Zero trust là gì? Bảy nguyên tắc và cách bắt đầu từ công cụ sẵn có

Đăng ngày 25/10/2026

Tóm tắt: zero trust là gì và điều cần nhớ

Zero trust là gì? Đó là cách thiết kế an ninh không ngầm tin người dùng, thiết bị hay ứng dụng nào chỉ vì nó nằm trong mạng nội bộ: mỗi lần truy cập tài nguyên đều phải xác thực, cấp quyền tối thiểu và được theo dõi. Theo NIST SP 800-207, đây là tập nguyên tắc và một hành trình, không thể hoàn tất chỉ bằng cách thay toàn bộ công nghệ [1].

• NIST coi bảy nguyên tắc là mục tiêu lý tưởng, không phải điều nào cũng làm trọn vẹn [1]; bài gợi ý một bản đồ ba bước để triển khai tăng dần.
• Bài không dùng tên kiến trúc để hứa một tỷ lệ giảm sự cố; cần kiểm quyết định truy cập trên phạm vi đã chọn.
• Theo bài, doanh nghiệp nhỏ chưa cần dự án zero trust riêng; NIST ưu tiên cho nhóm này xác thực đa yếu tố và giới hạn quyền truy cập [2].
• Theo bài, tác tử AI là một danh tính mới cần quyền tối thiểu và nhật ký; NCCoE đang nêu câu hỏi mở về việc này [3].

Zero trust là gì và vì sao nên quan tâm?

Zero trust không phải tên một sản phẩm mà là cách nghĩ về an ninh. NIST SP 800-207, công bố tháng 8/2020, mô tả một tập khái niệm nhằm ra quyết định truy cập chính xác, theo quyền tối thiểu và từng yêu cầu, khi mạng bị coi là đã bị xâm phạm [1].

NIST phân biệt hai tầng. Zero trust là tập nguyên tắc chung; kiến trúc zero trust (zero trust architecture, ZTA) là kế hoạch an ninh cụ thể của một doanh nghiệp, gồm quan hệ giữa các thành phần, luồng công việc và chính sách truy cập [1]. Vì thế câu hỏi hữu ích là áp dụng nguyên tắc nào, cho tài nguyên nào, theo thứ tự nào, chứ không phải mua loại zero trust nào.

NIST nêu ba xu hướng: người dùng làm việc từ xa, thiết bị cá nhân được dùng (BYOD) và tài sản nằm trên đám mây, ngoài ranh giới mạng doanh nghiệp. Khi tài nguyên không còn nằm sau một bức tường, vị trí mạng không còn là yếu tố chính quyết định độ an toàn của chúng [1].

Bảy nguyên tắc của NIST là gì và đòi hỏi việc làm nào?

Bảy nguyên tắc dưới đây diễn giải mục 2.1 của NIST [1]. Việc làm và mức công sức (thấp, vừa, cao) do bài đề xuất, tham khảo NIST và hướng dẫn dành cho tổ chức nhỏ; đó không phải bảng chính thức [2].

• Nguyên tắc 1, mọi dữ liệu và dịch vụ là tài nguyên: lập danh mục ứng dụng, dữ liệu, tài khoản dịch vụ, thiết bị. Công sức thấp đến vừa.
• Nguyên tắc 2, giao tiếp được bảo vệ bất kể vị trí mạng: không tin mạng văn phòng mặc nhiên, mã hóa cả đường truyền nội bộ. Công sức vừa.
• Nguyên tắc 3, truy cập theo phiên với quyền tối thiểu: gỡ tài khoản quản trị dùng chung, gán quyền theo vai trò. Công sức vừa.
• Nguyên tắc 4, chính sách động: đặt điều kiện truy cập theo danh tính, thiết bị, giờ làm việc, mức rủi ro. Công sức vừa đến cao.
• Nguyên tắc 5, giám sát tư thế tài sản: quản lý thiết bị và bản vá, chặn thiết bị không đạt chuẩn khỏi dữ liệu nhạy cảm. Công sức vừa đến cao.
• Nguyên tắc 6, xác thực và cấp quyền động: xác thực đa yếu tố, xác thực lại khi làm việc nhạy cảm. Công sức thấp cho tài khoản quan trọng, cao khi phủ toàn bộ.
• Nguyên tắc 7, thu thập thông tin trạng thái: gom nhật ký, đặt cảnh báo, dùng dữ liệu chỉnh chính sách. Công sức vừa đến cao.

