Tweet
Hình minh họa cho thấy các nguyên tắc của Zero Trust đã dần hội tụ thành một framework thống nhất giữa các tổ chức hàng đầu như Forrester, NIST SP 800-207 và Gartner. Mặc dù mỗi tổ chức có cách tiếp cận và thuật ngữ riêng, nhưng đều hướng tới cùng một mục tiêu: không mặc định tin tưởng bất kỳ người dùng, thiết bị hay ứng dụng nào, mà phải liên tục xác minh trước và trong suốt quá trình truy cập.
Thay vì chỉ bảo vệ ranh giới mạng (perimeter), Zero Trust tập trung vào việc bảo vệ từng tài nguyên (resource), từng phiên truy cập (session) và từng hành vi (behavior).
1. Establish Trust – Xây dựng mức độ tin cậy dựa trên khả năng quan sát
Bước đầu tiên của Zero Trust là hiểu rõ những gì đang tồn tại trong hệ thống trước khi quyết định cấp quyền.
Điều này đòi hỏi doanh nghiệp phải xây dựng một kho thông tin (inventory) đầy đủ về toàn bộ tài nguyên trong môi trường CNTT.
Các thông tin cần thu thập bao gồm:
Nói cách khác, hệ thống phải trả lời được các câu hỏi:
Đây chính là nền tảng để xây dựng Visibility – khả năng quan sát toàn diện, một yếu tố không thể thiếu của Zero Trust.
2. Enforce Trust-Based Access – Thực thi quyền truy cập dựa trên chính sách
Sau khi đã xác định được mức độ tin cậy, hệ thống mới tiến hành cấp quyền truy cập.
Điểm khác biệt của Zero Trust là không cấp quyền theo vị trí mạng, mà dựa trên chính sách động (Dynamic Policy).
Chính sách có thể được áp dụng cho:
Ví dụ:
Một nhân viên đang sử dụng laptop công ty, đã bật EDR, đăng nhập bằng MFA và truy cập từ văn phòng có thể được phép truy cập hệ thống ERP.
Nếu cùng tài khoản đó đăng nhập từ một máy tính cá nhân chưa vá lỗi hoặc từ một quốc gia khác, hệ thống có thể:
Đây chính là mô hình Policy-Based Access hay Adaptive Access Control, trong đó quyền truy cập thay đổi theo ngữ cảnh thay vì cố định.
3. Continuously Verify Trust – Liên tục xác minh mức độ tin cậy
Khác với các mô hình bảo mật truyền thống chỉ xác thực khi đăng nhập, Zero Trust xem việc xác minh là một quá trình liên tục.
Ngay cả sau khi người dùng đã được cấp quyền, hệ thống vẫn tiếp tục giám sát để đánh giá xem mức độ tin cậy còn phù hợp hay không.
Các yếu tố được theo dõi bao gồm:
Ví dụ:
Một người dùng đã đăng nhập thành công lúc 9 giờ sáng tại Hà Nội.
Đến 9 giờ 10 phút, hệ thống phát hiện tài khoản này đồng thời truy cập từ một địa chỉ IP ở châu Âu, hoặc bắt đầu tải xuống hàng chục GB dữ liệu bất thường.
Hệ thống Zero Trust có thể ngay lập tức:
Đây chính là cơ chế Continuous Verification kết hợp với Behavior Analytics, UEBA (User and Entity Behavior Analytics) và các hệ thống phát hiện mối đe dọa hiện đại.
Vai trò của Forrester, NIST và Gartner
Ba logo phía trên hình đại diện cho ba góc nhìn có ảnh hưởng lớn đến sự phát triển của Zero Trust.
Kết luận
Hình minh họa tóm tắt rất rõ triết lý của Zero Trust thành ba bước liên tục:
Ba bước này tạo thành một vòng lặp khép kín. Zero Trust không phải là một sản phẩm hay một thiết bị riêng lẻ, mà là một mô hình bảo mật liên tục, trong đó mọi quyết định truy cập đều dựa trên dữ liệu, ngữ cảnh và mức độ tin cậy được cập nhật theo thời gian thực. Đây cũng là lý do Zero Trust đang trở thành nền tảng cho các kiến trúc bảo mật hiện đại như SASE, SSE, Cisco Secure Access, Microsoft Entra, Google BeyondCorp và nhiều giải pháp bảo mật doanh nghiệp khác.
Thay vì chỉ bảo vệ ranh giới mạng (perimeter), Zero Trust tập trung vào việc bảo vệ từng tài nguyên (resource), từng phiên truy cập (session) và từng hành vi (behavior).
1. Establish Trust – Xây dựng mức độ tin cậy dựa trên khả năng quan sát
Bước đầu tiên của Zero Trust là hiểu rõ những gì đang tồn tại trong hệ thống trước khi quyết định cấp quyền.
Điều này đòi hỏi doanh nghiệp phải xây dựng một kho thông tin (inventory) đầy đủ về toàn bộ tài nguyên trong môi trường CNTT.
Các thông tin cần thu thập bao gồm:
- Danh tính của người dùng và thiết bị (User/Device Identity)
- Trạng thái bảo mật của môi trường Cloud và các lỗ hổng ứng dụng (Cloud Posture & Application Vulnerabilities)
- Mô hình giao tiếp giữa các ứng dụng (Application Communication Patterns)
- Mức độ tin cậy của từng ứng dụng hoặc dịch vụ (Application/Service Trust)
- Các dấu hiệu cho thấy hệ thống có thể đã bị xâm nhập (Indicators of Compromise - IoC)
Nói cách khác, hệ thống phải trả lời được các câu hỏi:
- Ai đang truy cập?
