải giải pháp duy nhất.