Thứ tự trên không phải thứ tự triển khai. Theo suy luận của bài, nguyên tắc 1, 3 và 6 cần ít công cụ mới nên thường đi trước; nguyên tắc 4, 5 và 7 cần dữ liệu về danh tính, thiết bị, nhật ký nên đến sau, khi NIST kỳ vọng đã có quản lý danh tính và tài sản [1].

Kiến trúc zero trust vận hành như thế nào?

NIST mô tả ba thành phần logic. Bộ máy chính sách (policy engine, PE) quyết định cuối cùng cho phép truy cập. Bộ quản trị chính sách (policy administrator, PA) lập hoặc cắt đường truyền giữa chủ thể và tài nguyên. Điểm thực thi chính sách (policy enforcement point, PEP) bật, giám sát và kết thúc kết nối [1].

Vùng tin cậy ngầm (implicit trust zone) là khu vực mà mọi thực thể được tin ít nhất bằng mức của cổng kiểm soát cuối cùng; NIST yêu cầu vùng này nhỏ nhất có thể để cổng kiểm soát cụ thể hơn. Quyết định cho phép hay từ chối dựa trên danh tính, thiết bị, hành vi và môi trường, không chỉ một mật khẩu. NIST còn mô tả ba cách tiếp cận kỹ thuật: quản trị định danh nâng cao, vi phân đoạn, và hạ tầng mạng cùng vành đai định nghĩa bằng phần mềm [1].

Zero trust không phải là gì? Những hiểu lầm phổ biến

Vì zero trust là khung nguyên tắc, người mua dễ nhầm nó với một công cụ. Bài này không đánh giá sản phẩm thương mại; các điểm sau chỉ dựa trên tài liệu NIST cùng một bài trên cổng thông tin cơ quan nhà nước Việt Nam.

• Không phải một sản phẩm: NIST mô tả zero trust là tập nguyên tắc, không phải một kiến trúc đơn lẻ [1]. Ấn phẩm SP 1800-35 của NIST có 19 bản triển khai mẫu, và nhà khoa học Alper Kerman nói mỗi mạng một khác nên mỗi kiến trúc là một bản dựng riêng [4].
• Không đồng nghĩa với VPN hay ZTNA: bài năm 2021 trên trang mst.gov.vn coi ZTNA là một phần của kiến trúc zero trust, xoay quanh quyền truy cập ứng dụng [5].
• Không chỉ là xác thực đa yếu tố: MFA thuộc nguyên tắc 6 và có thể giảm rủi ro khi tài khoản bị chiếm, nhưng còn cần quản lý thiết bị, chính sách và giám sát [1].
• Không loại bỏ rủi ro: NIST ghi nhận không doanh nghiệp nào xóa được rủi ro an ninh mạng; tài liệu nhắm tới giảm rủi ro và ngăn tài khoản bị chiếm di chuyển ngang trong mạng [1].
• Không phải dự án làm một lần rồi xong: NIST dự kiến phần lớn doanh nghiệp chạy chế độ hỗn hợp, vừa zero trust vừa vành đai, trong thời gian không xác định [1].

Khi nhà cung cấp gọi sản phẩm là giải pháp zero trust, người mua có thể hỏi nó đóng vai điểm thực thi hay bộ máy chính sách, và nhật ký có xuất được theo định dạng mở không; NIST có mục riêng về rủi ro phụ thuộc định dạng độc quyền [1].

