Zero Trust là gì? Cách triển khai mô hình Zero Trust cho doanh nghiệp

Zero Trust giúp doanh nghiệp kiểm soát chặt chẽ quyền truy cập, xác minh liên tục người dùng và thiết bị trước khi cho phép kết nối tới tài nguyên quan trọng. Cùng IT NOW tìm hiểu Zero Trust là gì và cách triển khai mô hình Zero Trust phù hợp với doanh nghiệp.

Zero Trust là gì?

Zero Trust là mô hình bảo mật tập trung vào việc xác minh người dùng, thiết bị và quyền truy cập trước khi cho phép sử dụng tài nguyên doanh nghiệp. Thay vì mặc định tin tưởng các kết nối bên trong hệ thống, mô hình này giúp doanh nghiệp kiểm soát truy cập chặt chẽ và giảm nguy cơ khi tài khoản hoặc thiết bị bị xâm nhập.

Sự phổ biến của cloud, làm việc từ xa, thiết bị cá nhân và các ứng dụng SaaS khiến ranh giới mạng doanh nghiệp ngày càng khó xác định. Chỉ dựa vào firewall ở cổng Internet để phân biệt “bên trong an toàn, bên ngoài nguy hiểm” không còn phù hợp với nhiều môi trường CNTT hiện đại.

Theo NIST SP 800-207, Zero Trust chuyển trọng tâm bảo vệ từ chu vi mạng sang người dùng, tài sản và từng tài nguyên cụ thể. Việc một người dùng hoặc thiết bị nằm trong mạng nội bộ không đồng nghĩa với việc được mặc định tin cậy.

Zero Trust là cách tiếp cận bảo mật loại bỏ sự tin tưởng mặc định dựa đơn thuần vào vị trí mạng hoặc quyền sở hữu thiết bị. Trước khi một phiên truy cập đến tài nguyên được thiết lập, danh tính và thiết bị cần được xác thực, đồng thời quyền truy cập phải phù hợp với chính sách của doanh nghiệp.

Có thể hiểu đơn giản: một nhân viên đã đăng nhập vào mạng công ty không có nghĩa là họ có thể truy cập mọi máy chủ, thư mục hoặc ứng dụng.

Zero Trust khác mô hình bảo mật truyền thống như thế nào?

Mô hình truyền thống thường xây dựng một vùng mạng nội bộ tương đối đáng tin cậy và tập trung ngăn chặn các mối đe dọa từ Internet.

Zero Trust thay đổi cách tiếp cận này. Mỗi yêu cầu truy cập cần được đánh giá dựa trên nhiều yếu tố như:

• Người đang truy cập là ai?
• Thiết bị có thuộc quyền quản lý của doanh nghiệp không?
• Thiết bị có đáp ứng yêu cầu bảo mật không?
• Người dùng đang truy cập tài nguyên nào?
• Người đó có thực sự cần quyền truy cập này không?
• Hành vi truy cập có dấu hiệu bất thường không?

Nhờ vậy, nếu một tài khoản hoặc máy tính bị xâm nhập, kẻ tấn công không mặc nhiên có quyền di chuyển sang toàn bộ hệ thống.

Vì sao doanh nghiệp nên triển khai mô hình Zero Trust?

Zero Trust đặc biệt phù hợp khi tài nguyên doanh nghiệp không còn nằm hoàn toàn trong một văn phòng.

Nhân viên có thể làm việc tại nhà, truy cập Microsoft 365, sử dụng VPN, kết nối ứng dụng cloud hoặc làm việc trên nhiều thiết bị khác nhau. Trong môi trường đó, vị trí mạng không còn là yếu tố đủ để xác định một phiên truy cập có an toàn hay không.

Một mô hình Zero Trust phù hợp có thể giúp doanh nghiệp:

• Kiểm soát chính xác người được truy cập tài nguyên.
• Giảm quyền truy cập không cần thiết.
• Hạn chế khả năng di chuyển ngang khi một thiết bị bị xâm nhập.
• Quản lý tốt người dùng làm việc từ xa.
• Tăng khả năng phát hiện hành vi bất thường.
• Bảo vệ dữ liệu trên cả hệ thống nội bộ và cloud.
• Chuẩn hóa chính sách bảo mật giữa nhiều phòng ban.

