Trong bối cảnh các mối đe dọa an ninh mạng như tấn công ransomware và insider threats đang gia tăng đáng kể. Các mô hình bảo mật truyền thống không còn đủ mạnh để bảo vệ dữ liệu quan trọng của doanh nghiệp. Do đó, mô hình Zero Trust đang trở thành tiêu chuẩn bảo mật mới, được nhiều tổ chức hàng đầu áp dụng.

Zero Trust là gì?

Zero Trust là mô hình bảo mật hiện đại yêu cầu xác thực nghiêm ngặt với mọi truy cập vào hệ thống, bất kể nguồn gốc là từ bên trong hay bên ngoài tổ chức. Khác với mô hình bảo mật truyền thống vốn dựa trên vành đai bảo vệ (perimeter security), Zero Trust giả định rằng mọi yêu cầu truy cập đều có thể là rủi ro và cần được xác minh đầy đủ trước khi cấp quyền.

Các nguyên tắc chính của Zero Trust

1. Xác minh liên tục (Continuous Verification)

Trong mô hình bảo mật truyền thống, nếu một người dùng hoặc thiết bị vượt qua xác thực ban đầu, họ có thể truy cập vào toàn bộ hệ thống mà không cần kiểm tra lại. Tuy nhiên, Zero Trust thay đổi điều này bằng cách yêu cầu xác minh danh tính và trạng thái bảo mật liên tục.

Cách thực hiện:

• Xác thực đa yếu tố (MFA): Không chỉ yêu cầu mật khẩu mà còn cần các phương thức xác thực khác như OTP, sinh trắc học hoặc xác minh qua thiết bị tin cậy.
• Xác minh theo ngữ cảnh: Kiểm tra yếu tố như vị trí, thiết bị đang sử dụng, thời điểm đăng nhập để quyết định có cấp quyền truy cập hay không.
• Ứng dụng nguyên tắc “Không bao giờ tin tưởng, luôn xác minh”: Mỗi yêu cầu truy cập vào dữ liệu hoặc hệ thống đều phải trải qua quá trình kiểm tra, bất kể người dùng ở bên trong hay bên ngoài mạng công ty.
• Giám sát theo thời gian thực: Phân tích hành vi người dùng và hệ thống để phát hiện hoạt động bất thường (User and Entity Behavior Analytics – UEBA).

Case study: Google đã áp dụng mô hình BeyondCorp, một kiến trúc Zero Trust, để loại bỏ sự phụ thuộc vào VPN truyền thống. Thay vào đó, Google sử dụng xác thực theo ngữ cảnh và giám sát liên tục, cho phép nhân viên truy cập tài nguyên mà không cần vào một mạng nội bộ duy nhất.

2. Quyền truy cập tối thiểu (Least-Privilege Access)

Nguyên tắc này đảm bảo rằng mỗi người dùng hoặc thiết bị chỉ có quyền truy cập vào đúng tài nguyên cần thiết để hoàn thành công việc, thay vì cấp quyền truy cập rộng rãi.

Cách thực hiện:

• Quản lý danh tính và quyền truy cập (IAM): Xác định chính xác ai được truy cập vào tài nguyên nào và khi nào.
• Chính sách dựa trên vai trò (RBAC – Role-Based Access Control): Người dùng chỉ có quyền truy cập phù hợp với chức năng công việc. Ví dụ, nhân viên kế toán không thể truy cập hệ thống phát triển phần mềm.
• Chính sách dựa trên thuộc tính (ABAC – Attribute-Based Access Control): Quyền truy cập không chỉ dựa trên vai trò mà còn xét đến các thuộc tính như thiết bị, vị trí địa lý, trạng thái bảo mật.
• Just-in-Time Access (JIT): Cấp quyền truy cập tạm thời cho những nhiệm vụ cụ thể, thay vì cấp quyền vĩnh viễn.