Zero trust giới hạn ảnh hưởng của tài khoản bị chiếm ra sao?

Mục 5.3 của NIST phân biệt việc xác thực với quyền đã được cấp. Một người có thông tin xác thực hợp lệ hoặc người nội bộ có thể vẫn đọc được tài nguyên trong phạm vi quyền của tài khoản. Kiến trúc nhắm tới việc hạn chế đi sang tài nguyên khác và xem xét ngữ cảnh truy cập [1]. Đó là mục tiêu thiết kế; không phải bằng chứng một doanh nghiệp cụ thể đã chặn được mọi hành vi trái phép.

Xét tình huống giả định một tài khoản bán hàng chỉ cần đọc danh mục sản phẩm. Bài đề xuất kiểm xem tài khoản ấy có thực sự bị giới hạn ở tài nguyên đã duyệt không, với dữ liệu thử và phạm vi cho phép. Nếu tài khoản vẫn sửa được thông tin nhân sự, điều cần xử lý là quyền đang mở, không phải chỉ thay tên hệ thống thành zero trust.

FTC khuyến nghị doanh nghiệp cập nhật phần mềm và sao lưu dữ liệu thường xuyên [6]. Trong cách triển khai của bài, kiểm quyền không thay kiểm khả năng phục hồi. Cần giữ riêng bằng chứng ai được đọc, ai được sửa và làm sao tiếp tục công việc khi gián đoạn. Không tự làm phép thử có thể ảnh hưởng hệ thống đang hoạt động chỉ để chứng minh một nhãn kiến trúc.

Bản đồ ba bước: nên bắt đầu từ đâu?

Mục 7.3 của NIST SP 800-207 đề xuất trình tự cho tổ chức đang dùng kiến trúc vành đai: khảo sát tài sản, chủ thể, luồng dữ liệu; chọn quy trình then chốt; lập chính sách; thí điểm; triển khai ban đầu, có thể từng quy trình một [1]. Chủ thể gồm cả tài khoản dịch vụ; người dùng đặc quyền như quản trị viên cần soi kỹ hơn vì ở nhiều kiến trúc cũ họ có thể vào mọi tài nguyên [1]. Ba chặng sau là khung riêng của bài, không phải thang trưởng thành chính thức của NIST.

• Chặng một, nhìn thấy: kê ai và cái gì truy cập cái gì ở một quy trình thí điểm rủi ro thấp, gồm tài khoản dịch vụ, người dùng đặc quyền và thiết bị ngoài tầm quản lý. Đạt khi mọi mục có chủ sở hữu.
• Chặng hai, siết danh tính và quyền: MFA cho thư điện tử, VPN và quản trị; gỡ tài khoản dùng chung; rà quyền theo lịch đã thống nhất; bật nhật ký. Đạt khi không còn tài khoản quản trị chỉ dùng mật khẩu.
• Chặng ba, chia nhỏ và thực thi: đặt điểm thực thi trước tài nguyên thí điểm, chạy chính sách ở chế độ quan sát rồi mới chặn, sau đó nhân sang quy trình kế tiếp. Đạt khi chính sách chặn ổn định qua một chu kỳ rà nhật ký.

Thay vì tự gắn nhãn trưởng thành, mỗi chặng nên lưu một bằng chứng có người xác nhận. Chặng đầu giữ danh mục và quyền cần dùng; chặng tiếp ghi kết quả kiểm tài khoản cùng những ngoại lệ; chặng thực thi giữ các yêu cầu bị chặn nhầm và cách xử lý. Cách theo dõi này do người biên soạn gợi ý; chưa có nghiên cứu xác nhận rằng hoàn thành các ô sẽ làm mức rủi ro giảm theo một tỷ lệ cố định.

