Zero Trust là gì? Vì sao firewall và VPN không còn đủ?

Trong nhiều năm, doanh nghiệp quen nghĩ rằng chỉ cần dựng tường lửa, dùng VPN và phân quyền cơ bản là đã có một “vòng thành” đủ an toàn. Nhưng thực tế vận hành hiện nay khác rất xa: nhân sự đăng nhập từ nhiều nơi, dữ liệu nằm trên cloud, phần mềm chạy trên SaaS, API kết nối liên tục, còn tài khoản quản trị có thể bị lộ qua phishing hoặc malware.

Vì vậy, “sự sụp đổ của bức tường lửa” không có nghĩa firewall đã vô dụng. Nó có nghĩa là mô hình bảo mật chỉ dựa vào ranh giới mạng không còn đủ để bảo vệ doanh nghiệp. Nếu kẻ tấn công đăng nhập bằng tài khoản hợp lệ, hệ thống cần nhiều câu hỏi hơn là: “người này đã qua được cổng chưa?”

Tóm tắt: Zero Trust là mô hình bảo mật không tin tưởng mặc định bất kỳ người dùng, thiết bị, ứng dụng hay kết nối nào. Mỗi yêu cầu truy cập cần được xác minh bằng danh tính, trạng thái thiết bị, ngữ cảnh, mức rủi ro và quyền tối thiểu. Firewall và VPN vẫn hữu ích, nhưng không thể một mình giải quyết rủi ro từ cloud, SaaS, làm việc từ xa và tài khoản bị chiếm.

Bức tường lửa đã “sụp đổ” theo nghĩa nào?

Tường lửa vẫn là một lớp phòng thủ cần có, đặc biệt ở biên mạng, ứng dụng web và hệ thống công cộng. Nhưng nếu doanh nghiệp xem firewall là lớp bảo vệ trung tâm duy nhất, rủi ro sẽ tăng rất nhanh.

Mô hình cũ giả định có một ranh giới rõ: bên ngoài là nguy hiểm, bên trong là đáng tin. Nhưng doanh nghiệp hiện đại không còn vận hành trong một “lâu đài” có một cổng chính. Một nhân viên có thể dùng laptop cá nhân truy cập email cloud, CRM, kho dữ liệu, phần mềm kế toán và hệ thống nội bộ trong cùng một ngày.

Khi tài khoản bị đánh cắp, kẻ tấn công không nhất thiết phải phá tường lửa. Họ có thể đăng nhập như người dùng thật. Đây là lý do các bài về tội phạm mạng 2026 thường nhấn mạnh rủi ro đánh cắp danh tính, credential stuffing, phishing và chiếm quyền phiên đăng nhập.

Dấu hiệu mô hình cũ không còn đủ	Rủi ro thực tế
VPN mở quyền quá rộng	Người dùng vào được một vùng lớn thay vì chỉ ứng dụng cần thiết
Tài khoản cũ chưa bị thu hồi	Nhân sự nghỉ việc hoặc vendor cũ vẫn còn quyền
Thiết bị không được kiểm tra	Máy nhiễm mã độc vẫn truy cập được dữ liệu
Ứng dụng SaaS dùng rời rạc	Dữ liệu nằm ngoài tầm kiểm soát của IT
Không theo dõi hành vi truy cập	Khó phát hiện khi tài khoản hợp lệ bị lạm dụng

Zero Trust là gì?

Zero Trust là cách thiết kế bảo mật dựa trên nguyên tắc: không tin mặc định, luôn xác minh, cấp quyền tối thiểu và giả định rằng sự cố có thể đã xảy ra. Microsoft mô tả Zero Trust bằng các nguyên tắc cốt lõi như verify explicitly, use least privilege access và assume breach.

Nói dễ hiểu, Zero Trust không hỏi “anh đang ở trong mạng công ty hay ngoài mạng công ty?”. Nó hỏi: anh là ai, thiết bị có an toàn không, đang truy cập ứng dụng nào, dữ liệu đó có nhạy cảm không, hành vi có bất thường không, và quyền truy cập có thật sự cần thiết không?

Điểm bắt đầu thực tế nhất thường là danh tính. Doanh nghiệp nên bật MFA, chuẩn hóa tài khoản quản trị, phân quyền theo vai trò, thu hồi quyền khi nhân sự thay đổi và giám sát đăng nhập bất thường.

