Bảo mật zero-trust là gì?

Bảo mật Zero-Trust

Bảo mật Zero-Trust (hay mô hình "không tin tưởng mặc định") là một kiến trúc an toàn thông tin trong đó mọi yêu cầu truy cập — bất kể xuất phát từ bên trong hay bên ngoài hệ thống mạng của tổ chức — đều phải được xác minh danh tính, kiểm tra quyền hạn và đánh giá rủi ro trước khi được cấp phép. Khác với mô hình bảo mật truyền thống dựa trên "vành đai" (castle-and-moat) — vốn mặc định tin tưởng mọi thiết bị đã nằm trong mạng nội bộ — Zero-Trust hoạt động theo nguyên tắc "never trust, always verify" (không bao giờ tin tưởng, luôn xác minh). Mỗi giao dịch, mỗi phiên truy cập, mỗi lệnh gọi API đều được coi là một sự kiện độc lập cần đánh giá lại từ đầu. Trong bối cảnh ngân hàng — nơi dữ liệu khách hàng, giao dịch tài chính và kết nối API với các đối tác fintech ngày càng phức tạp — Zero-Trust được xem là xương sống của chiến lược an ninh mạng hiện đại, đặc biệt khi nhân viên làm việc từ xa, sử dụng nhiều thiết bị cá nhân và truy cập hệ thống qua các đám mây công cộng.

Nguyên tắc cốt lõi của Zero-Trust

Mô hình Zero-Trust được xây dựng trên ba nguyên tắc nền tảng:

• Xác minh liên tục (Continuous Verification): Danh tính người dùng, trạng thái thiết bị, vị trí địa lý, thời gian truy cập và hành vi sử dụng được đánh giá theo thời gian thực trong suốt phiên làm việc, không chỉ kiểm tra một lần tại thời điểm đăng nhập. Một giao dịch viên đã đăng nhập thành công vào hệ thống core banking vào lúc 8 giờ sáng tại văn phòng Hà Nội nhưng đột ngột phát sinh giao dịch chuyển tiền lớn từ một địa chỉ IP ở nước ngoài vào lúc 2 giờ sáng sẽ bị hệ thống chặn lại và yêu cầu xác thực bổ sung.
• Quyền tối thiểu (Least Privilege Access): Mỗi người dùng chỉ được cấp đúng những quyền tối thiểu cần thiết để hoàn thành nhiệm vụ tại từng thời điểm (nguyên tắc Just-In-Time và Just-Enough-Access). Ví dụ, nhân viên quan hệ khách hàng chỉ có thể xem hồ sơ tín dụng của khách hàng được phân công phụ trách, không thể truy cập danh sách khách hàng VIP toàn chi nhánh.
• Giả định vi phạm (Assume Breach): Hệ thống được thiết kế với giả định rằng một cuộc tấn công đang hoặc sẽ xảy ra, do đó dữ liệu được phân đoạn, mã hóa đầu cuối, và mọi hoạt động đều được ghi nhật ký để phát hiện bất thường. Nếu hacker chiếm được tài khoản của một nhân viên phòng IT, phạm vi ảnh hưởng được giới hạn tối đa thay vì có thể điều khiển toàn bộ hệ thống.

Các trụ cột kỹ thuật của Zero-Trust

Một kiến trúc Zero-Trust hoàn chỉnh thường bao gồm các thành phần kỹ thuật sau:

• Quản lý danh tính và truy cập (IAM) tập trung: Hệ thống SSO (Single Sign-On) tích hợp MFA (Multi-Factor Authentication) — bao gồm sinh trắc học, mã OTP, khóa bảo mật phần cứng — là lớp bảo vệ đầu tiên. Ngân hàng thường triển khai xác thực đa lớp cho giao dịch viên khi truy cập hệ thống T24, Core Banking hoặc kho dữ liệu khách hàng.
• Phân đoạn mạng vi mô (Micro-Segmentation): Mạng nội bộ được chia thành nhiều vùng nhỏ, mỗi vùng có chính sách kiểm soát truy cập riêng. Ví dụ, hệ thống xử lý thẻ tín dụng được tách biệt hoàn toàn khỏi hệ thống HR, hệ thống Internet Banking tách biệt khỏi hệ thống ATM/POS.
• Kiểm soát truy cập dựa trên thiết bị (Device Trust): Chỉ những thiết bị đáp ứng tiêu chuẩn bảo mật (cập nhật bản vá, cài phần mềm EDR, mã hóa ổ đĩa) mới được phép truy cập tài nguyên. Thiết bị cá nhân không đạt chuẩn có thể bị từ chối hoặc chỉ được phép truy cập một tập dữ liệu giới hạn.
• Zero Trust Network Access (ZTNA): Thay thế VPN truyền thống, ZTNA tạo đường hầm bảo mật riêng cho từng ứng dụng thay vì cấp quyền truy cập toàn mạng. Nhân viên từ xa chỉ thấy ứng dụng được phép, không thể quét các cổng dịch vụ khác trong mạng ngân hàng.

