Kiến trúc Zero Trust: Cách hiện đại để bảo vệ hệ thống

Ngày nay, mọi người làm việc ở khắp nơi (nhà riêng, không gian làm việc chung, sân bay, quán cà phê…) sử dụng thiết bị cá nhân, ứng dụng đám mây và các công cụ SaaS dùng chung nằm ngoài ranh giới công ty. Với kiến trúc zero trust (ZTA), chúng ta giả định rằng vi phạm có thể xảy ra bất cứ lúc nào thay vì mặc định tin tưởng.

Tôi lần đầu biết đến zero trust vài năm trước khi làm việc với một startup có kỹ sư rải rác trên ba châu lục và dữ liệu khách hàng chảy qua vài nhà cung cấp đám mây khác nhau. Nói nhẹ nhàng thì việc theo dõi ai có quyền truy cập là một thách thức. Tuy nhiên, khi áp dụng một vài nguyên tắc zero trust, chúng tôi thấy hiệu quả ngay lập tức. Ít báo động giả hơn, trách nhiệm rõ ràng hơn và mọi người bớt căng thẳng đi rất nhiều.

Trong bài viết này, chúng ta sẽ cùng tìm hiểu zero trust thực sự có nghĩa là gì, cách nó vận hành trong thực tế, và cách bất kỳ tổ chức nào cũng có thể bắt đầu áp dụng để duy trì an toàn. Nếu bạn mới làm quen với an ninh mạng hoặc muốn ôn nhanh cách các mối đe dọa hiện đại hoạt động, khóa học Introduction to Data Security của chúng tôi là một điểm khởi đầu tuyệt vời. Khóa học đi qua các nguyên tắc cốt lõi như xác thực, mã hóa và kiểm soát truy cập.

Kiến trúc Zero Trust là gì?

ZTA là một mô hình bảo mật dựa trên một ý tưởng then chốt: không bao giờ tin tưởng, luôn luôn xác minh. Thay vì giả định người dùng hoặc thiết bị bên trong mạng là an toàn, zero trust coi mọi yêu cầu đều có khả năng độc hại cho đến khi được chứng minh ngược lại. Nghe có vẻ nghiêm ngặt, nhưng nó giảm mạnh khả năng ai đó lén lút lọt qua mà không bị phát hiện.

Zero trust không phải là một sản phẩm hay công cụ đơn lẻ có thể mua. Đó là một khung kết hợp chính sách, quản lý danh tính, giám sát và tự động hóa để đảm bảo mọi yêu cầu truy cập đều hợp lệ và phù hợp với ngữ cảnh. Nó xem xét các yếu tố như:

• Ai đang gửi yêu cầu (danh tính người dùng)
• Họ đang dùng thiết bị gì (tư thế bảo mật thiết bị)
• Họ kết nối từ đâu (vị trí và mức độ rủi ro)
• Họ đang cố gắng làm gì (quyền tối thiểu truy cập)

Bằng cách liên tục xác minh các yếu tố này, zero trust giúp tổ chức bảo vệ trước các mối đe dọa hiện đại như đánh cắp thông tin xác thực, lạm dụng nội bộ và di chuyển ngang trong mạng sau khi bị xâm nhập.

Vậy, điều đó có nghĩa gì trong thực tế? Toàn bộ mô hình dựa trên ba nguyên tắc đơn giản nhưng mạnh mẽ:

1. Xác minh liên tục

Zero trust giả định rằng niềm tin nên nhanh chóng hết hạn. Mọi lần đăng nhập, mọi yêu cầu truy cập, và đôi khi thậm chí mọi hành động, đều được xác minh thời gian thực. Xác thực đa yếu tố, kiểm tra tình trạng thiết bị và phân tích hành vi đều giúp xác nhận người dùng đúng là họ và thiết bị đủ an toàn để kết nối.

2. Truy cập theo quyền tối thiểu

Ngay cả người dùng đáng tin cũng không nên có quyền truy cập bao trùm vào mọi thứ. Ý tưởng là cấp cho con người và hệ thống vừa đủ để làm công việc của họ, và không hơn. Các kỹ thuật như truy cập đúng lúc (JIT) và truy cập vừa đủ (JEA) giúp hạn chế phơi lộ, nên nếu một tài khoản bị xâm phạm, thiệt hại sẽ được khoanh vùng.