Áp dụng theo quy mô: hộ kinh doanh, doanh nghiệp nhỏ, vừa và lớn

Mức đầu tư hợp lý cho zero trust khác nhau theo quy mô. Bài không đặt ngưỡng nhân sự hay doanh thu chính thức; bốn nhóm dưới đây là cách chia gợi ý, kèm việc đầu tiên và bẫy riêng của từng nhóm.

• Hộ kinh doanh: chưa cần dự án zero trust. Hướng dẫn NIST cho doanh nghiệp nhỏ ưu tiên bật MFA trên mọi tài khoản hỗ trợ [2]; bài gợi ý bắt đầu từ thư điện tử, ngân hàng, sàn bán hàng. Bẫy: dùng chung một tài khoản cho cả cửa hàng.
• Doanh nghiệp nhỏ: bật MFA, đổi mật khẩu mặc định, chỉ cho nhân viên cần dùng vào thông tin nhạy cảm, như hướng dẫn NIST [2]; bài gợi ý khai thác trước tính năng sẵn có của dịch vụ đang dùng. Bẫy: mua gói bảo mật đắt khi danh mục tài khoản còn thiếu.
• Doanh nghiệp vừa: chọn một hoặc hai quy trình có nhà thầu hoặc quản trị từ xa, làm đủ ba chặng, giao một chủ sở hữu, thuê ngoài giám sát nếu thiếu người. Bài đề xuất ghi rõ phần quyền bên thứ ba thật sự cần, rồi xác minh trong phạm vi đã duyệt. Bẫy: bật chặn diện rộng khi chưa quan sát.
• Doanh nghiệp lớn: thiết kế theo từng quy trình, dùng danh mục chủ thể và tài sản làm nền, phù hợp cách chuyển đổi từng phần NIST mô tả [1]. Bẫy: coi đây là dự án công nghệ thay vì đổi cách ra quyết định truy cập.

Ngưỡng gợi ý của bài, là giả định chứ không phải chuẩn: nếu có ít nhất 2 hệ thống chứa dữ liệu nhạy cảm và người ngoài biên chế truy cập từ xa thường xuyên, nên làm chặng ba cho quy trình đó; chưa có danh mục tài khoản thì dừng ở chặng một. Quyết định về giám sát liên tục hoặc phân đoạn sâu cần dựa vào mức ảnh hưởng và năng lực vận hành, không chỉ số hệ thống.

Góc nhìn AI: tác tử AI là một danh tính mới trong zero trust

Nguyên tắc 4 của NIST nói danh tính của bên xin truy cập có thể là tài khoản người dùng hoặc danh tính dịch vụ, kèm thuộc tính của nó hoặc thành phần xác thực cho tác vụ tự động [1]. Tác tử AI, tức phần mềm dùng mô hình AI để tự chọn bước làm và gọi công cụ, theo bài là một chủ thể phi người mới: nó đọc dữ liệu, gọi giao diện lập trình ứng dụng (API) và có thể hành động thay người dùng.

Mục 5.7 của SP 800-207 (2020) bàn về AI và tác tử phần mềm được triển khai để quản lý an ninh. NIST gọi cách các thành phần này tự xác thực là vấn đề còn bỏ ngỏ, và lưu ý tác tử có thể chỉ cần ngưỡng xác thực thấp hơn người, ví dụ khóa API thay vì MFA; nếu kẻ xấu có được thông tin xác thực của tác tử, họ có thể mạo danh nó [1].

Năm 2026 có thêm các văn bản riêng. Bản dự thảo ý tưởng của NCCoE thuộc NIST, tháng 2/2026, nêu câu hỏi mở: lập quyền tối thiểu cho tác tử thế nào khi hành động chưa đoán trước hết, áp nguyên tắc zero trust vào cấp quyền ra sao, ghi nhật ký hành động thế nào để chống giả mạo [3].

