Agnidipta Sarkar, Trưởng phòng Truyền giáo, ColorTokens – Chuỗi Phỏng vấn

Agnidipta Sarkar, Trưởng phòng Truyền giáo, ColorTokens là một nhà lãnh đạo trong lĩnh vực an ninh mạng và khả năng phục hồi kỹ thuật số với hơn ba thập kỷ kinh nghiệm bao gồm phòng thủ mạng, quản lý rủi ro, liên tục kinh doanh, bảo mật thông tin và Zero Trust. Tại ColorTokens, ông làm việc với hội đồng quản trị, các lãnh đạo cấp C‑suite và các nhà lãnh đạo bảo mật để tăng cường khả năng chuẩn bị cho vi phạm và kết nối các chương trình an ninh mạng với ưu tiên kinh doanh, đồng thời đóng góp vào các tiêu chuẩn quốc tế và sáng kiến ngành qua các tổ chức như ISO, Cloud Security Alliance, NIST và ISA. Trước khi gia nhập ColorTokens, Sarkar đã từng là Group CISO tại Biocon và giữ các vị trí lãnh đạo cao cấp về an ninh thông tin và rủi ro tại các tổ chức như DXC Technology, Hewlett Packard Enterprise và HP.

ColorTokens là một công ty an ninh mạng tập trung vào microsegmentation, Zero Trust và giúp các doanh nghiệp trở nên kiên cường hơn khi kẻ tấn công phá vỡ các biện pháp bảo vệ biên truyền thống. Nền tảng flagship Xshield Enterprise Microsegmentation Platform được thiết kế để ngăn chặn kẻ tấn công và phần mềm độc hại di chuyển ngang trong tổ chức bằng cách tạo ra các ranh giới bảo mật chi tiết quanh các khối tải và tài sản trải rộng qua trung tâm dữ liệu, hạ tầng đám mây, thiết bị đầu cuối, môi trường Kubernetes, công nghệ vận hành (OT) và các thiết bị Internet of Things (IoT). Nền tảng này còn tích hợp các quy trình hỗ trợ AI để khám phá môi trường, tạo chính sách phân đoạn và tăng tốc triển khai chính sách, với mục tiêu rộng hơn là giảm bề mặt tấn công của tổ chức và hạn chế tác động tiềm năng, hay “bán kính nổ”, của một vụ vi phạm thành công.

Bạn đã dành hơn ba thập kỷ chuyển từ các vai trò thực tiễn về mạng và bảo mật tại HCL, Wipro, HP, HPE và DXC sang vị trí Group Chief Information Security Officer tại Biocon và đóng góp vào các tiêu chuẩn an ninh quốc tế. Những trải nghiệm trực tiếp đó đã hình thành niềm tin của bạn như thế nào rằng các tổ chức phải chuẩn bị để kiềm chế các vụ vi phạm thay vì cho rằng họ có thể ngăn chặn mọi cuộc xâm nhập?

Trong những ngày đầu tại HCL và Wipro, an ninh mạng giống như miền hoang dã, đầy hứng khởi, hỗn loạn và cơ hội. Tôi đã dấn thân, thử nghiệm, thất bại, học hỏi và thành công với mọi thứ công nghệ có thể đưa ra: tường lửa, IDS, MFA, mã hoá, kiểm toán, quản trị. Nhưng bài học thực sự đến khi tôi chứng kiến vụ việc an ninh đầu tiên diễn ra. Đột nhiên, tất cả các thực hành tốt nhất sụp đổ dưới áp lực. Đó là tiếng chuông tỉnh giấc của tôi.

Tại HP, tôi có vị trí ngồi ngay trước mặt hỗn loạn, ban đầu như một con ruồi trên tường, sau đó là một nhà lãnh đạo vận hành, quan sát hỗn loạn diễn ra gần gũi. Mỗi vụ việc đều nhấn mạnh cùng một bài học: CNTT không bao giờ đứng yên, và không có khoản đầu tư nào có thể đảm bảo an toàn. Khi cuối cùng tôi nắm quyền Group CISO, tôi biết nhiệm vụ của mình là xây dựng một sổ tay xử lý vi phạm, không chỉ cho hoạt động bảo mật của tôi, mà cho toàn bộ tổ chức. Một sổ tay có thể lặp lại, dự đoán được, và có thể duy trì hoạt động kinh doanh khi bão tới, đồng thời không ngừng cải thiện các hoạt động bảo mật theo thời gian.

