Một danh tính bị xâm phạm có thể mang lại nhiều giá trị cho kẻ tấn công hơn cả một thiết bị có lỗ hổng. Trong nhiều vụ xâm phạm, bước đi thành công đầu tiên không phải là mã độc hay xâm nhập mạng, mà là việc lạm dụng một tài khoản hợp lệ. Sự thay đổi đó đã đưa danh tính vào trung tâm của chiến lược bảo mật. Khi các tổ chức mở rộng việc sử dụng đám mây, làm việc từ xa và quyền truy cập của bên thứ ba, zero trust identity đã trở thành một cách tiếp cận thực tế để giảm rủi ro ngay tại nơi các quyết định truy cập thực sự diễn ra.
Rủi ro truy cập đã thay đổi
Các biện pháp kiểm soát danh tính truyền thống được xây dựng dựa trên giả định rằng người dùng bên trong mạng đáng tin cậy hơn những người ở bên ngoài. Mô hình đó không còn phản ánh cách các doanh nghiệp hiện đại vận hành. Nhân viên kết nối từ nhiều địa điểm khác nhau, sử dụng nhiều ứng dụng và thường dựa vào các thiết bị cá nhân hoặc không được quản lý. Đồng thời, các tài khoản dịch vụ, nhà thầu và đối tác đều làm tăng thêm độ phức tạp cho môi trường danh tính.
Vì vậy, danh tính đã trở thành một trong những con đường dễ bị kẻ tấn công khai thác nhất. Mật khẩu bị đánh cắp, kiểm soát đặc quyền yếu hoặc quyền truy cập quá mức có thể cho phép di chuyển giữa các hệ thống mà không ngay lập tức gây ra lo ngại. Các đội ngũ bảo mật hiện đang đối mặt với thực tế rằng chỉ xác thực thôi là chưa đủ. Câu hỏi thực sự là liệu mỗi yêu cầu truy cập có nên được tin cậy tại đúng thời điểm cụ thể đó hay không.
Zero trust identity có ý nghĩa gì trong thực tế
Zero trust identity áp dụng nguyên tắc zero trust rộng hơn vào người dùng, tài khoản và các quyết định truy cập. Thay vì giả định rằng người dùng là an toàn sau khi đăng nhập, các tổ chức liên tục đánh giá ngữ cảnh như trạng thái thiết bị, hành vi, vai trò, vị trí và tài nguyên được yêu cầu. Quyền truy cập được cấp dựa trên nhu cầu đã được xác minh và có thể bị giới hạn, yêu cầu xác minh thêm hoặc thu hồi khi mức độ rủi ro thay đổi. Điều này khiến bảo mật danh tính thích ứng hơn nhiều so với mô hình chỉ dựa trên tên người dùng và mật khẩu.
Giá trị kinh doanh rất rõ ràng. Các biện pháp kiểm soát danh tính tốt hơn có thể làm giảm khả năng truy cập trái phép, hạn chế di chuyển ngang và cải thiện khả năng hiển thị về việc ai có thể truy cập các hệ thống nhạy cảm. Điều đó không chỉ quan trọng đối với các đội ngũ bảo mật mà còn với các lãnh đạo tuân thủ, quản lý vận hành và các lãnh đạo cấp cao cần sự tin tưởng rằng các tài sản trọng yếu không bị phơi lộ thông qua những tài khoản bị bỏ sót.
Các ưu tiên cốt lõi cho người ra quyết định
Các tổ chức đang chuyển sang zero trust identity thường tập trung trước vào một vài lĩnh vực nền tảng. Mục tiêu không phải là triển khai mọi biện pháp kiểm soát cùng một lúc, mà là tăng cường những điểm mà rủi ro liên quan đến danh tính tạo ra mức độ phơi nhiễm vận hành lớn nhất. Trong nhiều môi trường, những điểm khởi đầu hiệu quả nhất bao gồm:
- Xác minh người dùng bằng các phương thức xác thực mạnh ngoài mật khẩu đơn thuần
- Áp dụng quyền truy cập theo nguyên tắc đặc quyền tối thiểu để người dùng chỉ nhận được quyền truy cập họ thực sự cần
- Rà soát các tài khoản đặc quyền có thể ảnh hưởng đến các hệ thống cốt lõi hoặc dữ liệu nhạy cảm
- Sử dụng các chính sách truy cập theo ngữ cảnh dựa trên thiết bị, vị trí và tín hiệu rủi ro
- Giám sát hành vi danh tính để phát hiện hoạt động bất thường trước khi nó trở thành sự cố
Những ưu tiên này giúp các tổ chức chuyển từ các giả định truy cập rộng rãi sang kiểm soát có chủ đích hơn. Quan trọng hơn, chúng hỗ trợ một chiến lược bảo mật phù hợp với cách con người thực sự làm việc thay vì cách các môi trường kế thừa đã được thiết kế.