Case study: Microsoft triển khai Zero Trust bằng cách áp dụng nguyên tắc Just-in-Time Access và Just-Enough Access cho các tài khoản quản trị viên, giúp giảm thiểu rủi ro do tấn công bằng tài khoản đặc quyền (privileged account).

3. Giả định vi phạm (Assume Breach)

Thay vì hoạt động theo mô hình “bảo vệ hệ thống từ bên ngoài”, Zero Trust hoạt động với giả định rằng hệ thống có thể đã bị xâm nhập. Điều này buộc doanh nghiệp phải chủ động trong phát hiện và phản ứng với các mối đe dọa.

Cách thực hiện:

• Phát hiện xâm nhập liên tục: Sử dụng hệ thống phát hiện xâm nhập (IDS/IPS) để theo dõi hoạt động mạng.
• Giám sát nhật ký và hành vi: Tích hợp SIEM (Security Information and Event Management) để phân tích dữ liệu đăng nhập, phát hiện truy cập bất thường.
• Cô lập hệ thống: Khi phát hiện vi phạm, hệ thống cần có khả năng cô lập tài nguyên bị xâm phạm để ngăn chặn lây lan.
• Phân đoạn mạng (Microsegmentation): Chia hệ thống thành các vùng nhỏ, hạn chế phạm vi mà kẻ tấn công có thể di chuyển nếu xâm nhập thành công.

Case study: Netflix áp dụng mô hình Zero Trust bằng cách sử dụng “Limit Blast Radius” – một kỹ thuật giới hạn tác động của vi phạm bảo mật bằng cách chia nhỏ hệ thống và giới hạn quyền truy cập. Khi một khu vực bị tấn công, nó không ảnh hưởng đến toàn bộ hệ thống.

Vì sao doanh nghiệp cần Zero Trust?

Tình trạng tấn công mạng đang ngày càng gia tăng

Trong bối cảnh các cuộc tấn công mạng ngày càng tinh vi, các hình thức tấn công phổ biến như ransomware, phishing, và insider threats (mối đe dọa nội bộ) đang đặt doanh nghiệp vào tình trạng nguy hiểm nghiêm trọng:

• Ransomware: Các cuộc tấn công mã hóa dữ liệu đòi tiền chuộc đã gây thiệt hại hàng tỷ USD cho doanh nghiệp mỗi năm.
• Phishing: Tin tặc lợi dụng các email hoặc tin nhắn giả mạo để đánh cắp thông tin đăng nhập của nhân viên.
• Insider threats: Nhân viên hoặc đối tác có thể vô tình hoặc cố ý gây ra rủi ro bảo mật.

Chuyển đổi số & làm việc từ xa

Làn sóng chuyển đổi số và xu hướng làm việc từ xa đã làm suy giảm hiệu quả của các biện pháp bảo mật truyền thống. Các doanh nghiệp giờ đây phải bảo vệ dữ liệu trên môi trường cloud, SaaS, và các thiết bị cá nhân (BYOD – Bring Your Own Device), điều này đòi hỏi một mô hình bảo mật linh hoạt và mạnh mẽ hơn.

Tuân thủ quy định pháp lý

Việc áp dụng Zero Trust giúp doanh nghiệp đáp ứng các tiêu chuẩn bảo mật ngày càng khắt khe như:

• GDPR (General Data Protection Regulation): Quy định bảo vệ dữ liệu cá nhân tại châu Âu.
• ISO 27001: Tiêu chuẩn quốc tế về quản lý an toàn thông tin.
• NIST 800-207: Khung kiến trúc Zero Trust do Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST) ban hành.

Những hiểu lầm phổ biến về Zero Trust

• ❌ Zero Trust không phải là một phần mềm duy nhất. Đây là một chiến lược bảo mật tổng thể cần tích hợp nhiều công nghệ như IAM, MFA, EDR, DLP…
• ❌ Zero Trust không có nghĩa là không tin tưởng bất kỳ ai. Thay vào đó, Zero Trust yêu cầu xác thực và kiểm soát liên tục để đảm bảo mọi truy cập đều an toàn.
• ✅ Zero Trust là một cách tiếp cận toàn diện, kết hợp chính sách bảo mật, công nghệ và giám sát liên tục để bảo vệ doanh nghiệp.