Nguyên tắc Zero Trust	Cách hiểu thực tế
Xác minh rõ ràng	Không chỉ kiểm tra mật khẩu, mà kết hợp MFA, thiết bị, vị trí, hành vi và rủi ro
Quyền tối thiểu	Chỉ cấp đúng quyền, đúng thời gian, đúng tài nguyên cần dùng
Giả định đã bị xâm nhập	Thiết kế hệ thống để nếu một điểm bị chiếm, thiệt hại không lan toàn mạng
Theo dõi liên tục	Không xác minh một lần rồi tin mãi; cần log, cảnh báo và kiểm tra phiên truy cập
Bảo vệ dữ liệu trọng yếu	Dữ liệu nhạy cảm cần được phân loại, mã hóa và kiểm soát quyền chặt hơn

Vì sao nhiều tổ chức chuyển sang Zero Trust?

Một bài viết của Zscaler công bố ngày 30/01/2025 dẫn khảo sát chuyên gia an ninh mạng cho biết 81% tổ chức được khảo sát đang áp dụng Zero Trust như nền tảng trong chiến lược phòng thủ. Đây là kết quả của một khảo sát ngành tại một thời điểm cụ thể, không phải bằng chứng rằng 81% mọi tổ chức trên thế giới đã triển khai Zero Trust hoàn chỉnh hoặc “chọn Zero Trust trong năm 2026”.

Điều đáng chú ý không chỉ là tỷ lệ 81%, mà là lý do phía sau. Doanh nghiệp đang chịu áp lực từ bốn hướng: danh tính bị đánh cắp, dữ liệu nằm rải rác trên cloud/SaaS, nhân sự làm việc hybrid và các cuộc tấn công tự động hóa ngày càng nhanh.

Với doanh nghiệp Việt Nam, bài học không phải là “mua ngay một công cụ Zero Trust”. Bài học là cần chuyển từ bảo mật vá víu sang quy trình triển khai bảo mật hệ thống từ A-Z: kiểm kê tài sản, phân loại dữ liệu, kiểm soát danh tính, kiểm tra thiết bị, giới hạn quyền và giám sát liên tục.

Zero Trust khác gì firewall, VPN và WAF?

Zero Trust không thay thế toàn bộ firewall, VPN hay WAF. Nó thay đổi cách doanh nghiệp quyết định ai được truy cập vào đâu, trong điều kiện nào và với quyền gì. Firewall/WAF vẫn là lớp kỹ thuật quan trọng, nhưng Zero Trust là cách tổ chức chính sách truy cập toàn diện hơn.

Thành phần	Vai trò chính	Giới hạn nếu dùng đơn lẻ
Firewall	Kiểm soát lưu lượng mạng ở biên hoặc giữa các vùng mạng	Không đủ nếu tài khoản hợp lệ bị chiếm hoặc truy cập đi qua cloud/SaaS
VPN	Tạo đường truy cập từ xa vào mạng nội bộ	Dễ mở quyền quá rộng nếu không phân tách theo ứng dụng
WAF	Bảo vệ ứng dụng web khỏi nhiều kiểu tấn công lớp ứng dụng	Không giải quyết toàn bộ bài toán danh tính, thiết bị và quyền dữ liệu
Zero Trust	Xác minh liên tục, quyền tối thiểu, kiểm soát theo danh tính/ngữ cảnh	Cần lộ trình, dữ liệu kiểm kê và phối hợp nhiều nhóm để triển khai đúng

Nếu hệ thống có web công cộng, doanh nghiệp vẫn nên hiểu WAF là gì và cân nhắc triển khai WAF và chống DDoS. Nhưng WAF không thay thế MFA, phân quyền, nhật ký truy cập, kiểm soát thiết bị và quy trình ứng cứu.

Doanh nghiệp nên bắt đầu Zero Trust từ đâu?

Cách an toàn nhất là không bắt đầu bằng công cụ, mà bắt đầu bằng bản đồ rủi ro. Hãy xác định hệ thống nào quan trọng nhất, ai đang truy cập, dữ liệu nào nhạy cảm, thiết bị nào chưa quản lý và tài khoản nào có quyền cao.