- Truy cập từ thiết bị nào?
- Thiết bị có đạt yêu cầu bảo mật không?
- Ứng dụng này có đáng tin cậy không?
- Hệ thống hiện có dấu hiệu bị tấn công hay không?
Đây chính là nền tảng để xây dựng Visibility – khả năng quan sát toàn diện, một yếu tố không thể thiếu của Zero Trust.
2. Enforce Trust-Based Access – Thực thi quyền truy cập dựa trên chính sách
Sau khi đã xác định được mức độ tin cậy, hệ thống mới tiến hành cấp quyền truy cập.
Điểm khác biệt của Zero Trust là không cấp quyền theo vị trí mạng, mà dựa trên chính sách động (Dynamic Policy).
Chính sách có thể được áp dụng cho:
- Ứng dụng (Applications)
- Tài nguyên mạng (Network Resources)
- Luồng giao tiếp giữa các Workload hoặc Microservices
- Người dùng và quản trị viên của từng Workload
Ví dụ:
Một nhân viên đang sử dụng laptop công ty, đã bật EDR, đăng nhập bằng MFA và truy cập từ văn phòng có thể được phép truy cập hệ thống ERP.
Nếu cùng tài khoản đó đăng nhập từ một máy tính cá nhân chưa vá lỗi hoặc từ một quốc gia khác, hệ thống có thể:
- yêu cầu xác thực bổ sung (Step-up Authentication),
- chỉ cấp quyền đọc,
- hoặc từ chối truy cập hoàn toàn.
Đây chính là mô hình Policy-Based Access hay Adaptive Access Control, trong đó quyền truy cập thay đổi theo ngữ cảnh thay vì cố định.
3. Continuously Verify Trust – Liên tục xác minh mức độ tin cậy
Khác với các mô hình bảo mật truyền thống chỉ xác thực khi đăng nhập, Zero Trust xem việc xác minh là một quá trình liên tục.
Ngay cả sau khi người dùng đã được cấp quyền, hệ thống vẫn tiếp tục giám sát để đánh giá xem mức độ tin cậy còn phù hợp hay không.
Các yếu tố được theo dõi bao gồm:
- Các điều kiện ban đầu dùng để thiết lập niềm tin có còn đúng không.
- Lưu lượng mạng có xuất hiện dấu hiệu tấn công hay không.
- Có hành vi bất thường hoặc độc hại nào phát sinh không.
- Nếu thiết bị hoặc tài khoản bị xâm nhập, mức độ tin cậy sẽ được điều chỉnh ngay lập tức.
Ví dụ:
Một người dùng đã đăng nhập thành công lúc 9 giờ sáng tại Hà Nội.
Đến 9 giờ 10 phút, hệ thống phát hiện tài khoản này đồng thời truy cập từ một địa chỉ IP ở châu Âu, hoặc bắt đầu tải xuống hàng chục GB dữ liệu bất thường.
Hệ thống Zero Trust có thể ngay lập tức:
- giảm mức độ tin cậy (Trust Score),
- yêu cầu xác thực MFA lại,
- khóa phiên làm việc,
- hoặc cô lập thiết bị khỏi mạng.
Đây chính là cơ chế Continuous Verification kết hợp với Behavior Analytics, UEBA (User and Entity Behavior Analytics) và các hệ thống phát hiện mối đe dọa hiện đại.
Vai trò của Forrester, NIST và Gartner
Ba logo phía trên hình đại diện cho ba góc nhìn có ảnh hưởng lớn đến sự phát triển của Zero Trust.
- Forrester là tổ chức đã giới thiệu khái niệm Zero Trust từ rất sớm. Mô hình của Forrester tập trung vào việc bảo vệ dữ liệu ở trung tâm và xây dựng các vòng bảo vệ xung quanh dữ liệu, con người, thiết bị và ứng dụng.
- NIST SP 800-207 là tiêu chuẩn tham chiếu phổ biến nhất hiện nay. NIST mô tả chi tiết kiến trúc Zero Trust với các thành phần như Policy Engine (PE), Policy Administrator (PA) và Policy Enforcement Point (PEP), làm nền tảng cho nhiều sản phẩm thương mại.
- Gartner mở rộng khái niệm Zero Trust bằng mô hình Continuous Adaptive Risk and Trust Assessment (CARTA). CARTA nhấn mạnh rằng mức độ tin cậy không phải là một giá trị cố định mà cần được đánh giá liên tục dựa trên rủi ro, hành vi và bối cảnh truy cập.
Kết luận
Hình minh họa tóm tắt rất rõ triết lý của Zero Trust thành ba bước liên tục:
- Establish Trust: Thu thập thông tin và đánh giá mức độ tin cậy của người dùng, thiết bị, ứng dụng và tài nguyên.
- Enforce Trust-Based Access: Cấp quyền truy cập dựa trên chính sách động, thay vì mặc định tin tưởng.
- Continuously Verify Trust: Liên tục giám sát, phân tích hành vi và điều chỉnh quyền truy cập khi mức độ rủi ro thay đổi.
Ba bước này tạo thành một vòng lặp khép kín. Zero Trust không phải là một sản phẩm hay một thiết bị riêng lẻ, mà là một mô hình bảo mật liên tục, trong đó mọi quyết định truy cập đều dựa trên dữ liệu, ngữ cảnh và mức độ tin cậy được cập nhật theo thời gian thực. Đây cũng là lý do Zero Trust đang trở thành nền tảng cho các kiến trúc bảo mật hiện đại như SASE, SSE, Cisco Secure Access, Microsoft Entra, Google BeyondCorp và nhiều giải pháp bảo mật doanh nghiệp khác.
Attached Files