3 ngộ nhận phổ biến về ZTNA: Zero Trust không chỉ là thay thế VPN

Tóm tắt

ZTNA là một giải pháp kiểm soát truy cập theo nguyên tắc Zero Trust, nhưng không đồng nghĩa với toàn bộ Zero Trust Architecture (ZTA). Bài viết làm rõ ba ngộ nhận thường gặp khi đánh giá và triển khai ZTNA.

Từ khóa: ZTNA, Zero Trust, ZTA, VPN, MFA.

1. Giới thiệu

Nhiều tổ chức xem ZTNA như giải pháp thay thế VPN hoặc bằng chứng đã triển khai Zero Trust. Cách hiểu này dễ dẫn đến lựa chọn công nghệ trước khi xác định yêu cầu bảo vệ tài nguyên và chính sách truy cập.

2. Cơ sở lý thuyết

Theo NIST SP 800-207, Zero Trust không mặc nhiên tin cậy chỉ vì vị trí mạng. ZTA là kiến trúc áp dụng nguyên tắc này; ZTNA là một nhóm giải pháp hỗ trợ thực thi chính sách truy cập vào ứng dụng hoặc tài nguyên. Hai khái niệm không thể dùng thay thế cho nhau.

3. Ba ngộ nhận phổ biến

3.1. ZTNA chính là Zero Trust

Không chính xác. Zero Trust là tập hợp nguyên tắc bảo mật; Zero Trust Architecture (ZTA) là cách tổ chức áp dụng những nguyên tắc đó. ZTNA là một nhóm giải pháp kiểm soát truy cập ứng dụng hoặc tài nguyên theo chính sách, chỉ đóng góp vào một phần của kiến trúc.

Chẳng hạn, triển khai ZTNA để nhân viên truy cập ứng dụng nội bộ không đồng nghĩa tổ chức đã quản lý đầy đủ tài khoản đặc quyền, bảo vệ máy chủ, phân đoạn mạng hay kiểm soát truy cập dữ liệu. Mô hình trưởng thành Zero Trust của CISA còn xem xét các trụ cột Identity, Devices, Networks, Applications and Workloads, Data.

Hàm ý: Cần xác định phạm vi mà ZTNA thực sự bảo vệ, các thành phần còn thiếu trong kiến trúc và cách chúng phối hợp với nhau; không nên đồng nhất tên sản phẩm với mức độ trưởng thành Zero Trust.

3.2. ZTNA thay thế hoàn toàn VPN

Không phải mọi trường hợp. VPN truyền thống thường tạo đường kết nối vào mạng riêng, trong khi ZTNA thường hướng đến cấp quyền truy cập theo ứng dụng hoặc tài nguyên. Tuy nhiên, phạm vi truy cập qua VPN vẫn có thể được thu hẹp bằng firewall, phân đoạn mạng và chính sách định tuyến.

Ví dụ, ZTNA có thể phù hợp để cung cấp quyền truy cập một cổng ứng dụng nội bộ cho đối tác. Nhưng với kết nối site-to-site, một số giao thức cũ hoặc nhiệm vụ quản trị cần truy cập ở lớp mạng, VPN hoặc cơ chế kết nối chuyên dụng vẫn có thể cần thiết, tùy khả năng của giải pháp được lựa chọn.

Hàm ý: Không nên đánh giá ZTNA và VPN chỉ bằng khẩu hiệu «công nghệ mới thay công nghệ cũ». Cần đối chiếu nhu cầu kết nối, giao thức hỗ trợ, phạm vi phân quyền và khả năng giám sát. VPN cấu hình chặt chẽ có thể an toàn hơn ZTNA triển khai với chính sách quá rộng.

3.3. Có MFA là đã có Zero Trust

Chưa đủ. Multi-Factor Authentication (MFA) giúp tăng độ tin cậy khi xác thực người dùng, nhưng không tự quyết định tài nguyên nào họ được phép sử dụng. Trong mô hình Zero Trust, quyền truy cập cần gắn với chính sách và nguyên tắc đặc quyền tối thiểu.

Ví dụ, quản trị viên đã xác thực MFA vẫn có thể bị từ chối truy cập hệ thống quan trọng khi sử dụng thiết bị không đáp ứng chính sách an toàn. Tùy khả năng hệ thống, khi trạng thái thiết bị hoặc mức độ rủi ro thay đổi, phiên truy cập có thể cần được đánh giá lại.

Hàm ý: Khi đánh giá ZTNA, cần kiểm tra không chỉ việc có MFA hay không, mà còn các tín hiệu được dùng để ra quyết định, phạm vi quyền được cấp và cơ chế hạn chế hoặc thu hồi quyền truy cập.

4. Thảo luận

Trước khi chọn sản phẩm, cần kiểm chứng ba vấn đề: ZTNA bảo vệ những tài nguyên nào, quyết định truy cập dựa trên tín hiệu gì và điều gì xảy ra khi điều kiện an toàn thay đổi? Đây là bài phân tích tổng quan, không phải nghiên cứu thực nghiệm hay so sánh hiệu năng sản phẩm.

5. Kết luận

Zero Trust là cách tiếp cận kiến trúc; ZTNA là một nhóm giải pháp hỗ trợ thực hiện. Hiệu quả phụ thuộc vào chính sách và phạm vi kiểm soát thực tế, không chỉ vào việc triển khai sản phẩm.

Tài liệu tham khảo

Bài viết thể hiện quan điểm cá nhân, không đại diện cho cơ quan hoặc tổ chức nào.

If you found this helpful, you can buy me a coffee and keep me going. Thank you!
https://buymeacoffee.com/vohongnhuy1996
Võ Hồng Như Ý – 06/11/2026