Trên giấy tờ, các công cụ trông hoàn hảo. Trong thực tế, Quản lý Dịch vụ CNTT bộc lộ những khe hở mà bạn chưa từng thấy. Quản lý tài sản, vá lỗi, cấu hình, thay đổi, rủi ro—tất cả đều rối rắm với lỗi con người. Đó là nơi yếu điểm kỹ thuật số ẩn náu, và khi còi báo động vang lên, việc gỡ rối trở thành cơn ác mộng. Không có kịch bản nào cho phòng chiến tranh khi một vụ vi phạm xảy ra. Hỗn loạn là quy tắc, không phải ngoại lệ. Đó là lý do tôi đã dành cả sự nghiệp để xây dựng cấu trúc trong mắt bão và giúp các nhà lãnh đạo lọc bỏ tiếng ồn và quản lý rủi ro, thay vì bị cuốn trôi.

Nhìn lại, tôi biết ơn mọi bài học—quan sát từ bên lề, tự tay dính vào những cuộc tấn công, và cuối cùng dẫn dắt từ phía trước. Đó là lý do tôi coi việc chuẩn bị cho vi phạm như một nghệ thuật, không chỉ là khoa học. Bạn có thể vẽ ra các mẫu tấn công suốt ngày, nhưng điều quan trọng là những gì xảy ra trong phòng chiến tranh, khi các nhà lãnh đạo phải giữ vững vị trí. Sự rõ ràng đó chỉ đến từ việc trải nghiệm thực tế.

Đó là lý do tôi xây dựng một khung chuẩn bị cho vi phạm nhằm dự đoán, chịu đựng và phát triển khả năng đối mặt với cuộc tấn công mạng tiếp theo. Khung này giúp các tổ chức di chuyển cùng cơn bão, không phải chống lại nó. Mục tiêu cuối cùng là hiện thực hoá Koun Ryusui, trôi như mây, chảy như nước, để khi cuộc tấn công chưa từng có tiếp theo xảy ra, thay vì hỗn loạn, các doanh nghiệp áp dụng tính linh hoạt và khả năng phục hồi có cấu trúc, tận dụng các khoản đầu tư công nghệ để trở nên mạnh mẽ và tự tin hơn.

AI đang giúp kẻ tấn công tự động hoá việc thăm dò, khai thác lỗ hổng và di chuyển ngang, có thể nén các hoạt động từng mất hàng tuần thành giờ hoặc phút. Những phần nào của mô hình phản hồi sự cố truyền thống trở nên không hiệu quả khi các cuộc tấn công bắt đầu hoạt động ở tốc độ máy?

Khi các cuộc tấn công di chuyển ở tốc độ máy, những người phòng thủ tồn tại là những người có thể phân tích và hành động nhanh hơn kẻ thù. Đúng, AI cung cấp cho kẻ tấn công công cụ mới, nhưng nó cũng trao quyền cho người phòng thủ. Theo kinh nghiệm của tôi, có hai cách để đối phó với những cuộc tấn công chưa từng có, được hỗ trợ bởi AI.

Thứ nhất, bạn cần thiết kế lại môi trường kỹ thuật số của mình. Xây dựng các vùng chuẩn bị cho vi phạm và microsegment tách biệt những tài sản quan trọng (crown jewels) khỏi phần còn lại. Hãy nghĩ về nó như một mê cung: một số lối đi mở, một số bị chặn, khiến các danh tính không được ủy quyền khó di chuyển tự do. Đó là cách bạn ngăn chặn các cuộc tấn công AI bằng cách làm chậm chúng, vì mê cung luôn thay đổi cùng với các hệ thống kỹ thuật số.

Thứ hai, bạn cần các mẫu, sổ tay và vai trò rõ ràng sẵn sàng trước khi còi báo động vang lên. Khi đó, mọi con người và máy móc đều biết phải làm gì và ưu tiên như thế nào. Mánh khóe là mua thời gian và làm chậm AI, buộc nó phải làm việc khó khăn hơn và ngăn chặn việc di chuyển dễ dàng. Đó là cách bạn duy trì phòng thủ trong trận chiến khi mỗi mili giây đều quan trọng.

Hãy hỏi bất kỳ thủy thủ nào đã sống sót qua một vụ rò rỉ tàu ngầm. Khi nước tràn vào, bạn không có thời gian để đoán bước tiếp theo của nó. Bạn cần đã củng cố các cửa đúng trước thời điểm, biết những gì phải duy trì hoạt động và nơi áp lực sẽ tập trung. Khi vụ rò rỉ xảy ra, tất cả những gì bạn có thể làm là cô lập khoang bị ngập và giữ phần còn lại của tàu hoạt động. Đó là cách bạn bảo vệ doanh nghiệp tối thiểu khả thi của mình. Trong thế giới kỹ thuật số, điều đó có nghĩa là doanh nghiệp kỹ thuật số tối thiểu khả thi.