So sánh Zero Trust với mô hình bảo mật truyền thống

Cách triển khai zere trust architecture trong doanh nghiệp

Quy trình

Bước 1: Xác định tài sản cần bảo vệ

• Xác định dữ liệu quan trọng, ứng dụng, hệ thống và người dùng cần bảo vệ.
• Phân loại và đánh giá rủi ro cho từng tài sản.

Bước 2: Xác thực danh tính và kiểm soát truy cập

• Áp dụng xác thực đa yếu tố (MFA) để đảm bảo chỉ những người dùng được ủy quyền mới có thể truy cập.
• Xây dựng chính sách xác thực dựa trên vai trò và bối cảnh (RBAC, ABAC).
• Giám sát hành vi đăng nhập để phát hiện các hoạt động bất thường.

Bước 3: Thực hiện kiểm soát truy cập theo chính sách Zero Trust

• Sử dụng mô hình “least privilege” để hạn chế quyền truy cập.
• Áp dụng kiểm soát truy cập vi mô (Microsegmentation) để cô lập tài nguyên quan trọng.
• Giám sát lưu lượng mạng để phát hiện truy cập bất thường.

Bước 4: Giám sát, phát hiện và ứng phó với các mối đe dọa

• Triển khai các hệ thống giám sát thời gian thực như SIEM, SOAR.
• Sử dụng AI/ML để phát hiện hành vi bất thường.
• Xây dựng kế hoạch phản ứng sự cố để giảm thiểu tác động của vi phạm bảo mật.

Bước 5: Tự động hóa và cải tiến liên tục

• Tích hợp Zero Trust với hệ thống bảo mật hiện có như IAM, DLP.
• Tự động hóa quy trình cấp quyền truy cập và thu hồi quyền khi cần thiết.
• Định kỳ kiểm tra, đánh giá và cập nhật chính sách bảo mật để tối ưu hiệu quả Zero Trust.

Công nghệ

• Xác thực danh tính: Azure AD, Okta, Google Workspace IAM
• Quản lý thiết bị: Microsoft Intune, VMware Workspace ONE
• Kiểm soát truy cập mạng: Zscaler, Palo Alto Networks, Cisco Zero Trust
• Phân tích bảo mật: Splunk, IBM QRadar, Microsoft Defender

Case study University Health Network (UHN) triển khai thành công zero trust

University Health Network (UHN) là một trong những tổ chức y tế hàng đầu tại Canada, bao gồm nhiều bệnh viện và trung tâm nghiên cứu tại Toronto. Với sứ mệnh cung cấp dịch vụ chăm sóc sức khỏe chất lượng cao và tiên tiến, UHN luôn chú trọng đến việc bảo vệ dữ liệu bệnh nhân và đảm bảo an ninh mạng trong môi trường y tế ngày càng phức tạp.

Những thách thức mà UHN gặp phải

Tình trạng số lượng thiết bị IoT y tế (IoMT) và phi y tế ngày càng gia tăng khiến UHN đối mặt với nhiều thách thức an ninh mạng:

• Sự gia tăng của thiết bị IoT: Các thiết bị như máy chẩn đoán hình ảnh, hệ thống giám sát bệnh nhân và hệ thống quản lý tòa nhà đều kết nối mạng, tạo ra nhiều điểm tiềm ẩn cho các cuộc tấn công mạng.
• Hệ thống cũ và yêu cầu tuân thủ: UHN phải duy trì các hệ thống cũ quan trọng đồng thời tuân thủ các quy định nghiêm ngặt như
• và PCI DSS.
• Kiểm soát truy cập mạng: Cần triển khai các giải pháp kiểm soát truy cập phù hợp cho các bác sĩ và nhà nghiên cứu khi họ kết nối thiết bị cá nhân vào mạng của UHN.

