01. Vì sao đây là bài toán ưu tiên của hội đồng quản trị

Phần lớn hạ tầng doanh nghiệp hiện nay được thiết kế theo một giả định đã hình thành từ thời hệ thống còn nằm gọn trong một trung tâm dữ liệu: mối đe dọa đến từ bên ngoài, còn bên trong mạng là không gian đáng tin cậy. Giả định đó là nền tảng của kiến trúc mạng tập trung — mô hình mà giới bảo mật gọi là castle-and-moat (lâu đài và hào nước). Nhưng dữ liệu, ứng dụng và người dùng của một tổ chức hiện đại gần như chưa bao giờ nằm trọn trong một "lâu đài" nào cả: chúng trải trên nhiều nhà cung cấp đám mây, hàng trăm ứng dụng SaaS, đội ngũ làm việc từ xa và một chuỗi đối tác, nhà thầu truy cập vào hệ thống mỗi ngày.

Đây không còn là vấn đề kỹ thuật thuần túy của bộ phận hạ tầng. Với CISO, đó là câu hỏi về mức độ rủi ro còn lại (residual risk) sau khi đã đầu tư vào tường lửa, IDS/IPS và VPN. Với CTO, đó là câu hỏi về việc kiến trúc hiện tại có đang âm thầm giới hạn tốc độ chuyển đổi số, mở rộng đám mây và mô hình làm việc linh hoạt hay không. Bài viết này so sánh trực diện hai mô hình — kiến trúc mạng tập trung và Zero Trust — trên cùng một thước đo: mức độ rủi ro bảo mật thực tế mà mỗi mô hình để lại.

02. Kiến trúc mạng tập trung (Castle-and-Moat) là gì

Theo cách mô tả của Cloudflare, castle-and-moat là mô hình bảo mật mạng trong đó "mọi thứ bên trong mạng được mặc định tin tưởng." Tổ chức dồn phần lớn nguồn lực bảo mật để bảo vệ chu vi mạng — bằng tường lửa, hệ thống phát hiện xâm nhập (IDS) và hệ thống ngăn chặn xâm nhập (IPS) — với giả định mối đe dọa chính đến từ bên ngoài. Một khi người dùng hoặc thiết bị đã "vượt qua hào nước" để vào bên trong, dù thông qua đăng nhập VPN, kết nối văn phòng hay mạng nội bộ, họ gần như mặc nhiên được cấp quyền truy cập rộng vào ứng dụng và dữ liệu nội bộ.

Đây là mô hình hợp lý ở thời điểm phần lớn ứng dụng và dữ liệu nằm on-premise, nhân sự làm việc tại văn phòng và số lượng điểm truy cập bên ngoài còn hạn chế. Nhưng chính giả định nền tảng đó — vị trí mạng quyết định mức độ tin cậy — lại là điểm yếu cấu trúc khi bối cảnh vận hành đã thay đổi.

03. Rủi ro bảo mật cố hữu của mô hình tập trung

3.1. Một khi chu vi bị xuyên thủng, toàn bộ mạng nằm trong tầm với

Theo IBM Cost of a Data Breach Report 2025, các vụ xâm nhập bắt đầu từ thông tin đăng nhập bị đánh cắp mất trung bình 246 ngày mới được phát hiện và ngăn chặn — gần 8 tháng kẻ tấn công có thể di chuyển tự do trong hệ thống mà không bị phát hiện.

Điểm yếu lớn nhất của castle-and-moat được Cloudflare mô tả rất trực diện: "Nếu kẻ tấn công có được quyền truy cập vào mạng — nếu chúng vượt qua 'hào nước' — chúng cũng có thể truy cập vào bất kỳ dữ liệu và hệ thống nào bên trong." Vì mô hình không phân vùng truy cập nội bộ theo mức độ rủi ro, một điểm xâm nhập duy nhất — qua đánh cắp thông tin đăng nhập, lỗ hổng phần mềm, mã độc hay tấn công phi kỹ thuật (social engineering) — có thể mở đường cho kẻ tấn công di chuyển ngang (lateral movement) tự do trong toàn bộ hạ tầng. Cái giá phải trả sau xâm nhập, vì vậy, cao hơn nhiều so với mức độ nghiêm trọng của điểm xâm nhập ban đầu.

