Zero trust network là gì? Đó là mô hình bảo mật mạng theo nguyên tắc “không tin mặc định, luôn kiểm tra”: mọi người dùng và thiết bị, kể cả đang ở trong văn phòng, đều phải được xác minh danh tính, kiểm tra thiết bị và chỉ được mở đúng ứng dụng cần dùng. Với doanh nghiệp làm việc từ xa, zero trust thay cho cách cũ là cho nhân viên đăng nhập VPN rồi thấy toàn bộ mạng nội bộ.
Bài viết giải thích zero trust, ZTNA, khác biệt với VPN, các thành phần và cách triển khai cho doanh nghiệp vừa và nhỏ. Wunlock không tự dùng thử sản phẩm; nội dung tổng hợp từ NIST, CISA, báo cáo ngành và trang chính thức của nhà cung cấp. Thông tin cập nhật tháng 11/2026.
Zero trust là gì?
Zero trust (không tin cậy mặc định) là một cách tiếp cận bảo mật, không phải một phần mềm cụ thể. Viện Tiêu chuẩn và Công nghệ Mỹ (NIST) mô tả zero trust là tập hợp các mô hình bảo mật chuyển trọng tâm phòng thủ từ chu vi mạng rộng sang từng tài nguyên hoặc nhóm tài nguyên nhỏ, trong tài liệu NIST SP 800-207 công bố ngày 11/8/2020. Đây là tài liệu tham chiếu được dùng rộng rãi nhất khi nói về kiến trúc zero trust.
Mô hình cũ giống “lâu đài và hào nước”: ai đã vào được mạng văn phòng thì được tin. Khi nhân viên làm việc ở nhà, dùng laptop cá nhân và dữ liệu nằm trên Google Workspace, Microsoft 365, phần mềm kế toán đám mây, thì không còn “bên trong” rõ ràng để bảo vệ.
Zero trust giải quyết bằng ba ý chính:
- Luôn xác minh: mỗi lần truy cập đều kiểm tra người dùng là ai, thiết bị có an toàn không, truy cập từ đâu, vào lúc nào.
- Quyền tối thiểu: mỗi người chỉ được mở đúng ứng dụng, dữ liệu cần cho công việc, không hơn.
- Giả định đã bị xâm nhập: thiết kế hệ thống sao cho nếu một tài khoản bị lộ, kẻ tấn công không đi ngang được sang hệ thống khác.
Zero trust network là gì trong thực tế?
Zero trust network là áp dụng các nguyên tắc trên vào cách nhân viên kết nối tới ứng dụng của công ty. Thay vì “vào mạng rồi muốn đi đâu thì đi”, mỗi kết nối được cấp riêng cho từng ứng dụng, sau khi đã kiểm tra.
Một luồng truy cập điển hình gồm các bước:
- Nhân viên mở CRM, đăng nhập bằng tài khoản công ty có xác thực đa yếu tố (MFA).
- Hệ thống kiểm tra thiết bị: hệ điều hành đã cập nhật chưa, có phần mềm chống mã độc không, ổ đĩa có mã hoá không.
- Nếu đạt chính sách, chỉ CRM được mở. Máy chủ kế toán, máy chủ file vẫn bị ẩn với người này.
- Thiết bị đổi trạng thái hoặc có dấu hiệu bất thường thì quyền có thể bị thu hồi.
Theo Mô hình trưởng thành Zero Trust phiên bản 2 của CISA, một chương trình zero trust bao phủ năm trụ cột: danh tính, thiết bị, mạng, ứng dụng và khối lượng công việc, dữ liệu, với bốn mức trưởng thành: Truyền thống, Ban đầu, Nâng cao và Tối ưu.
ZTNA là gì?
ZTNA (Zero Trust Network Access) là nhóm giải pháp hiện thực hoá zero trust cho việc truy cập từ xa. ZTNA đứng giữa người dùng và ứng dụng nội bộ, kiểm tra danh tính và thiết bị trước mỗi kết nối, rồi chỉ mở một “đường hầm” tới đúng ứng dụng được phép.
Nhiều VPN doanh nghiệp đã thêm ZTNA, ví dụ:
- NordLayer gộp VPN truy cập từ xa, kết nối giữa các văn phòng, kiểm soát truy cập zero trust và kiểm tra thiết bị trong một bảng điều khiển (NordLayer).