Ưu tiên	Việc cần làm ngay	Kết quả mong đợi
Danh tính	Bật MFA cho email, tài khoản quản trị, cloud, CRM, tài chính	Giảm rủi ro chiếm tài khoản bằng mật khẩu lộ
Quyền truy cập	Rà soát admin, vendor, tài khoản cũ và tài khoản dùng chung	Giảm quyền thừa, dễ truy vết trách nhiệm
Thiết bị	Kiểm tra máy có bản vá, antivirus/EDR, mã hóa ổ đĩa và khóa màn hình	Không để thiết bị rủi ro truy cập dữ liệu nhạy cảm
Ứng dụng	Liệt kê SaaS, ứng dụng nội bộ, API và hệ thống public	Biết rõ điểm nào cần bảo vệ trước
Dữ liệu	Phân loại dữ liệu khách hàng, tài chính, hợp đồng, hệ thống	Tập trung bảo vệ đúng tài sản quan trọng

Với hệ thống có yêu cầu tuân thủ hoặc cần chuẩn hóa theo cấp độ, doanh nghiệp có thể tham khảo nhóm giải pháp bảo mật hệ thống cấp độ 2, cấp độ 3 để xây kiến trúc theo rủi ro thay vì triển khai rời rạc từng công cụ.

Lộ trình triển khai Zero Trust 90 ngày cho doanh nghiệp

Zero Trust không nên là dự án “làm một lần cho xong”. Hãy xem đây là lộ trình tăng trưởng năng lực bảo mật, bắt đầu từ những điểm có tác động lớn và dễ kiểm soát nhất.

Giai đoạn đầu tiên: khóa rủi ro danh tính

Trong 30 ngày đầu, doanh nghiệp nên bật MFA cho tài khoản quan trọng, loại bỏ tài khoản dùng chung, rà soát quyền admin, tạo quy trình thu hồi quyền khi nhân sự nghỉ việc và tách tài khoản cá nhân khỏi tài khoản quản trị.

Giai đoạn tiếp theo: bảo vệ ứng dụng và dữ liệu trọng yếu

Trong 60 ngày tiếp theo, hãy chọn 3–5 hệ thống trọng yếu nhất như email doanh nghiệp, CRM, kế toán, hosting, database hoặc hệ thống khách hàng. Mỗi hệ thống cần có chủ sở hữu, danh sách người được truy cập, quyền theo vai trò và nhật ký truy cập.

Giai đoạn cuối: giám sát, cảnh báo và ứng cứu

Đến mốc 90 ngày, doanh nghiệp cần có cơ chế phát hiện đăng nhập bất thường, quyền tăng đột biến, thiết bị lạ, truy cập ngoài giờ hoặc hành vi tải dữ liệu bất thường. Nếu xảy ra sự cố, đội ngũ cần biết ai khóa tài khoản, ai kiểm tra log, ai khôi phục dịch vụ và ai thông báo nội bộ.

Checklist tự đánh giá mức sẵn sàng Zero Trust

Trước khi đầu tư lớn, doanh nghiệp có thể tự kiểm tra bằng checklist ngắn dưới đây. Nếu câu trả lời “không biết” xuất hiện quá nhiều, đó là dấu hiệu nên rà soát lại kiến trúc bảo mật trước.

Câu hỏi kiểm tra	Đạt khi
Có biết toàn bộ tài khoản admin đang tồn tại không?	Có danh sách, chủ sở hữu và ngày rà soát gần nhất
MFA đã bật cho tài khoản quan trọng chưa?	Email, cloud, hosting, CRM, tài chính và tài khoản quản trị đều đã bật
Có tài khoản dùng chung không?	Không còn tài khoản chung cho nhiều người hoặc có kiểm soát tạm thời
Quyền vendor có thời hạn không?	Có ngày hết hạn, phạm vi quyền và người phê duyệt
Có phân loại dữ liệu quan trọng không?	Biết dữ liệu nào cần mã hóa, backup và kiểm soát chặt
Có log truy cập đủ để điều tra không?	Có log đăng nhập, thay đổi quyền, truy cập hệ thống quan trọng
Có kế hoạch ứng cứu khi bị chiếm tài khoản không?	Có quy trình khóa tài khoản, reset phiên, kiểm tra hệ thống và khôi phục

Với website có cổng đăng nhập, web công cộng hoặc thu thập dữ liệu khách hàng, doanh nghiệp có thể đối chiếu thêm checklist bảo mật cho website có cổng web công cộng. Nếu đã xảy ra sự cố, nên xem ngay hướng dẫn làm gì khi website bị hack, lỗi hoặc bị tấn công.