Những sai lầm phổ biến làm chậm tiến độ
Nhiều dự án về danh tính mất đà khi doanh nghiệp xem chúng như những nâng cấp xác thực riêng lẻ. Các biện pháp kiểm soát đăng nhập mạnh hơn là quan trọng, nhưng chúng không giải quyết được tình trạng phân quyền quá mức, các tài khoản dịch vụ không được quản lý hoặc cơ chế quản trị yếu xung quanh việc rà soát quyền truy cập. Một sai lầm phổ biến khác là áp dụng các biện pháp kiểm soát nghiêm ngặt mà không cân nhắc trải nghiệm người dùng, điều này có thể gây cản trở và dẫn đến việc các nhóm tìm cách lách chính sách. Tiến triển bền vững thường đến từ việc cân bằng giữa bảo vệ, tính dễ sử dụng và thực tế vận hành.
Điều quan trọng nữa là cần nhận ra rằng zero trust identity không phải là một sản phẩm đơn lẻ. Đây là một chiến lược có thể bao gồm quản trị danh tính, privileged access management, xác thực thích ứng, tín hiệu endpoint và giám sát liên tục. Sự kết hợp phù hợp sẽ phụ thuộc vào cấu trúc doanh nghiệp, nhu cầu tuân thủ và mức độ trưởng thành của chương trình bảo mật hiện có.
FAQ
Zero trust identity có chỉ dành cho các doanh nghiệp lớn không?
Không. Các tổ chức quy mô vừa cũng có thể hưởng lợi, đặc biệt khi họ phụ thuộc nhiều vào ứng dụng đám mây, truy cập từ xa hoặc người dùng bên thứ ba. Cách tiếp cận này có thể bắt đầu với những hệ thống nhạy cảm nhất và mở rộng dần theo thời gian.
Multi-factor authentication có tự nó giải quyết được vấn đề không?
Không. Multi-factor authentication là một biện pháp kiểm soát quan trọng, nhưng zero trust identity còn đi xa hơn bằng cách đánh giá ngữ cảnh, giới hạn đặc quyền và giám sát hành vi truy cập liên tục.
Lựa chọn lộ trình phù hợp cho chặng đường phía trước
Chiến lược danh tính hiện nay có tác động trực tiếp đến doanh nghiệp vì quyền truy cập nằm ở trung tâm của năng suất, khả năng phục hồi và rủi ro. Các tổ chức hiện đại hóa biện pháp kiểm soát danh tính thường ở vị thế tốt hơn để giảm mức độ phơi nhiễm trước các vụ xâm phạm mà không làm chậm hoạt động kinh doanh. Thay vì xem danh tính là một chức năng CNTT ở hậu trường, những người ra quyết định ngày càng coi đây là một ưu tiên bảo mật ở cấp hội đồng quản trị.
Các tổ chức đang đánh giá các giải pháp bảo mật tập trung vào danh tính có thể làm việc với Terrabyte để xác định những công nghệ phù hợp với môi trường, hồ sơ rủi ro và mục tiêu bảo mật dài hạn của mình. Với vai trò là nhà phân phối an ninh mạng và đối tác công nghệ đáng tin cậy, Terrabyte giúp doanh nghiệp so sánh các cách tiếp cận phù hợp nhằm tăng cường kiểm soát truy cập, cải thiện khả năng hiển thị và xây dựng một lộ trình thực tế hơn hướng tới mức độ trưởng thành zero trust.