Lợi ích và thách thức khi áp dụng tại ngân hàng

Lợi ích nổi bật:

• Giảm đáng kể bề mặt tấn công, hạn chế thiệt hại khi xảy ra sự cố: một cuộc khảo sát của IBM năm 2023 cho thấy các tổ chức triển khai Zero-Trust tiết kiệm trung bình 1,5 triệu USD chi phí xử lý sự cố so với tổ chức không triển khai.
• Hỗ trợ mô hình làm việc kết hợp (hybrid work) mà vẫn đảm bảo an toàn, phù hợp với xu hướng số hóa sau đại dịch COVID-19.
• Đáp ứng các yêu cầu tuân thủ ngày ngân hàng: quy định hiện hành của Ngân hàng Nhà nước về an toàn, bảo mật trong hoạt động ngân hàng điện tử và các tiêu chuẩn quốc tế như PCI-DSS, ISO 27001.
• Tăng khả năng quan sát (observability) toàn hệ thống, giúp phát hiện sớm các dấu hiệu tấn công nội bộ (insider threat).

Thách thức thường gặp:

• Chi phí triển khai ban đầu cao, đặc biệt với hạ tầng ngân hàng cũ (legacy) chạy trên mainframe; có thể cần tái cấu trúc hạ tầng theo lộ trình 3–5 năm.
• Yêu cầu thay đổi văn hóa tổ chức: nhân viên có thể phản ứng với việc xác thực nhiều lớp khiến thao tác chậm hơn.
• Cần đội ngũ chuyên môn về bảo mật và DevSecOps đủ mạnh để vận hành và giám sát liên tục.
• Tích hợp Zero-Trust với các ứng dụng cũ đôi khi gặp khó khăn vì chúng được thiết kế theo mô hình bảo mật dựa trên vành đai.

Lộ trình triển khai Zero-Trust cho ngân hàng

Một lộ trình triển khai tham khảo thường được khuyến nghị gồm các bước:

• Bước 1 — Xác định tài sản trọng yếu: Lập bản đồ dữ liệu, xác định các hệ thống ưu tiên như core banking, kho dữ liệu khách hàng (KYC), cổng thanh toán, hệ thống thẻ.
• Bước 2 — Triển khai IAM/MFA trước tiên: Đây là lớp nền tảng mang lại hiệu quả nhanh nhất với chi phí hợp lý.
• Bước 3 — Phân đoạn mạng và triển khai ZTNA: Thay thế VPN truyền thống, phân vùng hệ thống theo mức độ nhạy cảm.
• Bước 4 — Tích hợp giám sát và phân tích hành vi (UEBA): Ứng dụng AI/ML để phát hiện bất thường trong thời gian thực.
• Bước 5 — Mở rộng quy tắc chính sách (Policy) cho toàn bộ hệ sinh thái: Bao gồm đối tác bên thứ ba, nhà cung cấp dịch vụ đám mây, và các ứng dụng di động.

Xu hướng Zero-Trust trong ngành ngân hàng Việt Nam

Nhiều ngân hàng Việt Nam đã bắt đầu lộ trình Zero-Trust, đặc biệt sau khi Ngân hàng Nhà nước ban hành Thông tư quy định về an toàn, bảo mật trong hoạt động ngân hàng điện tử và Thông tư về hạn chế rủi ro trong hoạt động cho vay qua các kênh điện tử. Các xu hướng đáng chú ý gồm: tích hợp nhận dạng sinh trắc học (eKYC, xác thực khuôn mặt) theo Quyết định của Ngân hàng Nhà nước về triển khai giải pháp xác thực sinh trắc học cho giao dịch chuyển tiền, ứng dụng AI trong phát hiện gian lận, và yêu cầu ngày càng cao về bảo mật API trong hệ sinh thái Open Banking. Tuy nhiên, quá trình triển khai thực tế còn chậm do hạ tầng legacy và chi phí đầu tư lớn, đòi hỏi sự quyết tâm từ ban lãnh đạo cấp cao.

Lưu ý: Nội dung trên mang tính tham khảo chuyên môn, không thay thế tư vấn pháp lý hoặc tư vấn an ninh mạng chính thức. Bạn đọc nên tham vấn đơn vị tư vấn được cấp phép và cập nhật văn bản pháp luật hiện hành trước khi áp dụng vào thực tiễn tổ chức.