Giải pháp

Để đối phó với những thách thức trên, UHN đã áp dụng mô hình Zero Trust với sự hỗ trợ của nền tảng Forescout. Các bước triển khai chính bao gồm:

1. Xác định và phân loại thiết bị: Sử dụng Forescout để nhận diện và phân loại tất cả các thiết bị kết nối mạng, bao gồm cả thiết bị được quản lý và không được quản lý, nhằm tạo ra một danh sách tài sản chính xác và cập nhật theo thời gian thực.
2. Kiểm soát truy cập mạng (NAC): Triển khai giải pháp NAC để đảm bảo chỉ những thiết bị và người dùng đã được xác thực mới có thể truy cập vào các tài nguyên quan trọng, giảm thiểu nguy cơ từ các thiết bị không xác định hoặc không an toàn.
3. Phân đoạn mạng: Áp dụng phân đoạn mạng để cô lập các thiết bị và hệ thống quan trọng, ngăn chặn sự lây lan của các mối đe dọa tiềm ẩn trong trường hợp xảy ra sự cố an ninh.
4. Tự động hóa phản ứng sự cố: Sử dụng các công cụ tự động hóa để nhanh chóng phát hiện và phản ứng với các sự cố an ninh, giảm thiểu thời gian và tác động của các cuộc tấn công mạng.

Kết quả đạt được

Việc triển khai mô hình Zero Trust đã mang lại cho UHN những kết quả đáng kể

• Tăng cường khả năng hiển thị: Trong vòng 3-4 tuần, UHN đã đạt được khả năng quan sát toàn diện và theo thời gian thực đối với tất cả các thiết bị kết nối mạng.
• Kiểm kê tài sản chính xác: Phát hiện số lượng thiết bị kết nối mạng nhiều hơn 66% so với dự kiến ban đầu, giúp cải thiện quản lý tài sản và bảo trì hệ thống.
• Tuân thủ quy định: Đảm bảo tuân thủ các tiêu chuẩn và quy định ngành như PHIPA/HIPAA và PCI DSS, giảm thiểu rủi ro pháp lý và tài chính.
• Nâng cao an ninh mạng: Giảm thiểu nguy cơ từ các thiết bị IoT và hệ thống cũ, bảo vệ dữ liệu bệnh nhân và duy trì chất lượng dịch vụ y tế.

Bài học rút ra

Kinh nghiệm của UHN cho thấy việc triển khai mô hình Zero Trust trong lĩnh vực y tế đòi hỏi:

• Sự cam kết từ lãnh đạo: Sự hỗ trợ và cam kết từ ban lãnh đạo là yếu tố quan trọng để đảm bảo thành công của dự án.
• Đánh giá và phân loại tài sản: Hiểu rõ các tài sản và dữ liệu quan trọng để xác định các biện pháp bảo vệ phù hợp.
• Lựa chọn đối tác công nghệ đáng tin cậy: Hợp tác với các nhà cung cấp giải pháp uy tín như Forescout để đảm bảo hiệu quả và tính khả thi của việc triển khai.
• Đào tạo và nâng cao nhận thức: Tổ chức các chương trình đào tạo cho nhân viên về an ninh mạng và tầm quan trọng của mô hình Zero Trust.

Việc triển khai thành công mô hình Zero Trust tại UHN là minh chứng cho thấy tầm quan trọng và hiệu quả của chiến lược này trong việc bảo vệ dữ liệu và hệ thống trong môi trường y tế phức tạp.

Kết luận

Zero Trust không chỉ là xu hướng mà là nhu cầu tất yếu trong bối cảnh tăng cường tấn công mạng. Doanh nghiệp nên đánh giá và triển khai Zero Trust sớm để tăng cường bảo mật.

Đọc thêm:

• Hệ thống phát hiện xâm nhập IDS
• Phần mềm giám sát mạng doanh nghiệp
• Vai trò của an ninh mạng trong doanh nghiệp