Tuy nhiên, Zero Trust không có nghĩa doanh nghiệp phải thay toàn bộ hạ tầng hiện tại. Doanh nghiệp nên đánh giá rủi ro, tài sản quan trọng và những công nghệ đang có trước khi quyết định đầu tư. Đây cũng là yếu tố cần xem xét nếu bạn vẫn đang phân vân liệu Chi phí đầu tư giải pháp bảo mật doanh nghiệp có đáng không?, bởi mục tiêu cuối cùng phải là giảm rủi ro theo nhu cầu thực tế chứ không phải mua càng nhiều công cụ càng tốt.

Mô hình Zero Trust gồm những thành phần nào?

CISA Zero Trust Maturity Model 2.0 tổ chức quá trình chuyển đổi Zero Trust quanh năm trụ cột gồm Identity, Devices, Networks, Applications and Workloads và Data; đồng thời bổ sung các năng lực xuyên suốt như visibility & analytics, automation & orchestration và governance.

Identity – Danh tính người dùng

Identity là nền tảng quan trọng vì doanh nghiệp phải xác định chính xác ai đang yêu cầu truy cập.

Các giải pháp thường được áp dụng gồm:

• Xác thực đa yếu tố MFA.
• Single Sign-On.
• Quản lý tài khoản tập trung.
• Role-Based Access Control.
• Chính sách mật khẩu.
• Kiểm soát tài khoản đặc quyền.

Tài khoản quản trị nên được tách khỏi tài khoản dùng cho các công việc thông thường.

Devices – Thiết bị

Không chỉ người dùng, thiết bị truy cập cũng phải được đánh giá.

Doanh nghiệp cần biết:

• Thiết bị có thuộc doanh nghiệp hay không.
• Hệ điều hành đã được cập nhật chưa.
• Endpoint Protection hoặc EDR có hoạt động không.
• Thiết bị có bị jailbreak/root hay không.
• Chính sách bảo mật có được áp dụng đầy đủ không.

Một tài khoản hợp lệ đăng nhập từ thiết bị có dấu hiệu bị xâm nhập vẫn có thể bị từ chối hoặc giới hạn quyền truy cập.

Networks – Hệ thống mạng

Zero Trust không loại bỏ mạng nội bộ hay firewall mà yêu cầu kiểm soát chúng chi tiết hơn.

Doanh nghiệp có thể sử dụng:

• VLAN.
• Network segmentation.
• Firewall.
• VPN hoặc ZTNA.
• Network Access Control.
• Giám sát lưu lượng.

Bên cạnh việc lựa chọn thiết bị mạng phù hợp, doanh nghiệp cần thiết lập chính sách kiểm soát giữa từng vùng. Ví dụ, mạng dành cho khách không nên được phép kết nối trực tiếp tới máy chủ dữ liệu nội bộ.

Applications and Workloads – Ứng dụng và workload

Quyền truy cập cần được kiểm soát đến từng ứng dụng hoặc workload thay vì chỉ cho phép người dùng kết nối vào toàn bộ mạng.

Các hệ thống như ERP, CRM, kế toán, file server hoặc ứng dụng nội bộ nên có cơ chế xác thực, phân quyền và ghi nhận hoạt động riêng.

Data – Dữ liệu

Cuối cùng, tài sản quan trọng nhất mà Zero Trust hướng đến bảo vệ chính là dữ liệu.

Doanh nghiệp cần:

• Phân loại dữ liệu.
• Xác định dữ liệu nhạy cảm.
• Phân quyền truy cập.
• Mã hóa khi cần thiết.
• Backup định kỳ.
• Giám sát hoạt động tải xuống và chia sẻ.
• Thu hồi quyền khi nhân sự thay đổi vị trí hoặc nghỉ việc.