- Perimeter 81 đã được Check Point mua lại năm 2023 với giá khoảng 490 triệu USD (Check Point, hồ sơ gửi SEC); sản phẩm từng mang tên Harmony SASE, nay được niêm yết là Check Point SASE, có gói Private Access cho ZTNA (AWS Marketplace).
Khác biệt giữa VPN truyền thống và ZTNA
| Tiêu chí | VPN truyền thống | ZTNA (zero trust) |
|---|---|---|
| Mô hình tin cậy | Đăng nhập xong là được tin | Kiểm tra lại ở mỗi lần truy cập |
| Phạm vi truy cập | Thường thấy cả mạng nội bộ | Chỉ thấy ứng dụng được cấp quyền |
| Kiểm tra thiết bị | Thường không có | Kiểm tra cập nhật, mã hoá, chống mã độc |
| Mức lộ diện | Cổng VPN mở ra Internet, dễ bị quét | Ứng dụng ẩn sau dịch vụ trung gian |
| Khi một tài khoản bị lộ | Kẻ tấn công có thể đi ngang sang hệ thống khác | Thiệt hại khoanh vùng trong ứng dụng được cấp |
| Thu hồi quyền | Thủ công, dễ sót | Tập trung qua đăng nhập một lần (SSO) |
| Hợp với | Cần IP tĩnh, truy cập toàn mạng văn phòng | Đội làm việc từ xa, nhiều ứng dụng đám mây |
ZTNA không bắt buộc phải bỏ hẳn VPN. Nhiều doanh nghiệp vẫn giữ VPN có IP tĩnh để truy cập phần mềm kế toán hoặc ngân hàng chỉ cho phép một số IP, đồng thời dùng ZTNA cho các ứng dụng còn lại. Danh sách sản phẩm cụ thể có trong bài VPN doanh nghiệp tốt nhất Việt Nam.
Vì sao bảo mật làm việc từ xa cần zero trust?
- Báo cáo Verizon DBIR 2026, phân tích hơn 22.000 vụ rò rỉ dữ liệu đã xác nhận tại 145 quốc gia, ghi nhận khai thác lỗ hổng đã vượt đánh cắp thông tin đăng nhập để trở thành cách xâm nhập ban đầu phổ biến nhất, chiếm 31% số vụ. Mã độc tống tiền có mặt trong 48% số vụ, tăng từ 44% năm trước, và chỉ 26% lỗ hổng nghiêm trọng trong danh mục KEV của CISA được vá hoàn toàn (Help Net Security).
- Khảo sát ThreatLabz 2025 của Zscaler với 632 chuyên gia IT cho thấy 81% đang hoặc sẽ áp dụng zero trust trong vòng một năm, và 65% có kế hoạch thay VPN (Zscaler). Lưu ý Zscaler là nhà cung cấp ZTNA.
- Tại Việt Nam, khảo sát hơn 5.300 tổ chức của Hiệp hội An ninh mạng Quốc gia cho thấy 52,30% cơ quan, doanh nghiệp chịu thiệt hại do tấn công mạng năm 2025, và 47,72% thiếu nhân sự an ninh mạng (VnEconomy).
Về pháp lý, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 có hiệu lực từ 1/1/2026. Kiểm soát ai được xem dữ liệu khách hàng, từ thiết bị nào và ghi nhật ký truy cập là việc zero trust làm tốt hơn VPN mở toàn mạng.
Các thành phần của mô hình zero trust
Mô hình zero trust cho doanh nghiệp vừa và nhỏ thường gồm sáu thành phần:
| Thành phần | Vai trò | Công cụ thường dùng |
|---|---|---|
| Quản lý danh tính và SSO | Một tài khoản công ty cho mọi ứng dụng, thu hồi một lần | Google Workspace, Microsoft Entra ID, Okta |
| Xác thực đa yếu tố (MFA) | Mật khẩu bị lộ vẫn chưa đăng nhập được | Ứng dụng xác thực, khoá bảo mật vật lý |
| Kiểm tra thiết bị | Chỉ thiết bị đạt chuẩn mới được vào | Tính năng device posture của ZTNA, phần mềm quản lý thiết bị |
| ZTNA | Kết nối riêng tới từng ứng dụng nội bộ | NordLayer, Check Point SASE, Cloudflare, Twingate |
| Phân quyền tối thiểu | Mỗi nhóm chỉ thấy ứng dụng của nhóm | Nhóm người dùng trong SSO và ZTNA |
| Giám sát và nhật ký | Phát hiện bất thường, phục vụ điều tra | Nhật ký của SSO, ZTNA, ứng dụng đám mây |
SSO và MFA là nền móng: không có danh tính tập trung thì không thể kiểm tra mỗi lần truy cập.