Các câu hỏi đó giúp tách danh tính của tác tử khỏi phương tiện chứng minh quyền. Theo cách thực hành của bài, khóa API hoặc mã thông báo là thông tin xác thực hay ủy quyền được gắn với chủ thể, không phải bản thân danh tính. Người quản lý cần biết ai sở hữu chủ thể ấy, quyền nào đang cấp, lúc nào thu hồi và tra hành động ở đâu. Đổi khóa không tự giải quyết một phạm vi quyền đã mở quá rộng.

Giới hạn: bản ý tưởng NCCoE là dự thảo, các câu hỏi không chứng minh hiệu quả đã đo. Trang dự án được mở lại ngày 25/10/2026 còn ghi nhận góp ý và phát hành tài liệu theo nhịp liên tục [7]. Minh họa (giả định): tác tử đặt lịch họp cần quyền đọc lịch và tạo sự kiện, không cần quyền xóa thư.

Zero trust tại Việt Nam: số liệu và cách dùng thuật ngữ

Bài chưa mở được khảo sát nào đo trực tiếp mức áp dụng zero trust tại Việt Nam. Dữ liệu gần nhất về nền an ninh mạng là khảo sát tháng 12/2025 của NCA (Hiệp hội An ninh mạng quốc gia) với hơn 5.300 đơn vị, đọc qua bản đăng ngày 15/01/2026 trên congan.ninhbinh.gov.vn; nguồn không nêu cách chọn mẫu [8].

Theo khảo sát đó, 52,30% cơ quan, doanh nghiệp ghi nhận chịu tổn hại do tấn công mạng (năm 2024: 46,15%); 51,87% số đơn vị chưa có phần mềm phòng chống mã độc quản lý tập trung; 47,72% thiếu nhân sự an ninh mạng [8]. Nếu mẫu phản ánh đúng, nhiều đơn vị còn thiếu phần nền, nên hai chặng đầu của bản đồ cũng là vệ sinh an ninh cơ bản.

Ông Vũ Ngọc Sơn, Trưởng ban Công nghệ của NCA, nói tin tặc có xu hướng không vội mã hóa dữ liệu mà nằm vùng lâu dài, điều phù hợp với giả định nền của zero trust là mạng có thể đã bị xâm phạm [8]. Về thuật ngữ, bài ngày 01/12/2021 trên mst.gov.vn nhận định zero trust đang thành xu hướng tại Việt Nam, nhận định này không kèm nguồn hay số liệu [5].

Các bước 30-60-90 ngày cho một quy trình thí điểm

Kế hoạch dành cho doanh nghiệp vừa chọn một quy trình thí điểm rủi ro thấp, theo gợi ý của NIST [1]. Mốc ngày là giả định để lập kế hoạch, không phải thời hạn của nguồn nào; mỗi bước kèm tiêu chí xong việc và điều cần tránh.

• Bước 1, ngày 1 đến 30, kê danh mục: người dùng, tài khoản dịch vụ, thiết bị, luồng dữ liệu, mỗi mục một chủ sở hữu. Hoàn thành khi không còn gì vô chủ. Không mua sản phẩm trước khi có danh mục.
• Bước 2, ngày 31 đến 60, siết danh tính: MFA cho quản trị, thư điện tử, VPN; gỡ tài khoản dùng chung. Hoàn thành khi mọi tài khoản quản trị có MFA. Nếu hệ thống chưa hỗ trợ MFA, nhóm cần ghi ngoại lệ và xin người có thẩm quyền chọn biện pháp phù hợp.
• Bước 3, ngày 61 đến 90, chạy chế độ quan sát: ghi nhận các yêu cầu sẽ bị chặn nhưng chưa chặn, rà nhật ký hằng tuần. Hoàn thành khi chặn nhầm đã xử lý. Không bật chặn toàn bộ ngay.
• Bước 4, sau ngày 90: nếu chặn nhầm ít thì chuyển sang thực thi rồi chọn quy trình kế tiếp. Điều kiện dừng: danh mục còn thiếu hoặc không có người xử lý nhật ký thì chưa mở rộng.