Cách tiếp cận này phù hợp với định hướng của NIST khi Zero Trust tập trung bảo vệ tài nguyên cụ thể thay vì mặc định coi một vùng mạng là đáng tin cậy.

Cách triển khai Zero Trust cho doanh nghiệp

Doanh nghiệp không nên xem Zero Trust là một sản phẩm có thể mua và hoàn thành trong một lần. Đây là quá trình thay đổi kiến trúc, chính sách và cách quản trị bảo mật.

NIST NCCoE cũng tiếp cận Zero Trust như một quá trình triển khai kiến trúc với nhiều công nghệ và kịch bản khác nhau thay vì một sản phẩm đơn lẻ.

Bước 1: Kiểm kê người dùng, thiết bị và tài nguyên

Trước tiên cần xác định doanh nghiệp đang bảo vệ những gì.

Danh sách nên bao gồm:

• Người dùng và tài khoản quản trị.
• Máy tính, laptop và thiết bị di động.
• Máy chủ.
• Ứng dụng nội bộ.
• Dữ liệu quan trọng.
• Cloud và SaaS.
• Thiết bị mạng.
• Các kết nối với đối tác.

Nếu không có dữ liệu kiểm kê chính xác, doanh nghiệp rất khó xây dựng chính sách truy cập hiệu quả.

Bước 2: Xác định tài nguyên quan trọng

Không phải tất cả tài sản đều cần mức bảo vệ giống nhau.

Ví dụ, cơ sở dữ liệu khách hàng, hệ thống kế toán hoặc máy chủ ERP cần được ưu tiên cao hơn một máy tính dùng cho mục đích thông thường.

Doanh nghiệp có thể phân loại tài nguyên thành các nhóm dựa trên mức độ quan trọng và hậu quả nếu bị truy cập trái phép.

Bước 3: Chuẩn hóa danh tính và triển khai MFA

Tiếp theo, cần quản lý danh tính người dùng tập trung và hạn chế tài khoản dùng chung.

MFA nên được ưu tiên cho:

• Email.
• VPN.
• Cloud.
• Tài khoản administrator.
• Hệ thống tài chính.
• Các ứng dụng chứa dữ liệu quan trọng.

Đồng thời cần xây dựng quy trình cấp, thay đổi và thu hồi quyền truy cập khi nhân viên vào làm, chuyển bộ phận hoặc nghỉ việc.

Bước 4: Phân đoạn hệ thống mạng

Thay vì để toàn bộ thiết bị kết nối trong một vùng mạng lớn, doanh nghiệp có thể chia mạng dựa trên chức năng và mức độ tin cậy.

Ví dụ:

• VLAN 1: Máy tính nhân viên.
• VLAN 2: Máy chủ.
• VLAN 3: Camera.
• VLAN 4: Wi-Fi khách.
• VLAN 5: Hệ thống quản trị.

Chính sách firewall sau đó kiểm soát những kết nối được phép giữa từng vùng.

Với doanh nghiệp cần kiểm soát ứng dụng và lưu lượng ở mức sâu hơn, tường lửa Palo Alto có thể là một trong các phương án được xem xét tùy quy mô, băng thông và yêu cầu bảo mật. Điều quan trọng là thiết kế chính sách truy cập phù hợp chứ không chỉ phụ thuộc vào thương hiệu thiết bị.

Bước 5: Áp dụng nguyên tắc least privilege

Một kế toán viên chỉ cần truy cập dữ liệu kế toán không nhất thiết phải nhìn thấy thư mục của bộ phận nhân sự.

Tương tự, người dùng bình thường không nên có quyền quản trị trên máy tính nếu công việc không yêu cầu.

Quyền nên được cấp dựa trên:

• Vai trò.
• Phòng ban.
• Tài nguyên.
• Thiết bị.
• Mức độ rủi ro.

Quyền truy cập cũng cần được rà soát định kỳ thay vì cấp một lần rồi giữ mãi.

Bước 6: Giám sát và điều chỉnh liên tục

Zero Trust không kết thúc sau khi triển khai MFA hoặc firewall.