3.2. VPN — điểm tập trung rủi ro, không phải điểm kiểm soát rủi ro

Theo Verizon 2025 Data Breach Investigations Report (phân tích hơn 20.000 sự cố bảo mật), số lượng khai thác nhắm vào VPN đã tăng gần gấp 8 lần so với năm trước — cho thấy VPN đang trở thành mục tiêu ưu tiên của kẻ tấn công, đúng như tên gọi "điểm tập trung rủi ro"

Để quản lý truy cập từ xa trong mô hình tập trung, tổ chức thường dựa vào VPN. Nhưng VPN mang theo chính những đặc điểm khiến nó trở thành một rủi ro kiến trúc:

Quan trọng hơn cả các nhược điểm vận hành: một khi đã xác thực qua VPN, người dùng thường nhận được quyền truy cập ở cấp mạng chứ không phải cấp ứng dụng — nghĩa là quay lại đúng vấn đề nền tảng của castle-and-moat, chỉ là được mở rộng ra ngoài văn phòng vật lý.

3.3. Giả định "chu vi mạng" không còn khớp với thực tế dữ liệu phân tán

Cloudflare chỉ ra một thực tế đơn giản nhưng mang tính quyết định: các tổ chức hiện đại lưu trữ dữ liệu trên nhiều nhà cung cấp đám mây khác nhau thay vì gói gọn trong một mạng nội bộ. Khi dữ liệu và khối lượng công việc đã phân tán về mặt địa lý và hạ tầng, việc phòng thủ tập trung vào một "chu vi" duy nhất — vốn không còn tồn tại theo đúng nghĩa vật lý — không còn phù hợp. Bề mặt tấn công thực tế đã vượt xa những gì một tường lửa biên có thể quan sát và kiểm soát.

Tóm lại: rủi ro của kiến trúc tập trung không nằm ở việc thiếu công cụ phòng thủ, mà nằm ở chính giả định kiến trúc — "đã vào trong là được tin tưởng". Khi tổ chức càng mở rộng ra đám mây, làm việc từ xa và hệ sinh thái đối tác, giả định này càng khuếch đại thiệt hại tiềm tàng của mỗi sự cố.

04. Zero Trust là gì

Zero Trust là mô hình bảo mật đảo ngược hoàn toàn giả định trên. Theo định nghĩa của Cloudflare: "Zero Trust là mô hình bảo mật dựa trên việc duy trì kiểm soát truy cập nghiêm ngặt và không mặc định tin tưởng bất kỳ ai." Khác với castle-and-moat, Zero Trust "giả định rằng rủi ro bảo mật hiện diện ở cả bên trong lẫn bên ngoài mạng" — nói cách khác, mô hình này vận hành theo nguyên tắc "giả định đã bị xâm nhập" (assume breach) thay vì "tin tưởng cho đến khi có bằng chứng ngược lại".

Khuôn khổ Zero Trust Architecture của NIST (SP 800-207) — nền tảng tham chiếu mà các sản phẩm Zero Trust hiện nay, bao gồm cả nền tảng của Cloudflare, đều dựa vào — cụ thể hóa mô hình này thành một tập nguyên tắc vận hành:

Cloudflare tóm gọn khác biệt cốt lõi này bằng một câu: "Bảo mật mạng truyền thống tin tưởng bất kỳ ai và bất kỳ điều gì bên trong mạng. Kiến trúc Zero Trust không tin tưởng bất kỳ ai và bất kỳ điều gì." Công nghệ hiện thực hóa nguyên tắc này là Zero Trust Network Access (ZTNA) — thay vì cấp quyền truy cập mạng, ZTNA "ẩn phần lớn hạ tầng và dịch vụ, thiết lập các kết nối mã hóa một-một" giữa từng thiết bị và đúng ứng dụng được phép, không hơn không kém.

05. So sánh mức độ rủi ro theo từng khía cạnh

Đặt cạnh nhau, hai kiến trúc không chỉ khác nhau về công nghệ triển khai mà khác nhau về bản chất rủi ro còn lại sau khi sự cố xảy ra — đây là điều CISO cần trình bày rõ với hội đồng quản trị, vì nó ảnh hưởng trực tiếp đến chi phí xử lý sự cố, phạm vi tuân thủ và bảo hiểm an ninh mạng.