3. Giả định đã bị xâm nhập

Zero trust vận hành theo giả định rằng kẻ tấn công có thể đã ở bên trong. Thay vì chỉ dựa vào phòng ngừa, nó tập trung vào việc khoanh vùng, sử dụng những thứ như phân đoạn vi mô, phát hiện bất thường và giám sát liên tục để chặn mối đe dọa trước khi lan rộng.

Những trụ cột của Zero Trust

Các trụ cột của ZTA chuyển triết lý thành các mảng trọng tâm cụ thể. Những khung khác nhau định nghĩa các trụ cột hơi khác nhau (CISA dùng năm, còn Bộ Quốc phòng mở rộng thành bảy), nhưng tất cả đều nhằm trả lời một câu hỏi: Làm thế nào để chúng ta xác minh, bảo vệ và kiềm tỏa rủi ro trên toàn tổ chức?

Tôi biết nghe có vẻ nhiều, nhưng bạn không phải bảo vệ mọi thứ cùng lúc! Thực tế, hầu hết tổ chức bắt đầu nhỏ (thường với Danh tính và Thiết bị) và mở rộng dần khi hệ thống và đội ngũ trưởng thành. Hãy xem kỹ hơn.

Cách triển khai Zero Trust

Thú thật, triển khai ZTA có thể là một công việc lớn. Tuy nhiên, như tôi đã đề cập, không nhất thiết phải làm tất cả trong một lần. Những triển khai thành công nhất diễn ra dần dần, bắt đầu bằng việc tăng khả năng quan sát và những bước đi nhỏ nhưng tác động cao trước khi mở rộng trên các hệ thống và đội ngũ.

Khi tôi giúp một startup triển khai các kiểm soát zero trust đầu tiên, chúng tôi không bắt đầu với tự động hóa hào nhoáng hay phân đoạn mạng. Chúng tôi chỉ đơn giản là lập bản đồ ai có quyền truy cập vào cái gì, bật MFA ở mọi nơi và tạo một vài chính sách rõ ràng. Chỉ bước nhỏ đó đã giảm rủi ro đáng kể và giúp dễ dàng nhận ra nơi cần cải thiện lớn hơn.

Đây là một lộ trình thực tế phù hợp với đa số tổ chức:

1. Lập bản đồ tài sản và luồng dữ liệu

Bạn không thể bảo vệ thứ bạn không biết là tồn tại. Hãy bắt đầu bằng cách xác định người dùng, thiết bị, ứng dụng và dữ liệu, cũng như cách chúng tương tác. Điều này giúp phát hiện các đường truy cập không cần thiết hoặc hệ thống cũ âm thầm tạo rủi ro.

2. Xác minh người dùng và thiết bị

Giới thiệu xác minh danh tính và thiết bị mạnh. Tức là bật MFA, kiểm tra tư thế bảo mật của thiết bị và tích hợp hệ thống quản lý danh tính (như IAM hoặc SSO) để xác thực diễn ra nhất quán trên các công cụ.

3. Lập bản đồ quy trình công việc và phụ thuộc

Tài liệu hóa cách dữ liệu và ứng dụng kết nối. Điều này giúp bạn hiểu hệ thống nào là quan trọng nhất, và hệ thống nào có thể cô lập hoặc hạn chế mà không làm gián đoạn hoạt động hằng ngày.

4. Xác định và thực thi chính sách

Viết các chính sách truy cập dựa trên quyền tối thiểu và rủi ro theo ngữ cảnh. Ví dụ, nhà thầu chỉ có thể truy cập một ứng dụng cụ thể trong giờ làm việc và chỉ từ thiết bị đã được xác minh.

5. Tự động hóa và giám sát liên tục

Khi quy tắc đã sẵn sàng, tự động hóa sẽ đảm bảo tính nhất quán. Công cụ giám sát liên tục có thể gắn cờ đăng nhập bất thường, leo thang đặc quyền hoặc truyền dữ liệu theo thời gian thực trước khi thành sự cố lớn.