Đó chính là mục tiêu của việc chuẩn bị cho vi phạm. Nếu một cuộc tấn công nào đó xuyên qua, bạn cô lập khu vực bị ảnh hưởng, kích hoạt kế hoạch BCP và duy trì hoạt động của phần cốt lõi doanh nghiệp không bị ảnh hưởng. Không tắt máy, không khủng hoảng. Chỉ là một tình huống khẩn cấp.

Bạn đề xuất thảo luận về chuẩn bị cho vi phạm theo các khía cạnh kinh doanh và tài chính thay vì chỉ coi đó là vấn đề kỹ thuật. Các chỉ số nào mà hội đồng quản trị nên sử dụng để xác định liệu tổ chức có thể tiếp tục hoạt động qua một cuộc tấn công mạng nghiêm trọng?

Các vụ vi phạm không chỉ ảnh hưởng đến hệ thống của bạn; chúng ảnh hưởng đến mọi thứ và mọi người phụ thuộc vào chúng. Hãy hỏi bệnh nhân bị từ chối vào bệnh viện, du khách bị kẹt tại sân bay, hoặc đại lý ô tô bị nợ trong nhiều tháng. Đó là chi phí thực sự của một cuộc tấn công mạng. Không phải nếu, mà là khi. Đó là lý do tại sao hội đồng quản trị phải xem chuẩn bị cho vi phạm như một nhu cầu kinh doanh và tài chính.

Có hai chỉ số mà mọi hội đồng quản trị nên theo dõi.

Thứ nhất, xác định mức độ tác động vật chất mà hội đồng sẵn sàng chấp nhận trong quá trình theo đuổi các mục tiêu kỹ thuật số và AI. Điều này đặt ra tiêu chuẩn cho mức độ doanh nghiệp kỹ thuật số của bạn phải duy trì hoạt động trong một vụ vi phạm. Tôi gọi chúng là Mức Độ Tác Động Vật Chất Tối Đa Chấp Nhận (Maximum Acceptable Material Impact – MAMI) và Doanh Nghiệp Kỹ Thuật Số Tối Thiểu Khả Thi (Minimum Viable Digital Enterprise – MVDE).

Nhiều người nhầm lẫn MVDE với liên tục kinh doanh, nhưng chúng không giống nhau. Nếu bạn cho rằng mức tác động dưới 10% là chấp nhận được, thì 90% doanh nghiệp của bạn phải vẫn hoạt động ngay cả khi có vụ vi phạm. Hầu hết các kế hoạch liên tục kinh doanh chỉ đưa bạn trở lại 30% ở mức tốt nhất, để lại 60% doanh nghiệp kỹ thuật số không được bảo vệ. Nghịch lý này khiến các nhà lãnh đạo lo lắng vào ban đêm.

Nếu bạn đặt MVDE ở mức 70%, bạn có thể đảm bảo với các bên liên quan rằng bạn đang đầu tư vào các biện pháp phòng thủ giữ cho doanh nghiệp hoạt động, ngay cả khi tình huống tồi tệ nhất xảy ra, xây dựng một mê cung khó bị kẻ tấn công (con người hoặc AI) xuyên qua, và có khả năng cô lập các cuộc tấn công ở tốc độ máy. Đây là nơi microsegmentation đóng vai trò như một khối Lego nền tảng. Bạn có thể kết nối hầu hết các khoản đầu tư an ninh mạng như EDR, tường lửa, SASE, danh tính (con người và không con người), truy cập, ủy quyền và an ninh OT vào một mặt phẳng tín hiệu liên kết liền mạch mà SOC của bạn có thể vận hành trong các vụ vi phạm đang diễn ra để kiềm chế các cuộc tấn công mạng và cô lập MVDE.

Theo dõi MAMI và MVDE mỗi quý, cho mỗi sáng kiến kỹ thuật số và AI mới, và các nhà đầu tư cũng như các bên liên quan sẽ chỉ tìm kiếm bằng chứng về mức độ quản lý khả năng phục hồi.

“Bán kính nổ” ngày càng được sử dụng như một thước đo khả năng phục hồi mạng. Một tổ chức có thể tính toán bán kính nổ tiềm năng trước khi xảy ra tấn công như thế nào, và mức độ phơi nhiễm chấp nhận được là gì?

Blast radius matters. Significantly.

Nhưng đó không phải là chỉ số duy nhất quan trọng. Tôi luôn khuyến nghị đánh giá bán kính nổ hiện tại của bạn như bước đầu tiên để xây dựng một doanh nghiệp zero‑trust, sẵn sàng đối phó với vi phạm.

Không phải mọi bán kính nổ đều xấu. Đôi khi, nó quan trọng cho hiệu suất ứng dụng. Thù quỷ nằm ở chi tiết. Lấy một dịch vụ cache giúp tăng tốc truy vấn thông tin sản phẩm và phiên người dùng. Nó cần kết nối hệ thống‑hệ thống để vận hành một nền tảng thương mại điện tử với nhiều microservice. Nhưng cùng một bán kính nổ trở thành lỗ hổng nếu người dùng hoặc hệ thống không được ủy quyền có thể truy cập.