Lợi ích và hạn chế của zero trust
Lợi ích
- Giảm thiệt hại khi lộ tài khoản: kẻ tấn công chỉ chạm tới ứng dụng của tài khoản đó, không thấy cả mạng.
- Thu hồi quyền nhanh: khoá tài khoản SSO là mất quyền ở mọi ứng dụng, hữu ích khi nhân viên nghỉ việc.
- Ẩn hệ thống nội bộ: không phải mở cổng RDP, SSH hay cổng VPN ra Internet.
Hạn chế
- Tốn công cấu hình ban đầu: phải liệt kê ứng dụng, nhóm người dùng và chính sách cho từng nhóm.
- Phụ thuộc nhà cung cấp: dịch vụ ZTNA gặp sự cố thì nhân viên không vào được ứng dụng.
- Độ trễ: NordLayer và Check Point SASE đều chưa có máy chủ đặt tại Việt Nam, gần nhất là Singapore và Jakarta (Check Point Docs, NordLayer Help Center), nên cần đo tốc độ thực tế.
Chi phí áp dụng zero trust cho doanh nghiệp nhỏ
Nếu công ty đã dùng Google Workspace hoặc Microsoft 365, SSO và MFA thường có sẵn; khoản chi thêm chủ yếu là dịch vụ ZTNA. Tính đến tháng 11/2026:
- NordLayer: gói Lite 8 USD, Core 11 USD, Premium 14 USD mỗi người mỗi tháng khi trả năm, tối thiểu 5 người. Core và Premium cần máy chủ IP riêng thêm 40 USD/tháng nếu muốn IP tĩnh; có hoàn tiền trong 14 ngày (NordLayer Pricing). Bạn có thể xem gói hiện hành qua trang NordLayer.
- Check Point SASE (Perimeter 81): không niêm yết giá theo người dùng trên trang giá, chỉ có công cụ ước tính và đặt demo. Giá tham khảo trên AWS Marketplace là 11.160 USD/tháng cho gói Private Access Premium 100 người, 1 gateway, hợp đồng một tháng (AWS Marketplace).
- Cloudflare Zero Trust: miễn phí cho tối đa 50 người dùng (Cloudflare), nhưng cần người hiểu kỹ thuật để cấu hình.
Ví dụ tính nhanh từ giá niêm yết: đội 10 người dùng NordLayer Core kèm một máy chủ IP riêng tốn 10 x 11 + 40 = 150 USD mỗi tháng khi trả năm. Phân tích chi tiết từng sản phẩm có trong bài đánh giá NordLayer và đánh giá Perimeter 81.
Các bước triển khai zero trust cho doanh nghiệp
Thứ tự dưới đây đi từ việc rẻ, tác động lớn tới việc tốn công hơn:
- Kiểm kê tài sản: liệt kê ứng dụng, dữ liệu quan trọng (CRM, kế toán, máy chủ file, tài khoản ngân hàng điện tử) và ai đang có quyền vào.
- Tập trung danh tính: đưa mọi ứng dụng về đăng nhập bằng tài khoản Google Workspace hoặc Microsoft Entra ID, tắt tài khoản dùng chung.
- Bật MFA cho tất cả: ưu tiên tài khoản quản trị, email, ngân hàng điện tử, rồi tới toàn bộ nhân viên.
- Đặt chuẩn thiết bị: yêu cầu cập nhật hệ điều hành, phần mềm chống mã độc, mã hoá ổ đĩa, khoá màn hình cho mọi máy dùng để làm việc.
- Triển khai ZTNA theo nhóm: chạy thử với 3 đến 5 người, cấp quyền theo phòng ban, rồi mở rộng. Đóng các cổng RDP, SSH đang mở ra Internet.