6. Kiểm thử, học hỏi và lặp lại

Nếu bạn chỉ nhớ một điều từ bài viết này, thì là: Zero trust không phải việc đánh dấu một lần! Đó là hệ thống tiến hóa. Bạn cần kiểm thử kiểm soát, xem lại cảnh báo và điều chỉnh chính sách thường xuyên, đặc biệt khi tổ chức phát triển.

Vì rất nhiều phần của zero trust dựa vào việc hiểu môi trường đám mây của bạn, khóa học Understanding Cloud Computing là một khóa đồng hành hữu ích. Nó giải thích cách dịch vụ đám mây vận hành bên dưới và cách tư duy về quyền sở hữu dữ liệu, khối lượng công việc và kiến trúc trong thế giới đa đám mây.

Lợi ích và thách thức của Zero Trust

Khi ZTA được thực hiện đúng, nó tạo nền tảng rõ ràng, nhất quán cho kiểm soát truy cập và khả năng quan sát trên toàn tổ chức. Nhưng giống như mọi thay đổi lớn, nó cũng đi kèm thách thức.

Đây là những gì bạn có thể kỳ vọng ở cả hai mặt:

Còn một điều khác đáng nói ở đây. Khi tôi lần đầu làm việc trên một zero trust rollout, rào cản lớn nhất không phải công nghệ và công cụ; mà là tư duy chung của công ty. Mọi người quen với việc tin một lần rồi thôi. Zero trust yêu cầu họ xác minh mọi lần. Ban đầu có cảm giác như thêm việc, nhưng khi tự động hóa vào guồng, nó gần như vô hình với người dùng cuối. Mọi người thật sự phải tin vào quy trình!

Một điều bạn có thể làm để giảm bớt là áp dụng theo giai đoạn. Bắt đầu nhỏ (có thể chỉ với danh tính và MFA), chứng minh giá trị, rồi mở rộng dần. Theo thời gian, bạn sẽ tìm được điểm cân bằng giữa bảo mật và trải nghiệm người dùng mượt mà.

Zero Trust ngoài đời thực

Zero trust được áp dụng bởi một số tổ chức lớn nhất thế giới để bảo vệ hệ thống, dữ liệu và con người của họ. Điều thú vị là mỗi lần triển khai thành công lại có chút khác biệt. Có nơi bắt đầu sau một lần bị xâm nhập, có nơi như một phần của nỗ lực hiện đại hóa.Dưới đây là một vài ví dụ cho thấy nó vận hành trong thực tế như thế nào và chúng ta có thể học được gì:

Google: Từ VPN đến BeyondCorp

Năm 2009, Google hứng chịu một cuộc tấn công mạng lớn được gọi là Operation Aurora. Thay vì vá lỗi hệ thống cũ, công ty hoàn toàn suy nghĩ lại cách nhân viên truy cập tài nguyên. Kết quả là BeyondCorp, một mô hình zero trust sớm loại bỏ hẳn nhu cầu dùng VPN.

Mọi yêu cầu đến ứng dụng nội bộ đều được xác minh qua danh tính, trạng thái thiết bị và ngữ cảnh (như vị trí hoặc mạng). Điều này có nghĩa là dù kỹ sư làm việc ở Mountain View hay một quán cà phê ở Tokyo, quyền truy cập được cấp theo cùng một cách: động, dựa trên các tín hiệu tin cậy.

Giờ đây Google có lực lượng lao động toàn cầu có thể làm việc an toàn từ bất cứ đâu mà không phải chịu ma sát liên tục của truy cập dựa trên mạng. BeyondCorp đã chứng minh zero trust có thể mở rộng, từ trước khi làm việc từ xa trở nên phổ biến.

Capital One: Khoanh vùng vi phạm bằng phân đoạn

Năm 2019, một tường lửa cấu hình sai dẫn đến vụ rò rỉ dữ liệu lớn tại Capital One, làm lộ hồ sơ của hàng triệu khách hàng. Quá trình hồi phục của công ty tập trung vào việc áp dụng các nguyên tắc zero trust trên toàn hạ tầng đám mây.