Bạn không thể xem bán kính nổ một cách riêng lẻ. Hãy kết hợp nó với các mẫu bảo mật khác như bất thường hành vi, lạm dụng truy cập, tăng quyền đặc quyền, vượt quá ủy quyền và lỗi xác thực để thực sự hiểu được mức độ phơi nhiễm vi phạm của bạn. Và nhớ rằng, những gì chấp nhận được trong một ngành có thể là yếu tố quyết định trong ngành khác.

Chuẩn bị cho vi phạm khác như thế nào so với phản hồi sự cố truyền thống, khôi phục thảm họa, liên tục kinh doanh và chương trình zero‑trust, và trách nhiệm phối hợp các lĩnh vực này nên thuộc về ai?

Đây không phải là các chủ đề riêng biệt; chúng là các lĩnh vực liên kết chặt chẽ phải được phối hợp quanh một mục tiêu kinh doanh duy nhất.

Tôi định nghĩa chuẩn bị cho vi phạm là một lĩnh vực khả năng phục hồi doanh nghiệp: liên tục chuẩn bị, kiến trúc, thực hành, và quản trị tổ chức để dự đoán các cuộc tấn công, hạn chế bán kính nổ, duy trì Doanh Nghiệp Kỹ Thuật Số Tối Thiểu Khả Thi trong mức Mức Độ Tác Động Vật Chất Tối Đa Chấp Nhận đã được định nghĩa trước, và khôi phục khả năng hoạt động trong khi cuộc tấn công đang được kiềm chế. Chuẩn bị cho vi phạm là việc vũ khí hoá kiến trúc zero trust và đưa ra những gì phải xảy ra trước, trong và sau một cuộc tấn công mạng. Chuẩn bị cho vi phạm chuyển câu hỏi từ ‘Làm sao chúng ta ngăn kẻ tấn công vào?’ sang ‘Làm sao chúng ta đảm bảo một sự cố không gây thiệt hại vượt quá mức chúng ta sẵn sàng chấp nhận, và bao nhiêu phần của doanh nghiệp có thể tiếp tục hoạt động trong khi chúng ta phản hồi?’ Chuẩn bị cho vi phạm là về khả năng tồn tại trong khi sự cố vẫn đang diễn ra.

Bước nhảy khái niệm là đáng kể. Các thực tiễn doanh nghiệp rải rác như sao lưu và khôi phục, phản hồi sự cố, khôi phục thảm họa và liên tục kinh doanh đều đóng vai trò quan trọng trong việc sẵn sàng đối phó với vi phạm, vì chúng quản lý sự gián đoạn. Chúng bắt đầu khi hệ thống bị tấn công. Ba chương trình phản hồi sự cố, khôi phục thảm họa và liên tục kinh doanh tập trung vào “Chúng ta có thể khôi phục những gì đã bị gián đoạn nhanh như thế nào?”. Chuẩn bị cho vi phạm tập trung vào “Bao nhiêu phần trong số đó có thể vẫn khả dụng ngay từ đầu?”.

Chuẩn bị cho vi phạm phá vỡ các silo để đảm bảo hậu quả kinh doanh của một vụ xâm phạm được quản lý, và các bên liên quan được yên tâm bằng cách tập trung vào cách giữ phần lớn doanh nghiệp “không bị ảnh hưởng” và kích hoạt BC/DR cho phần bị ảnh hưởng. Trách nhiệm và quyền sở hữu việc chuẩn bị cho vi phạm thuộc về lãnh đạo điều hành. CEO/Hội đồng quản trị sở hữu mức độ chấp nhận rủi ro và kết quả kinh doanh chấp nhận được. COO hoặc một giám đốc tương đương về khả năng phục hồi doanh nghiệp nên phối hợp chuẩn bị cho vi phạm trên toàn tổ chức, với CISO chịu trách nhiệm về khía cạnh an ninh mạng.

Đối với các doanh nghiệp muốn đạt trạng thái Kuon Ryushi, việc tham gia toàn bộ tổ chức sử dụng công nghệ và AI để quản lý hậu quả của một cuộc tấn công mạng là điều quan trọng.

ColorTokens đang sử dụng AI để giúp các đội bảo mật phân tích môi trường và tạo chính sách microsegmentation nhanh hơn. Các tổ chức nên tin tưởng AI để tự động hoá quyết định phòng thủ ở đâu, và những hành động cô lập nào vẫn cần sự phê duyệt của con người?

Absolutely. We are doing exactly that.