- Giám sát và rà soát định kỳ: xem nhật ký truy cập, rà soát quyền mỗi quý, thu hồi ngay khi nhân viên nghỉ việc.
Công ty có người phụ trách IT có thể đặt demo Check Point SASE (Perimeter 81) và yêu cầu báo giá theo đúng số người dùng.
Checklist áp dụng zero trust
Tổng quan các biện pháp bảo mật khác có trong bài an ninh mạng cho doanh nghiệp vừa và nhỏ.
Sai lầm thường gặp khi áp dụng zero trust
- Nghĩ mua một sản phẩm là xong: ZTNA chỉ là một thành phần; thiếu SSO, MFA và chuẩn thiết bị thì vẫn hở.
- Bỏ qua MFA: zero trust dựa trên danh tính, mà mật khẩu đơn lẻ là danh tính dễ giả mạo nhất.
- Cấp quyền rộng cho nhanh: cho cả công ty thấy mọi ứng dụng là quay lại mô hình VPN cũ.
- Không có kế hoạch dự phòng: khi dịch vụ ZTNA gặp sự cố, cần một đường truy cập khẩn cấp có kiểm soát cho quản trị viên.
FAQ: Câu hỏi thường gặp về zero trust network
Zero trust là gì nói đơn giản?
Zero trust là cách bảo mật không tin ai mặc định, kể cả người đang ở trong văn phòng. Mỗi lần truy cập, hệ thống kiểm tra người dùng, thiết bị và bối cảnh, rồi chỉ mở đúng ứng dụng được phép.
ZTNA là gì và khác VPN thế nào?
ZTNA (Zero Trust Network Access) là giải pháp truy cập từ xa theo mô hình zero trust. VPN truyền thống thường cho người đã đăng nhập thấy cả mạng nội bộ; ZTNA chỉ mở kết nối tới từng ứng dụng sau khi kiểm tra danh tính và thiết bị, nên khi một tài khoản bị lộ thì thiệt hại được khoanh vùng.
Doanh nghiệp nhỏ có cần zero trust không?
Có, ở mức phù hợp. Doanh nghiệp nhỏ có nhân viên làm việc từ xa và dữ liệu trên đám mây nên áp dụng ít nhất các phần nền tảng: tài khoản công ty riêng, SSO, MFA, chuẩn thiết bị và phân quyền theo phòng ban.
Zero trust có thay thế hoàn toàn VPN không?
Không nhất thiết. Nhiều doanh nghiệp vẫn cần VPN có IP tĩnh cho phần mềm kế toán, ngân hàng hoặc đối tác chỉ cho phép một số IP. Cách phổ biến là dùng ZTNA cho phần lớn ứng dụng và giữ VPN cho các hệ thống bắt buộc IP tĩnh.
Bảo mật làm việc từ xa nên bắt đầu từ đâu?
Bắt đầu với MFA cho email và tài khoản quản trị, rồi tập trung đăng nhập qua một tài khoản công ty, đặt chuẩn cập nhật cho thiết bị, và đóng các cổng RDP, SSH mở ra Internet. Sau đó mới triển khai ZTNA hoặc VPN doanh nghiệp.
Kết luận
Tóm lại: zero trust network là mô hình bảo mật “không tin mặc định, luôn kiểm tra”, hợp với doanh nghiệp làm việc từ xa và dùng nhiều ứng dụng đám mây hơn VPN truyền thống mở toàn mạng.
- Nền móng: tài khoản công ty riêng, SSO và MFA cho mọi người.
- Thiết bị: chỉ cho phép máy đã cập nhật, có chống mã độc, mã hoá ổ đĩa.
- Truy cập: dùng ZTNA để mở đúng ứng dụng cần dùng; giữ VPN có IP tĩnh cho hệ thống bắt buộc.
- Lựa chọn: NordLayer cho đội nhỏ cần giá rõ ràng, Check Point SASE (Perimeter 81) cho công ty có IT cần nền tảng đầy đủ, Cloudflare cho đội kỹ thuật muốn chi phí thấp.
Minh bạch: Wunlock có thể nhận hoa hồng giới thiệu khi bạn đăng ký một số phần mềm được nhắc đến trong bài, không làm thay đổi giá bạn trả. Các đánh giá và khuyến nghị dựa trên tiêu chí độc lập của Wunlock.