Họ triển khai vai trò IAM chi tiết, phân đoạn vi mô và giám sát liên tục trên hàng nghìn tài khoản AWS. Thay vì một mạng nội bộ “đáng tin cậy” lớn, mỗi ứng dụng trở thành một môi trường riêng được khoanh vùng.

Giờ đây, ngay cả khi kẻ tấn công xâm phạm một thành phần, khả năng di chuyển ngang bị hạn chế và vi phạm dừng lại tại nguồn.

Bộ Quốc phòng Hoa Kỳ: Bảo mật ở quy mô lớn

Với hàng triệu người dùng và một trong những dấu chân số lớn nhất thế giới, Bộ Quốc phòng Hoa Kỳ đối mặt với nhiệm vụ hiện đại hóa mô hình bảo mật tưởng như bất khả thi. Năm 2022, họ triển khai Chiến lược Zero Trust kéo dài 5 năm xoay quanh bảy trụ cột: danh tính, thiết bị, mạng, ứng dụng, dữ liệu, khả năng quan sát và tự động hóa.

Những trọng tâm đầu tiên là danh tính và khả năng quan sát: đảm bảo mọi người dùng và thiết bị, trên tất cả nhánh, đều xác thực theo cùng một bộ chính sách theo ngữ cảnh. Theo thời gian, các kiểm soát này mở rộng sang tự động hóa và phản ứng rủi ro thích ứng.

Việc triển khai khổng lồ theo giai đoạn này cho thấy ngay cả tổ chức phức tạp nhất cũng có thể chuyển sang zero trust.

Y tế: Bảo vệ dữ liệu bệnh nhân mà không làm chậm chăm sóc

Trong y tế, thời gian và độ chính xác cứu sống, nên các mô hình bảo mật kiểu “khóa chặt mọi thứ” truyền thống không hiệu quả. Các bệnh viện như Mayo Clinic đã áp dụng zero trust để bảo vệ hồ sơ bệnh nhân mà không cản trở quy trình lâm sàng.

Mỗi vai trò nhân sự có mức truy cập được xác định rõ: Bác sĩ có thể truy cập hồ sơ sức khỏe điện tử nhạy cảm từ thiết bị di động an toàn, trong khi y tá và nhân viên hành chính có quyền truy cập hạn chế, giới hạn thời gian vào dữ liệu họ thực sự cần.

Các quyết định truy cập này được củng cố bằng phân đoạn vi mô và giám sát liên tục, đảm bảo rằng ngay cả khi thông tin xác thực bị đánh cắp, nó cũng không thể mở mọi cánh cửa trong mạng bệnh viện. ZTA không chỉ dành cho các công ty công nghệ lớn.

Vai trò của AI và tự động hóa trong Zero Trust

Khi nền tảng zero trust đã sẵn sàng, bước tiếp theo là vận hành ở quy mô lớn. May mắn thay, ngày nay chúng ta có AI và tự động hóa hỗ trợ việc đó.

Zero trust tạo ra rất nhiều dữ liệu: log, mẫu truy cập, tín hiệu thiết bị và chỉ số hành vi. Duyệt thủ công tất cả là không thực tế. Tự động hóa biến tiếng ồn đó thành hành động, và AI giúp phát hiện tín hiệu yếu mà con người có thể bỏ lỡ.

Phát hiện thông minh hơn nhờ máy học

Hệ thống bảo mật truyền thống dựa vào quy tắc cố định. Ví dụ, “chặn đăng nhập từ ngoài Vương quốc Anh.” Nhưng hệ thống AI có thể học “bình thường” trông như thế nào với từng người dùng hoặc thiết bị và gắn cờ các sai lệch tinh vi:

• Một lập trình viên truy cập kho mã mới lúc 3 giờ sáng.
• Một thiết bị bỗng trượt kiểm tra tình trạng sau khi cập nhật.
• Một người dùng tải xuống nhiều dữ liệu hơn thường lệ.