Nhưng hãy rõ ràng: ‘sử dụng AI để giúp các đội bảo mật’ chỉ là phần nổi của tảng băng. Tại ColorTokens, chúng tôi tin vào việc sử dụng AI một cách có trách nhiệm để khiến các doanh nghiệp thực sự sẵn sàng đối phó với vi phạm. Câu chuyện lớn hơn rất nhiều so với ‘AI làm cho microsegmentation dễ dàng hơn.’

Các sự cố gần đây với Anthropic, OpenAI, AISI và thậm chí trường hợp đặt chỗ phòng tập ở Úc là những thất bại về kiến trúc, không phải quản trị. Khi AI tự động thoát khỏi môi trường sandbox, nó không phải lúc nào cũng độc hại hoặc không đáng tin cậy. Điều quan trọng là cách kiến trúc được xây dựng. Con người phải xác định rõ ràng phạm vi hoạt động, và AI phải ở trong giới hạn đó. Đó là nơi quản trị xuất hiện.

Ví dụ, bạn có thể cho phép AI cô lập bất kỳ thiết bị đầu cuối nào được đánh dấu là bị xâm phạm với độ tin cậy trên một ngưỡng nhất định, trừ khi đó là hệ thống an toàn OT, bộ điều khiển miền, hệ thống thanh toán hoặc tài sản kiểm soát sản xuất. Đó là tự động hoá có giới hạn. Nhưng điều này dễ nói hơn làm vì bạn cần kiến trúc phù hợp với ngữ cảnh và được trình bày rõ ràng bởi các chuyên gia lĩnh vực.

Theo quan điểm và kinh nghiệm của tôi, các công ty phải sử dụng AI để thực hiện khám phá, tương quan, lập bản đồ phụ thuộc, phân tích đường tấn công, phân tích bán kính nổ, đề xuất chính sách, tổng hợp chính sách, mô phỏng chính sách, tối ưu hoá chính sách rủi ro thấp, cô lập được phép trước, và kiểm chứng liên tục, đồng thời để con người quyết định mức độ quan trọng kinh doanh, mức độ gián đoạn chấp nhận được, ranh giới an toàn, định nghĩa tài sản quan trọng, ràng buộc an toàn (trong OT), mức tác động tối đa chấp nhận, ngưỡng tự động hoá, phê duyệt ngoại lệ, cô lập sản xuất lớn, và các hành động không thể đảo ngược.

Kết luận – AI nên được cho phép tự do đủ để hoàn thành nhiệm vụ, nhưng dưới các điều kiện rõ ràng được hạ tầng thực thi bên ngoài phạm vi kiểm soát của nó. AI nên đề xuất hành động, phải chờ con người phê duyệt, và sau đó thực thi thay đổi ở tốc độ máy. Mục tiêu không phải làm cho AI tự chủ, mà là tạo ra tự động hoá phòng thủ có giới hạn.

Tại ColorTokens, chúng tôi sử dụng AI để làm cho vòng điều khiển của người bảo vệ đủ nhanh để bắt kịp kẻ tấn công. Quyết định chính sách tập trung, nhiều cơ chế thực thi, dữ liệu viễn thông phong phú, bảo vệ không cần agent cho các hệ thống không thể chạy agent, hỗ trợ đám mây và container, và khám phá cũng như tổng hợp chính sách hỗ trợ AI—tất cả đều là một phần của chuẩn bị cho vi phạm hỗ trợ AI.

Microsegmentation đã tồn tại như một khái niệm trong nhiều năm, nhưng các tổ chức thường liên kết nó với các triển khai phức tạp và chính sách cứng nhắc. Công nghệ nào đã thay đổi khiến nó trở nên thực tiễn hơn trên hạ tầng đám mây, môi trường Kubernetes, thiết bị đầu cuối, hệ thống kế thừa và công nghệ vận hành?

Multiple things.

Những gì bắt đầu như một cách tinh vi để kết nối và kiểm soát mạng, đảm bảo kết nối và băng thông riêng, đã phát triển thành một khả năng an ninh mạng nền tảng. Ngày nay, microsegmentation có thể biến các doanh nghiệp lớn thành các tổ chức sẵn sàng đối phó với vi phạm, nhanh chóng và tự tin. Những thay đổi công nghệ đã giúp chúng ta vượt qua những rắc rối cũ: lập bản đồ phụ thuộc, thiết kế lại ranh giới mạng, cấu hình VLAN và tường lửa, viết quy tắc bằng tay, và lo lắng về việc phá vỡ lưu lượng kinh doanh. Phân đoạn trước đây chậm, tốn kém và chỉ giới hạn trong trung tâm dữ liệu. Không còn như vậy.

