Mô hình bảo mật Zero Trust (Đông Tin Không) không mới. Nó đã tồn tại kể từ khi John Kindervag từ Forrester Research viết bài "Không Còn Trung Tâm Mềm: Giới Thiệu Mô Hình Zero Trust Của An Ninh Thông Tin" năm 2010.
Phương pháp Zero Trust tập trung vào niềm tin rằng không người dùng hay ứng dụng nào nên được tin cậy固有地, ngay cả những đã nằm trong ranh giới mạng.
Ý tưởng này đã được các công ty và tổ chức lớn như Google, Coca-Cola, và NSA chấp nhận để chống lại mối đe dọa tăng cao của tấn công mạng. Tuy nhiên, vẫn còn rào cản cản trở việc áp dụng phổ biến.
Huyền Thoai Về Bảo Mật Zero Trust
Khi sự quan tâm của tổ chức đến mô hình Zero Trust tăng lên, một số hiểu lầm về nguyên tắc cơ bản của khung làm việc này đã cản trở việc áp dụng. Dưới đây là một vài huyền thoại bạn không nên tin.
Huy Thoại Một: Zero Trust Tạo Văn Hóa Hoài Nghi
Một hiểu lầm phổ biến về Zero Trust là nó khuyến khích ý tưởng không tin tưởng nhân viên. Mặc dù khung Zero Trust yêu cầu công ty kiểm tra kỹ người dùng truy cập tài nguyên mạng, nó không nên bị hiểu lầm là chuyện cá nhân.
Thực tế là niềm tin đại diện cho một lỗ hổng có thể đặt tổ chức của bạn ở rủi ro tấn công. Tội phạm mạng khai thác niềm tin để nhắm mục tiêu công ty, và Zero Trust cung cấp cách giảm thiểu rủi ro này. Nó tương đương với vào cửa bằng thẻ từ thay vì cho mọi người tự do vào tòa nhà.
Bằng cách sử dụng Nguyên tắc Đặc Quyển Tối Thiểu (POLP), tổ chức có thể cá nhân hóa chính sách ngưỡng để người dùng chỉ được cấp quyền truy cập tài nguyên họ cần dựa trên niềm tin họ đã kiếm được.
Huyền Thoại Hai: Zero Trust Là Một Sản Phẩm
Zero Trust là một chiến lược hoặc khung làm việc, không phải sản phẩm. Nó được xây dựng quanh ý tưởng không bao giờ tin cậy và luôn xác minh.
Các sản phẩm khác nhau do nhà cung cấp cung cấp có thể giúp đạt được Zero Trust; tuy nhiên, chúng không phải là sản phẩm Zero Trust. Chúng chỉ đơn giản là sản phẩm hoạt động tốt trong môi trường Zero Trust. Vì vậy, nếu nhà cung cấp yêu cầu bạn mua "sản phẩm Zero Trust" của họ, đó là dấu hiệu họ không hiểu khái niệm cơ bản.
Khi tích hợp đúng với kiến trúc Zero Trust, các sản phẩm khác nhau có thể hiệu quả giảm thiểu bề mặt tấn công và hạn chế bán kính الانفجار trong trường hợp vi phạm. Khi triển khai hoàn toàn, giải pháp Zero Trust với xác minh liên tục có thể loại bỏ hoàn toàn bề mặt tấn công.
Huyền Thoại Ba: Chỉ Có Một Cách Triển Khai Zero Trust
Zero Trust là tập hợp các nguyên tắc bảo mật liên quan đến xác minh liên tục, truy cập Đặc Quyển Tối Thiểu, và giảm thiểu bề mặt tấn công.
Quá nhiều năm, hai phương pháp đã nổi lên để bắt đầu với mô hình Zero Trust. Phương pháp đầu tiên bắt đầu từ danh tính và liên quan đến xác thực đa yếu tố (MFA), mang lại kết quả nhanh chóng.
Phương pháp thứ hai tập trung vào mạng và bắt đầu với phân đoạn mạng (network segmentation). Khái niệm liên quan đến tạo các phân đoạn mạng để kiểm soát lưu lượng trong và giữa các phân đoạn. Quản trị mạng sau đó có thể duy trì ủy quyền riêng cho mỗi phân đoạn, từ đó giới hạn lan truyền của mối đe dọa ngang (lateral threats) trong hệ thống.
