Chính sách bảo mật Zero Trust cho doanh nghiệp trong tương lai

Zero Trust là mô hình bảo mật không mặc định tin bất kỳ người dùng, thiết bị hay kết nối nào chỉ vì chúng nằm trong mạng nội bộ. Mỗi yêu cầu truy cập đều phải được xác minh danh tính, kiểm tra tình trạng thiết bị và chỉ được cấp đúng quyền cần thiết trong thời gian cần thiết. Với doanh nghiệp, Zero Trust không phải một sản phẩm để mua, mà là một chính sách và lộ trình thay đổi cách cấp quyền truy cập.

Vì sao mô hình "lâu đài và hào nước" không còn đủ

Mô hình truyền thống dựng một bức tường dày ở biên mạng: bên ngoài là nguy hiểm, bên trong là an toàn. Mô hình này gặp ba vấn đề lớn. Nhân viên làm việc từ nhà, quán cà phê, công tác nước ngoài. Dữ liệu và ứng dụng nằm trên nhiều dịch vụ đám mây ngoài phòng máy. Và khi kẻ tấn công đã lọt vào bên trong, bằng email lừa đảo hay mật khẩu bị đánh cắp, chúng có thể di chuyển gần như tự do vì mọi thứ bên trong đều tin nhau.

Zero Trust đảo ngược giả định: coi như mạng đã có thể bị xâm nhập, và thiết kế để mỗi bước di chuyển của kẻ tấn công đều gặp rào cản.

Các nguyên tắc cốt lõi

Tài liệu NIST SP 800-207 của Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ là tham chiếu được dùng rộng rãi về kiến trúc Zero Trust. Có thể tóm tắt thành vài nguyên tắc dễ hiểu:

1. Xác minh rõ ràng: mỗi yêu cầu được đánh giá dựa trên danh tính, thiết bị, vị trí, thời gian, mức nhạy cảm của tài nguyên.
2. Đặc quyền tối thiểu: chỉ cấp quyền vừa đủ cho công việc, ưu tiên quyền tạm thời thay vì vĩnh viễn.
3. Giả định đã bị xâm nhập: phân đoạn để giới hạn phạm vi ảnh hưởng, mã hóa lưu lượng kể cả bên trong, giám sát liên tục.
4. Đánh giá liên tục: quyền không chỉ kiểm tra lúc đăng nhập mà có thể bị thu hồi giữa phiên khi tình trạng rủi ro thay đổi.

Năm trụ cột cần xây dựng

Xuyên suốt các trụ cột là khả năng quan sát (nhật ký, phân tích) và tự động hóa (chính sách áp dụng nhất quán, phản ứng nhanh).

Lộ trình thực tế cho doanh nghiệp Việt Nam

Đọc tài liệu Zero Trust dễ khiến người ta nghĩ phải thay toàn bộ hạ tầng. Thực tế, có thể đi từng bước, mỗi bước đều giảm rủi ro rõ ràng:

Bước 1: Kiểm kê

Liệt kê người dùng, thiết bị, ứng dụng, dữ liệu quan trọng và các luồng truy cập hiện có. Không biết mình có gì thì không thể bảo vệ. Bước này thường trùng với quy trình đánh giá rủi ro an ninh.

Bước 2: Làm chắc danh tính

Gom tài khoản về một hệ thống định danh, bật xác thực đa yếu tố cho tất cả, ưu tiên quản trị viên và tài khoản truy cập từ xa. Thu hồi tài khoản người đã nghỉ việc ngay trong ngày.

Bước 3: Kiểm soát thiết bị

Chỉ cho phép thiết bị đã đăng ký, có mã hóa ổ đĩa, có bản vá mới truy cập dữ liệu quan trọng. Thiết bị cá nhân có thể được truy cập hạn chế qua trình duyệt.

Bước 4: Thay VPN truy cập toàn mạng bằng truy cập theo ứng dụng

Thay vì cho người dùng VPN vào cả mạng nội bộ, chỉ công bố từng ứng dụng cần thiết qua cổng truy cập có xác minh danh tính. Cùng lúc, phân đoạn mạng nội bộ như đã bàn trong bài tường lửa trong kiến trúc mạng.

Bước 5: Giám sát và cải tiến

Tập trung nhật ký truy cập, đặt cảnh báo cho hành vi bất thường, định kỳ xem lại quyền. Một đợt kiểm thử xâm nhập sau mỗi giai đoạn giúp kiểm chứng các rào cản có hoạt động như kỳ vọng.

Viết chính sách Zero Trust thành văn bản

Chính sách nên ngắn, rõ, có chủ sở hữu. Một khung tham khảo gồm: phạm vi áp dụng; nguyên tắc cấp quyền (ai phê duyệt, thời hạn, xem xét định kỳ); yêu cầu với thiết bị; yêu cầu xác thực theo mức nhạy cảm của tài nguyên; quy định về truy cập từ xa và bên thứ ba; trách nhiệm giám sát và xử lý vi phạm. Chính sách cũng cần phù hợp với các quy định pháp luật Việt Nam về bảo vệ dữ liệu cá nhân và an toàn hệ thống thông tin mà doanh nghiệp phải tuân thủ.

Những trở ngại thường gặp

• Ứng dụng cũ không hỗ trợ đăng nhập hiện đại: cần đặt sau cổng truy cập hoặc lên kế hoạch thay thế.
• Trải nghiệm người dùng: xác thực quá nhiều lần khiến nhân viên phản đối. Dùng xác thực dựa trên rủi ro và đăng nhập một lần để cân bằng.
• Thiếu người: doanh nghiệp vừa có thể chọn dịch vụ quản lý và giải pháp tích hợp sẵn thay vì tự ráp nhiều sản phẩm.
• Kỳ vọng sai: Zero Trust là hành trình nhiều năm, không phải dự án ba tháng.

Doanh nghiệp không cần hoàn hảo ngay. Mỗi bước giảm bớt sự tin tưởng mặc định đều làm kẻ tấn công khó hơn, và đó chính là tinh thần của Zero Trust.