Những bất thường này không phải lúc nào cũng có nghĩa là tấn công. Chúng là cảnh báo, và AI giúp tách cái vô hại khỏi cái nguy hiểm nhanh hơn nhiều so với xem xét thủ công. Nó ngày càng được sử dụng nhiều, với các nền tảng như CrowdStrike và Microsoft Defender dùng phân tích dựa trên ML để phát hiện di chuyển ngang và lạm dụng thông tin xác thực chỉ trong vài giây.

Thực thi chính sách tự động

Khi bạn đã nhìn thấy điều gì đang xảy ra, tự động hóa có thể giúp bạn phản ứng. Nếu một thiết bị mất tuân thủ hoặc một lần đăng nhập trông đáng ngờ, các công cụ zero trust có thể:

• Buộc xác thực lại ngay lập tức.
• Cô lập thiết bị khỏi mạng.
• Tự động thu hồi token truy cập.

Đó là cách các nền tảng như Zscaler Zero Trust Exchange hoặc Okta’s Risk Engine vận hành. Điều chỉnh động theo thời gian thực nhanh hơn phản ứng của con người và thường đảm bảo thực thi nhất quán, không thiên vị trên toàn bộ hệ thống.

Cải tiến liên tục và tự tinh chỉnh

AI cũng giúp giữ chính sách luôn cập nhật. Khi mô hình làm việc thay đổi  (nghĩ ứng dụng mới, địa điểm mới, hành vi mới), các mô hình ML có thể đề xuất thay đổi hoặc tự động tinh chỉnh ngưỡng. Bằng cách đó, bảo mật vẫn vững mà không cần chỉnh tay liên tục hoặc rủi ro thiết lập quá hạn chế gây khó chịu cho người dùng.

Nhớ khi tôi nói ZTA không phải công việc “làm một lần là xong” chứ? Vâng, sự kết hợp của AI và tự động hóa có thể giúp bạn biến zero trust thành một hệ thống động. Nó phản ứng với mối đe dọa mới, thích ứng với hành vi người dùng và giữ bảo mật vô hình cho đến khi có điều gì đó bất thường!

Tuân thủ quy định và Zero Trust

Vượt ra ngoài bảo mật tốt hơn, zero trust cũng giúp việc tuân thủ dễ dàng hơn trong bối cảnh luật bảo vệ dữ liệu ngày càng nghiêm ngặt. Các quy định như GDPR, HIPAA, PCI-DSS và Chiến lược Zero Trust Liên bang Hoa Kỳ (EO 14028) đều nhấn mạnh ba điều giống nhau: biết ai đang truy cập dữ liệu, bảo vệ dữ liệu khi truyền và khi lưu, và lưu trữ nhật ký kiểm toán chi tiết.

Zero trust tự nhiên hỗ trợ tất cả các mục tiêu đó vì nó được xây dựng quanh xác minh danh tính, truy cập theo quyền tối thiểu và mặc định mã hóa. Tuân thủ trở thành sản phẩm phụ của chính kiến trúc!

Kết luận

Trước đây, an ninh mạng là ngăn kẻ xấu ở ngoài. Ngày nay, đó là khả năng chống chịu khi (chứ không phải nếu!) họ tìm được đường vào.  Như chúng ta đã thấy, zero trust không phải công tắc bật một phát là xong, mà là sự chuyển dịch dần dần trong cách bạn nghĩ về truy cập, rủi ro và trách nhiệm. Bắt đầu bằng tăng khả năng quan sát. Thêm kiểm tra danh tính mạnh. Tự động hóa những gì có thể. Theo thời gian, bạn sẽ chuyển từ phản ứng với sự cố sang ngăn chặn trước khi chúng xảy ra.

Điều hay ở chỗ, zero trust không chỉ bảo vệ công nghệ, mà còn bảo vệ cách con người làm việc. Nếu làm tốt, nó giúp bạn xây dựng bảo mật vào hoạt động hằng ngày mà không làm chậm ai cả.

Và dù hành trình gần như không bao giờ kết thúc, mỗi bước đi sẽ đưa bạn đến gần hơn một hệ thống biết học hỏi, thích ứng và giúp bạn đi trước một bước, ngay cả khi bức tranh đe dọa luôn thay đổi.