Doanh nghiệp cần liên tục theo dõi log, tài khoản, thiết bị và hành vi truy cập để phát hiện bất thường. Visibility, analytics và automation cũng là những năng lực xuyên suốt được CISA nhấn mạnh trong Zero Trust Maturity Model.

Những sai lầm cần tránh khi triển khai Zero Trust

Zero Trust có thể không đạt hiệu quả nếu doanh nghiệp chỉ tập trung mua sản phẩm nhưng bỏ qua quy trình quản trị.

• Cho rằng Zero Trust là một sản phẩm: Không có một thiết bị duy nhất có thể biến toàn bộ doanh nghiệp thành Zero Trust. Firewall, MFA, EDR, IAM hay ZTNA chỉ là những thành phần hỗ trợ thực thi kiến trúc.
• Triển khai quá nhiều thay đổi cùng lúc: Thay đổi toàn bộ hệ thống trong thời gian ngắn có thể ảnh hưởng đến trải nghiệm người dùng và hoạt động kinh doanh. Doanh nghiệp nên bắt đầu từ tài nguyên có rủi ro cao, triển khai từng giai đoạn và đánh giá trước khi mở rộng.
• Chỉ tập trung vào mạng mà bỏ qua người dùng: Email và danh tính người dùng vẫn là những khu vực cần được bảo vệ chặt chẽ. Các biện pháp như MFA, kiểm soát đăng nhập và đào tạo nhận biết phishing cần được triển khai song song.
• Không theo dõi sau khi triển khai: Chính sách bảo mật cần thay đổi cùng doanh nghiệp. Khi có thêm nhân viên, ứng dụng, chi nhánh hoặc dịch vụ cloud, mô hình truy cập cũng phải được rà soát và điều chỉnh.

Doanh nghiệp cũng nên quan tâm đến việc Tầm Quan Trọng Của Việc Bảo Mật Và Chống Spam Email Doanh Nghiệp, bởi tài khoản email có thể liên kết với nhiều ứng dụng, dữ liệu và quy trình xác thực quan trọng.

IT NOW – Tư vấn và triển khai Zero Trust cho doanh nghiệp

Triển khai Zero Trust không nhất thiết phải bắt đầu bằng một dự án lớn hay thay mới toàn bộ hạ tầng. Doanh nghiệp có thể xây dựng lộ trình từng bước dựa trên hiện trạng CNTT, tài sản quan trọng, mức độ rủi ro và ngân sách.

IT NOW hỗ trợ doanh nghiệp khảo sát và xây dựng các lớp bảo mật cần thiết cho mô hình Zero Trust, bao gồm:

• Kiểm tra hiện trạng hạ tầng CNTT.
• Quản lý danh tính và tài khoản.
• Triển khai MFA.
• Phân quyền người dùng.
• Thiết kế VLAN và phân đoạn mạng.
• Triển khai firewall.
• Bảo vệ endpoint.
• Quản lý máy chủ và thiết bị.
• Backup dữ liệu.
• Giám sát hệ thống và xử lý sự cố.
• Dịch vụ IT Helpdesk và IT thuê ngoài.

Thay vì áp dụng Zero Trust theo một cấu hình cố định, doanh nghiệp cần xác định rõ tài nguyên nào phải bảo vệ trước, ai cần truy cập và điều kiện nào phải đáp ứng để được cấp quyền.

Một mô hình Zero Trust được triển khai theo lộ trình phù hợp sẽ giúp doanh nghiệp kiểm soát truy cập chặt chẽ hơn, hạn chế phạm vi ảnh hưởng khi xảy ra xâm nhập và tạo nền tảng bảo mật linh hoạt cho môi trường làm việc ngày càng kết hợp giữa on-premise, cloud và remote.

📞 Liên hệ ngay đến các kênh dưới đây để được tư vấn và đặt hàng ngay nhé!

—————————————

MÁY CHỦ VIỆT – PHÂN PHỐI MÁY CHỦ CHÍNH HÃNG

• Website: https://maychuviet.vn
• Hotline: 0867.111.333
• Email: kinhdoanh@maychuviet.vn