Những lỗi khiến Zero Trust thất bại

Zero Trust thất bại không phải vì khái niệm sai, mà thường vì doanh nghiệp triển khai như một chiến dịch mua công cụ ngắn hạn. Dưới đây là các lỗi dễ gặp.

Lỗi thường gặp	Cách tránh
Mua công cụ trước khi kiểm kê tài sản	Bắt đầu bằng danh sách ứng dụng, tài khoản, dữ liệu và rủi ro
Bật MFA nhưng vẫn dùng tài khoản chung	Chuẩn hóa định danh cá nhân và loại bỏ tài khoản dùng chung
Cấp quyền quá rộng cho VPN hoặc admin	Áp dụng quyền tối thiểu và quyền tạm thời khi cần
Không xử lý thiết bị không an toàn	Đặt điều kiện thiết bị trước khi truy cập hệ thống nhạy cảm
Không có log và cảnh báo	Thiết lập log truy cập, cảnh báo hành vi bất thường và quy trình ứng cứu
Tạo quá nhiều ma sát cho người dùng	Triển khai theo nhóm rủi ro cao trước, truyền thông rõ lý do và hỗ trợ người dùng

FAQ về Zero Trust cho doanh nghiệp

Zero Trust có thay thế firewall không?

Không. Firewall vẫn cần thiết, nhưng không còn đủ nếu doanh nghiệp dùng cloud, SaaS, remote work và nhiều tài khoản truy cập. Zero Trust bổ sung lớp kiểm soát theo danh tính, thiết bị, ngữ cảnh và quyền tối thiểu.

Doanh nghiệp nhỏ có cần Zero Trust không?

Có, nhưng không cần triển khai phức tạp ngay từ đầu. Doanh nghiệp nhỏ nên bắt đầu bằng MFA, quản lý tài khoản admin, phân quyền đúng người, backup, cập nhật thiết bị và log truy cập.

Bật MFA có phải là Zero Trust chưa?

MFA là bước khởi đầu rất quan trọng, nhưng chưa đủ. Zero Trust còn cần kiểm soát thiết bị, phân quyền tối thiểu, giám sát truy cập, phân loại dữ liệu và ứng cứu sự cố.

Zero Trust có làm nhân viên khó làm việc hơn không?

Nếu triển khai máy móc, có thể gây phiền. Nhưng nếu thiết kế theo rủi ro, chỉ tăng xác minh ở tài khoản/ứng dụng nhạy cảm và dùng SSO/MFA hợp lý, Zero Trust có thể tăng an toàn mà không làm chậm vận hành.

Nên triển khai Zero Trust trong bao lâu?

Một số hạng mục nền tảng có thể làm trong 30–90 ngày, nhưng Zero Trust là lộ trình liên tục. Doanh nghiệp nên đo theo mức trưởng thành: danh tính, thiết bị, ứng dụng, dữ liệu, mạng, giám sát và phản ứng.

Kết luận: đừng đợi đến khi tài khoản bị chiếm mới thay đổi

Firewall, VPN và WAF vẫn có vai trò của chúng. Nhưng trong bối cảnh tài khoản bị đánh cắp, ứng dụng phân tán, thiết bị đa dạng và dữ liệu nằm ngoài “văn phòng”, doanh nghiệp cần một mô hình kiểm soát truy cập thông minh hơn.

Zero Trust không phải khẩu hiệu “không tin ai”. Đó là cách quản trị rủi ro thực tế: xác minh đúng người, đúng thiết bị, đúng quyền, đúng dữ liệu và đúng thời điểm.

Nguồn tham chiếu

Phân loại nguồn: NIST và CISA là nguồn khung/kiến trúc; Microsoft là hướng dẫn triển khai của nhà cung cấp; Zscaler là khảo sát vendor nên chỉ dùng cho số liệu 81% trong đúng phạm vi khảo sát.

• NIST SP 800-207 – Zero Trust Architecture
• NIST SP 800-207A – Zero Trust Architecture Model for Cloud-Native Applications
• CISA – Zero Trust Maturity Model Version 2.0
• Zscaler – 81% of Companies Embrace Zero Trust
• Microsoft – Zero Trust as a security foundation
• Microsoft – Zero Trust adoption framework overview