6. Cách Cloudflare hiện thực hóa Zero Trust ở quy mô doanh nghiệp

Chuyển từ nguyên tắc sang triển khai là nơi nhiều tổ chức lúng túng. Cách tiếp cận của Cloudflare — nền tảng Cloudflare One, theo mô hình SASE (Secure Access Service Edge) — minh họa rõ việc thay thế hạ tầng tập trung truyền thống bằng lớp thực thi chính sách phân tán trên mạng toàn cầu:

Điểm đáng chú ý về mặt kiến trúc: Cloudflare định nghĩa lại khái niệm "chu vi" — không còn là ranh giới vật lý của mạng, mà là "định nghĩa về một điểm cuối (endpoint) an toàn trở thành chu vi doanh nghiệp mới." Việc xác định một kết nối có đáng tin hay không dựa trên tình trạng thiết bị, mức độ mã hóa và kết quả kiểm tra tại cổng bảo mật — chứ không còn dựa vào việc gói tin đó mang địa chỉ IP nội bộ hay không.

Cách tiếp cận này cũng chỉ rõ ba nhóm rủi ro mà mô hình tập trung thường bỏ sót và Zero Trust chủ động xử lý: rò rỉ dữ liệu do thiếu kiểm tra tình trạng thiết bị (tạo ra "điểm mù" về khả năng giám sát và truy vết); rủi ro từ bên thứ ba khi nhà thầu, đối tác cần truy cập có phạm vi giới hạn thay vì quyền truy cập mạng rộng; và Shadow IT — các ứng dụng SaaS không được phê duyệt âm thầm trở thành nơi dữ liệu nhạy cảm rời khỏi tầm kiểm soát của tổ chức.

7. Ưu tiên đầu tư và lộ trình chuyển đổi

Một sai lầm phổ biến khi tiếp cận Zero Trust là xem đây là một "dự án di trú" có điểm bắt đầu và điểm kết thúc. Cách tiếp cận đúng đắn hơn — và phù hợp với thực tế ngân sách, nhân sự của phần lớn tổ chức — là xây dựng theo từng lớp, ưu tiên theo mức độ rủi ro cao nhất trước:

Về mặt tổ chức, đây cũng là dịp để CISO và CTO thống nhất một điểm quan trọng: Zero Trust không làm tăng ma sát cho người dùng nếu được thiết kế đúng — ngược lại, việc loại bỏ độ trễ của VPN và đơn giản hóa trải nghiệm đăng nhập (single sign-on kết hợp kiểm tra thiết bị nền) thường cải thiện trải nghiệm nhân sự trong khi giảm rủi ro. Đây là luận điểm hữu ích khi trình bày ngân sách chuyển đổi trước hội đồng quản trị: Zero Trust không phải là "thêm một lớp kiểm soát gây phiền", mà là tái cấu trúc lại nơi rủi ro tập trung.

8. Kết luận

Khác biệt căn bản giữa hai kiến trúc không nằm ở số lượng công cụ bảo mật được triển khai, mà nằm ở giả định về niềm tin làm nền cho toàn bộ hệ thống. Kiến trúc mạng tập trung đặt cược vào việc chu vi không bao giờ bị xuyên thủng — một giả định ngày càng khó đứng vững khi dữ liệu, ứng dụng và con người đã phân tán ra khỏi mọi ranh giới vật lý. Zero Trust không cố gắng dựng một bức tường vững chắc hơn; nó loại bỏ hoàn toàn tiền đề rằng có một "bên trong" đáng tin cậy.

Với CISO, điều này đồng nghĩa với việc phạm vi ảnh hưởng của một sự cố bảo mật (blast radius) trở thành biến số có thể thiết kế và kiểm soát được, thay vì phụ thuộc vào việc kẻ tấn công có vượt qua được lớp phòng thủ đầu tiên hay không. Với CTO, đó là nền tảng kiến trúc cho phép tổ chức mở rộng lên đa đám mây, làm việc từ xa và hệ sinh thái đối tác mà không phải đánh đổi bằng rủi ro tăng theo cấp số nhân. Câu hỏi thực sự dành cho ban lãnh đạo công nghệ hiện nay không còn là "có nên chuyển sang Zero Trust hay không", mà là "phần rủi ro cao nhất nào trong kiến trúc hiện tại cần được xử lý trước".

Nguồn tham khảo