Sai lầm cần tránh và giới hạn của bằng chứng

Bài nhận diện bốn sai lầm cần tránh, suy ra từ các nguồn trên chứ không từ khảo sát: mua công cụ trước khi có danh mục; xem MFA là đích đến; bật chặn ngay mà không quan sát; quên chủ thể phi người như tài khoản dịch vụ và tác tử.

Về bằng chứng, các nguồn đã mở còn khoảng trống: NIST ghi nhận không doanh nghiệp nào loại bỏ được rủi ro, việc mô tả kiến trúc không xác nhận hiệu quả tại mọi doanh nghiệp [1]. Bản thảo arXiv chưa bình duyệt, một tổng quan khác, ghi nhận tác giả của một khung được tổng hợp thừa nhận kết quả mô phỏng có thể khác khi triển khai thật [9]. Trong các nguồn đã đọc, bài chưa thấy nghiên cứu nào đo mức giảm sự cố khi áp dụng trọn vẹn zero trust.

Hỏi đáp về zero trust

Zero trust có phải là một sản phẩm để mua không? Không. NIST mô tả đây là tập nguyên tắc cho thiết kế quy trình và hệ thống. Sản phẩm chỉ đảm nhiệm một phần, chẳng hạn điểm thực thi hay quản lý định danh, và phải ghép với chính sách, quy trình, nhật ký của doanh nghiệp [1].

Zero trust khác VPN, tường lửa và ZTNA ở điểm nào? Mô hình vành đai coi thiết bị đã vào mạng nội bộ là đáng tin, còn zero trust xét từng yêu cầu tới từng tài nguyên bằng danh tính, thiết bị và ngữ cảnh [1]. ZTNA, theo bài năm 2021 trên mst.gov.vn, là một phần của zero trust và hay được bàn như phương án thay VPN. Khi vẫn sử dụng VPN, quyền tới từng ứng dụng phía sau còn phải được xem riêng [5][1].

Doanh nghiệp nhỏ có cần áp dụng zero trust không? Chưa cần một dự án mang tên đó. NIST có hướng dẫn riêng cho doanh nghiệp nhỏ, không nhắc zero trust, nhưng gọi MFA là một trong những cách nhanh và rẻ nhất để bảo vệ dữ liệu, kèm việc giới hạn truy cập thông tin nhạy cảm [2].

Triển khai zero trust mất bao lâu và tốn bao nhiêu? Không nguồn nào bài đã mở nêu thời gian hay chi phí chuẩn. NIST gọi đây là hành trình tăng dần, còn một nhà khoa học của NIST nhận xét mỗi hệ thống là một bản dựng riêng [1][4]. Hãy đo theo chặng, và coi mốc 30-60-90 ngày của bài là giả định.

Kết luận

Khi mạng nội bộ không còn đáng tin mặc nhiên, cần trả lời ai và cái gì được chạm vào tài nguyên nào, trong bao lâu, và ai nhìn thấy điều đó. Bước hợp lý tiếp theo là chọn một quy trình rủi ro thấp, kê danh mục, bật MFA cho tài khoản quản trị rồi chạy chính sách ở chế độ quan sát. Hãy đọc mục 7.3 của NIST SP 800-207 trước khi mua công cụ [1].

Nguồn và phương pháp

Bài do AI hỗ trợ tổng hợp và diễn giải riêng, không phải bản dịch. Nguồn gồm NIST, NCCoE, FTC, một bản thảo tổng quan và hai trang cơ quan Việt Nam. Đối chiếu ban đầu24/10/2026, rà phần sửa25/10/2026. Không dùng nguồn thương mại. Chưa kiểm chứng báo cáo NCA gốc, hiệu quả giảm sự cố toàn diện hoặc tính hiệu quả của các chặng đề xuất. Nguồn bị chặn được loại khỏi các nhận định cụ thể. Nội dung chỉ phòng thủ, không phải tư vấn pháp lý, thuế hay tài chính; cần đọc bản gốc trước quyết định.