Thứ nhất, danh tính hiện là kênh chính cho các cuộc tấn công mạng. Đó là lý do quản trị danh tính nâng cao là nguyên tắc đầu tiên của zero trust. Trong môi trường đám mây hiện đại, địa chỉ IP không có ý nghĩa đối với bảo mật. Microsegmentation hiện đại sử dụng danh tính, truy cập, khối tải, ứng dụng, dịch vụ và ngữ cảnh, không chỉ vị trí mạng. Ranh giới bảo mật theo dõi danh tính, truy cập và ứng dụng, không chỉ hạ tầng cơ sở.

Thứ hai, microsegmentation không cần agent hiện đã vượt ra ngoài các thiết bị. Nó mở rộng bảo vệ tới các hệ thống kế thừa, thiết bị IoT và OT không thể chạy agent. Microsegmentation hiện đại tích hợp với EDR, mở rộng phạm vi bảo vệ và rút ngắn thời gian triển khai từ tháng sang giờ, vì EDR đã có dữ liệu viễn thông mà microsegmentation cần.

Cuối cùng, AI đang loại bỏ nút thắt lớn cuối cùng: kỹ thuật thiết kế chính sách sẵn sàng cho vi phạm dựa trên ngữ cảnh. AI có thể phân tích nhiều điểm dữ liệu để hiểu ngữ cảnh, lập bản đồ phụ thuộc và đường tấn công, đề xuất khu vực và chính sách microsegmentation, và mô phỏng tác động trước khi thực thi. Microsegmentation hiện đại thực thi chính sách trực tiếp trên thiết bị đầu cuối và khối tải bằng các kiểm soát OS gốc. Bạn không còn cần thiết kế lại mạng; microsegmentation giờ liền mạch, và chính sách theo dõi khối tải bất kể nơi nó đi.

Mục tiêu không chỉ là chặn mọi nỗ lực di chuyển ngang. Mà còn là phân tích đủ tín hiệu ở tốc độ máy để đảm bảo khi kẻ tấn công xâm nhập, khối tải bị xâm phạm không trở thành đường cao tốc tới mọi thứ khác. Microsegmentation hiện đại không còn chỉ chia mạng mà còn kiểm soát và giám sát bán kính nổ.

Những bằng chứng nào mà các giám đốc nên yêu cầu khi đánh giá trường hợp tài chính cho microsegmentation, đặc biệt liên quan đến thời gian ngừng hoạt động do ransomware, phí bảo hiểm mạng, rủi ro pháp lý và chi phí duy trì dịch vụ quan trọng trong một cuộc tấn công?

Việc xác định tài chính của tác động vi phạm và liên kết đầu tư microsegmentation có thể đảm bảo hoạt động không bị ảnh hưởng trong một vụ vi phạm đòi hỏi các giám đốc phải nhận ra rằng các cuộc tấn công mạng sẽ thành công, bất kể mức độ đầu tư vào an ninh mạng. Trong năm 2025 và 2026, các tổ chức chịu tấn công mạng và gặp thời gian ngừng hoạt động không lường trước được bao gồm nhiều tổ chức tài chính mạnh như JLR, Nike và Stryker. Do đó, không phải câu hỏi nếu họ sẽ bị vi phạm, mà là khi nào.

Khi bạn chấp nhận thực tế này, việc đầu tư vào chuẩn bị cơ bản cho vi phạm trở nên cấp bách và là vấn đề sinh tồn kinh doanh. Để đầu tư một cách khôn ngoan, chúng ta hãy hiểu rõ hai chỉ số cấp cao hơn.

Chỉ số đầu tiên là thước đo khả năng tồn tại. Mức Độ Tác Động Vật Chất Tối Đa Chấp Nhận (Maximum Acceptable Material Impact – MAMI) mà ban lãnh đạo và cơ quan quản trị sẵn sàng chấp nhận cho các tham vọng chuyển đổi số hoặc áp dụng AI. Nó có thể bắt đầu bằng một con số doanh thu, nhưng phải mở rộng tới khả năng tài chính, niềm tin khách hàng, danh tiếng hoặc thương hiệu qua các vòng lặp.

Chỉ số thứ hai là chỉ báo lợi thế cạnh tranh. Doanh Nghiệp Kỹ Thuật Số Tối Thiểu Khả Thi (Minimum Viable Digital Enterprise – MVDE) phải vẫn hoạt động ngay cả khi các cuộc tấn công mạng chưa từng có nhất xảy ra. Tất cả các trường hợp kinh doanh cho các sáng kiến mới phải xem xét cả hai yếu tố. MVDE có thể bắt đầu từ 70% và tăng lên dựa trên thành công của chương trình danh tính và microsegmentation nền tảng.