Huyền Thoại Bốn: Zero Trust Chỉ Phục Vụ Doanh Nghiệp Lớn
Google là một trong những công ty đầu tiên triển khai kiến trúc Zero Trust để phản ứng lại Chiến dịch Aurora năm 2009. Đây là chuỗi tấn công nhắm vào các doanh nghiệp lớn như Google, Yahoo, Morgan Stanley, và Adobe Systems.
Khi Google áp dụng mô hình Zero Trust ngay sau các cuộc tấn công, nhiều doanh nghiệp nghĩ (và vẫn nghĩ) nó chỉ áp dụng cho tổ chức lớn. Quan niệm này chỉ đúng nếu tấn công mạng bị giới hạn ở doanh nghiệp lớn, điều mà không đúng. Thực tế, khoảng 46% vi phạm dữ liệu năm 2021 nhắm vào doanh nghiệp nhỏ.
Mặc dù truyền thông xu hướng báo cáo vi phạm dữ liệu ảnh hưởng đến doanh nghiệp lớn, không nghi ngờ gì doanh nghiệp nhỏ cũng cần bảo vệ chống tấn công mạng.
Tin tốt là tổ chức nhỏ không phải phá sản để triển khai mô hình Zero Trust. Vì nó không phải sản phẩm, doanh nghiệp có thể đưa nó vào dần dần bằng cách phân bổ đầu tư năm khiêm tốn cho kiến trúc Zero Trust.
Huyền Thoại Năm: Zero Trust Cản Trở Trải Nghiệm Người Dùng
Một trong những rào cản áp dụng Zero Trust là tác động cảm nhận được lên trải nghiệm người dùng. Hiểu lẽ tự nhiên khi giả định năng suất và sự linh hoạt của người dùng sẽ bị ảnh hưởng khi liên tục xác minh danh tính. Tuy nhiên, khi triển khai thích hợp, Zero Trust có thể mang lại trải nghiệm thân thiện với người dùng.
Tổ chức có thể đánh giá hồ sơ người dùng và kết hợp xác thực dựa trên rủi ro với học máy để xác định rủi ro và đưa ra quyết định truy cập nhanh. Nếu rủi ro cao, hệ thống có thể yêu cầu bước xác thực thêm hoặc chặn hoàn toàn truy cập để bảo vệ tài nguyên. Ngược lại, nó có thể loại bỏ thách thức xác thực nếu rủi ro thấp.
Một phương pháp Zero Trust cũng giảm độ phức tạp ở phía quản trị. Nhà thầu và nhân viên sẽ không còn là rủi ro bảo mật nếu họ ngừng làm việc với bạn. Dưới một mô hình Zero Trust hiệu quả, hệ thống sẽ ngay lập tức chấm dứt quyền truy cập vào tài sản chính, loại bỏ lối hậu môn (back doors).
Huyền Thoại Sáu: Zero Trust Giới Hạn Trên Môi Trường On-Prem (Tại Chỗ)
Nhiều doanh nghiệp vẫn xem Zero Trust là mô hình chỉ có thể quản lý tại chỗ (on-premises). Điều này trở thành vấn đề lớn vì dữ liệu nhạy cảm hiện nằm trong môi trường lai (hybrid) và đám mây (cloud). Với tấn công mạng và hack ảnh hưởng đến kiến trúc on-prem tăng lên, nhiều doanh nghiệp hơn đang chuyển sang đám mây.
Tin tốt là Zero Trust đang nhanh chóng di chuyển cùng nó.
Bằng cách thiết lập kiến trúc Zero Trust trong đám mây, công ty có thể bảo vệ dữ liệu nhạy cảm và giảm phơi bày tài sản dễ bị tổn thương trong mạng.
Ngoài ra, khi văn hóa làm việc từ xa tăng cường và tội phạm mạng phát triển cách mới khai thác lỗ hổng, doanh nghiệp dựa vào cơ sở hạ tầng on-prem rủi ro bị gián đoạn.
Không Tin Cậy; Luôn Xác Minh
Dựa trên số lượng vi phạm dữ liệu nhắm vào tổ chức, rõ ràng cách tiếp cận bảo mật truyền thống không đủ. Mặc dù nhiều người tin Zero Trust đắt đỏ và tốn thời gian, nó là liều thuốc tuyệt vời cho vấn đề bảo mật hiện tại.
Mô hình Zero Trust tìm cách loại bỏ hệ thống dựa trên niềm tin đơn giản vì nó bị khai thác quá thường xuyên trong tấn công mạng. Nó hoạt động dựa trên nguyên tắc mọi người và mọi thứ phải được xác minh trước khi được truy cập tài nguyên mạng. Đây là追求值得追求对于希望降低风险和改善安全态势的公司。