Zero trust cho doanh nghiệp nhỏ không cần bắt đầu bằng việc thiết kế lại toàn bộ mạng. Nguyên tắc chỉ là không tin mặc định bất kỳ ai hay thiết bị nào, kể cả khi đang ở trong mạng công ty, và xác thực lại mỗi lần truy cập tài nguyên. Doanh nghiệp 30 đến 100 người làm được ngay ở hai điểm hay bị tấn công nhất: email và VPN.
Zero trust thực chất là gì?
Tài liệu NIST SP 800-207 của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ, phát hành tháng 8/2020, mô tả zero trust là cách chuyển việc bảo vệ từ vành đai mạng sang từng người dùng, thiết bị và tài nguyên. Một tài khoản không được tin chỉ vì nó đang ở trong mạng LAN hay vì thiết bị thuộc công ty (NIST SP 800-207).
Với doanh nghiệp nhỏ, cách hiểu thực tế là: mỗi lần ai đó mở email, vào phần mềm kế toán hay thư mục chia sẻ, hệ thống cần biết đó là ai, đang dùng thiết bị nào, và người đó có cần quyền này không.
Vì sao nên bắt đầu từ email?
Kẻ tấn công thường không phá server. Chúng lừa lấy mật khẩu email. Báo cáo DBIR 2025 của Verizon ghi nhận thông tin đăng nhập bị đánh cắp được dùng trong gần một phần ba số vụ rò rỉ dữ liệu (Verizon DBIR 2025).
Google Workspace và Microsoft 365 đều có sẵn các thiết lập cần thiết:
- Bắt buộc xác thực hai lớp cho toàn bộ nhân sự, không để tùy chọn.
- Chặn IMAP và POP3, các giao thức cũ không đi qua bước xác thực hai lớp.
- Giới hạn đăng nhập từ nước ngoài, trừ người cần đi công tác.
- Yêu cầu đăng nhập lại sau một khoảng thời gian không hoạt động.
Bắt buộc xác thực hai lớp và chặn giao thức cũ có sẵn ở các gói phổ biến. Giới hạn đăng nhập theo quốc gia thì cần tính năng cao hơn: Conditional Access của Microsoft Entra ID P1 (có trong Microsoft 365 Business Premium) hoặc Context-Aware Access của Google Workspace bản Enterprise. Một quản trị viên quen hệ thống làm xong các thiết lập này trong vài giờ. Microsoft công bố tài khoản dùng xác thực đa yếu tố ít bị chiếm đoạt hơn 99,9% (Microsoft Security Blog).
VPN truyền thống có vấn đề gì?
Với VPN kiểu cũ, đăng nhập một lần là thấy cả mạng nội bộ: server kế toán, máy in, camera, thư mục chia sẻ. Nếu tài khoản VPN của một người bị lộ, kẻ tấn công cũng thấy tất cả những thứ đó.
Cách làm theo zero trust là cấp quyền theo từng ứng dụng. Người dùng đăng nhập bằng tài khoản Google hoặc Microsoft có xác thực hai lớp, rồi chỉ vào được những ứng dụng được cấp cho nhóm của họ. Mọi lượt truy cập đều được ghi nhật ký.
Hai công cụ phổ biến cho doanh nghiệp nhỏ là Cloudflare Access và Tailscale. Cloudflare cho dùng Zero Trust miễn phí đến 50 người dùng (Cloudflare). Tailscale cũng có gói miễn phí cho nhóm nhỏ; hãy xem giới hạn hiện hành trên trang giá của họ trước khi chọn.
Sau email và VPN thì làm gì tiếp?
Khi hai điểm này đã ổn định, doanh nghiệp mới cân nhắc các bước tiếp theo: xác thực riêng cho từng ứng dụng nội bộ, chia mạng thành các vùng (văn phòng, camera, khách), và giám sát thiết bị đầu cuối. Không cần làm hết trong một năm. Mỗi bước nên chạy ổn định vài tháng rồi mới làm bước sau.
Doanh nghiệp có tự làm được không?
Phần email: tự làm được nếu có người quen trang quản trị Google Workspace hoặc Microsoft 365. Phần chuyển VPN sang truy cập theo ứng dụng: cần một đến hai ngày cấu hình và thử nghiệm, có thể tự làm theo tài liệu hoặc thuê tư vấn vài buổi.
Làm sao để nhân viên chấp nhận xác thực hai lớp?
Thông báo trước một tuần và giải thích bằng một ví dụ thật, như một email lừa đảo công ty vừa nhận. Bật cho cấp quản lý trước để họ hướng dẫn lại nhóm mình. Chuẩn bị một trang hướng dẫn có ảnh chụp màn hình ứng dụng xác thực, và bố trí người hỗ trợ ngay buổi sáng đầu tiên cho ai đổi điện thoại hay bị khóa. Khi thấy mỗi ngày chỉ mất vài giây, đa số nhân viên không còn phản đối.
Câu hỏi thường gặp
Chặn IMAP có làm hỏng email trên điện thoại không?
Ứng dụng Gmail, Outlook và ứng dụng Mail mới trên iPhone đều dùng giao thức hiện đại nên vẫn chạy. Chỉ ứng dụng email rất cũ mới bị ảnh hưởng.
Văn phòng 15 người có cần zero trust không?
Phần email thì có, vì chi phí gần như bằng 0. Phần VPN chỉ cần nếu có người làm việc từ xa vào hệ thống nội bộ.
Zero trust có thay được tường lửa không?
Không. Tường lửa vẫn cần ở biên mạng. Zero trust thêm lớp kiểm tra ở từng lần truy cập.
GPIT tư vấn lộ trình zero trust cho doanh nghiệp vừa và nhỏ, xem tại gpit.vn.
GPIT, Công ty TNHH Đầu tư Giải pháp IT, 32 Trương Phước Phan, P. Bình Trị Đông, TP.HCM. Hotline 0945 886 818. Email info@gpit.vn. Website https://gpit.vn.