Dưới đây là những gì các giám đốc nên tìm kiếm khi đánh giá microsegmentation: bằng chứng rằng nó có thể giải quyết thời gian ngừng hoạt động do ransomware, giảm phí bảo hiểm mạng, giảm rủi ro pháp lý và duy trì dịch vụ quan trọng hoạt động trong một cuộc tấn công.

1. Nền tảng microsegmentation có cho phép một nền tảng duy nhất trên các trung tâm dữ liệu, người dùng, hệ thống OT và đám mây không?
2. Tỷ lệ phần trăm doanh nghiệp của chúng ta được cấu trúc thành các khu vực và microsegment dựa trên tác động vật chất đến doanh nghiệp so với đánh giá trước đây là bao nhiêu?
3. Giải pháp microsegmentation có thể hoạt động nhanh như thế nào với các khu vực, microsegment và kênh truyền kiểm soát, được thiết kế để duy trì MVDE hoạt động?
4. Nền tảng microsegmentation có thể tích hợp với EDR và sử dụng nó như một agent để giảm tải agent không?
5. Nền tảng microsegmentation có sử dụng trí tuệ nhân tạo giao tiếp nào để xác định các quy tắc và chính sách dựa trên ngữ cảnh không?
6. Chúng ta có khả năng giám sát sự thay đổi hành vi của người dùng hợp lệ trong các ứng dụng và hạn chế người dùng sai lệch dựa trên danh tính không?
7. Thời gian trung bình để phát hiện và phản hồi bằng cách cô lập hành vi độc hại có thể mở rộng cùng với việc áp dụng kỹ thuật số và AI mới trong doanh nghiệp không?
8. Nền tảng microsegmentation có thể mô phỏng và mô hình các kịch bản phòng thủ mạng để dần giảm mức độ phơi nhiễm vi phạm của hoạt động không?

Mặc dù những yếu tố này sẽ đáp ứng hầu hết các trường hợp sử dụng, việc tuân thủ sẽ cần các tuyên bố áp dụng riêng cho mỗi quy định, có thể giải thích phần nào của quy định có thể được đáp ứng trực tiếp bởi nền tảng ColorTokens, phần nào cần quy trình bao quanh công nghệ, và phần nào cần công nghệ và quy trình bổ sung.

Nhiều tổ chức thực hiện các bài kiểm tra thâm nhập và các buổi tập huấn phản hồi sự cố, nhưng chúng có thể không tiết lộ mức độ di chuyển của kẻ tấn công sau khi đã xâm nhập. Các công ty nên kiểm tra khả năng kiềm chế và tồn tại dưới các điều kiện tấn công được tăng tốc bởi AI như thế nào?

Nếu các tổ chức cần áp dụng tinh thần Koun Ryusui trong việc xây dựng khả năng chuẩn bị cho vi phạm, họ phải tích hợp microsegmentation vào các hoạt động an ninh mạng hiện có và phát triển nó theo thời gian. Để làm được điều đó, microsegmentation cần tích hợp tín hiệu với các công cụ khác trong Trung tâm Vận hành An ninh (SOC), như SIEM, EDR, tường lửa thế hệ mới, v.v. Điều này sẽ đảm bảo rằng microsegmentation được hỗ trợ AI có thể điều phối việc kiềm chế khi cần, dựa trên các chỉ báo tấn công và bất thường hành vi.

Bạn cần không phải các bài kiểm tra cá nhân, mà là các buổi tập huấn giúp phát triển khả năng chuẩn bị cho vi phạm.

Có ba yếu tố cần thực hành nếu microsegmentation và khả năng tồn tại của bạn là thực tế. Thứ nhất là trạng thái hiện tại của chuẩn bị cho vi phạm. Điều này có thể thực hiện trước khi bắt đầu triển khai ColorTokens, sau khi bạn đã thực thi các chính sách, và sau mỗi thay đổi để xác định liệu thay đổi đó có làm thay đổi thiết kế MAZE của bạn hay không, MAZE chứa các vùng chuẩn bị cho vi phạm dựa trên tác động vật chất, microsegment và kênh truyền kiểm soát.

Thứ hai là tốc độ bạn có thể cô lập các cuộc tấn công mạng khi một vụ vi phạm thực tế xảy ra. Các tham số quan trọng để kiểm tra là độ chính xác phát hiện và tốc độ kiềm chế và cô lập MVDE bằng AI. Điều này có thể thực hiện thông qua các bài kiểm tra thâm nhập, các buổi tập red‑team, và các đánh giá mô phỏng tấn công vi phạm. Các bài kiểm tra này nên được thực hiện mà không thông báo cho Trung tâm Vận hành An ninh để kiểm tra phản hồi của họ đối với các tham số vi phạm thay đổi.

Thứ ba là cách tổ chức của bạn sẽ phản ứng trong một kịch bản vi phạm thực tế. Trước khi tập luyện, đảm bảo rằng “sổ tay chuẩn bị cho vi phạm” của bạn được truyền đạt tới tất cả các bên liên quan nội bộ, các nhà cung cấp hỗ trợ kỹ thuật bên thứ ba và các nhà cung cấp bảo trì, đặc biệt là chủ sở hữu tài sản và các nhà tích hợp hệ thống OT. Sau đó thực hiện các buổi tập mô phỏng trước khi tiến hành đánh giá red‑team để cung cấp trải nghiệm thực tế.

Khi các doanh nghiệp triển khai nhiều tác nhân AI tự động hơn với quyền truy cập vào ứng dụng, dữ liệu, chứng chỉ và hạ tầng, chuẩn bị cho vi phạm sẽ cần phát triển như thế nào để kiềm chế không chỉ các tài khoản và thiết bị con người bị xâm phạm mà còn các tác nhân AI bị xâm phạm hoặc hành vi sai lệch?

Chuẩn bị cho vi phạm phải phát triển từ việc kiềm chế các tài khoản và thiết bị con người bị xâm phạm sang việc xem các tác nhân AI tự động như một lớp danh tính không con người (Non‑Human Identity – NHI) có tốc độ cao, có thể hành động với chứng chỉ hợp lệ ở tốc độ máy. Thách thức nghe có vẻ lớn trên giấy vì NHI dự kiến sẽ vượt quá số lượng danh tính con người ít nhất 250 lần theo ước tính hiện tại.

Các tác nhân phá vỡ các kiểm soát truyền thống tập trung vào người dùng, thiết bị đầu cuối và tài khoản dịch vụ tĩnh. Chúng giữ quyền truy cập trực tiếp vào ứng dụng, dữ liệu, chứng chỉ và hạ tầng; suy luận và thực hiện hành động liên tục; và có thể bị xâm phạm qua việc tiêm prompt, nhiễm độc công cụ, thao tác bộ nhớ, vấn đề chuỗi cung ứng, hoặc chỉ đơn giản là lệch hướng/độ trễ. Khi chúng hành vi sai lệch hoặc bị chiếm đoạt, bán kính nổ mở rộng nhanh hơn tốc độ phản hồi của con người. Phản hồi vi phạm không thể chờ đợi sự chắc chắn hoàn toàn hoặc việc leo thang đa đội, do đó việc cứng hoá và phản hồi tự động đã được phê duyệt sẽ là bắt buộc.

Khi nhiều tác nhân AI tự động hơn được triển khai, chuẩn bị cho vi phạm cần sử dụng Danh tính làm mặt phẳng kiểm soát chính cho các tác nhân, nâng cao Zero Trust thành “Agent Trust”, quản lý rào cản, bảo vệ bộ nhớ và vệ sinh quản trị, tiến tới ma sát được phê duyệt trước và kiềm chế tự động, và tích hợp Microsegmentation và cách ly kiến trúc để kiềm chế, cùng với khả năng quan sát thời gian chạy, chuẩn hoá hành vi và phát hiện chuỗi.

Chuẩn bị cho vi phạm cần chuyển từ “chúng ta có thể khôi phục sau khi bị mã hoá?” sang “chúng ta có thể kiềm chế một tác nhân tự động hoạt động với chứng chỉ hợp lệ trước khi nó lan truyền?” Các chỉ số chuẩn bị cho vi phạm nên bao gồm thời gian hiểu (tác nhân nào, hành động gì, dữ liệu/hệ thống nào đã bị chạm tới, và liệu hoạt động còn tiếp diễn không) và thời gian tạo ma sát cho các tác nhân cụ thể. Nền tảng ColorTokens có thể nhanh chóng khám phá phụ thuộc, tạo và tinh chỉnh chính sách, và thực thi kiềm chế, đặc biệt khi được tăng cường AI cho tự động hoá chính sách và trở thành trung tâm để bắt kịp tốc độ. Trong mô hình này, chúng tôi ưu tiên cô lập, kiềm chế và nguyên tắc tối thiểu đặc quyền hơn là ngăn ngừa hoàn hảo.

Nền tảng microsegmentation của ColorTokens mở rộng danh tính, xác minh liên tục, microsegmentation, giám sát hành vi và kiềm chế đã được phê duyệt trước tới lớp tác nhân, giúp duy trì bán kính nổ trong tầm kiểm soát và bảo vệ tính liên tục hoạt động. Chữ ký phòng thủ cần thiết là cùng một chữ ký mà ransomware tốc độ máy yêu cầu: tốc độ cực nhanh trong việc hiểu và tạo ma sát, dựa trên kiến trúc giả định vi phạm thay vì hy vọng các tác nhân luôn đồng bộ.

Cảm ơn bạn đã tham gia phỏng vấn tuyệt vời, độc giả muốn