Phân đoạn mạng là một trong những biện pháp hiệu quả nhất để hạn chế sự lan truyền của mã độc, ransomware và các cuộc tấn công chuyển động ngang (lateral movement) bên trong hạ tầng công nghệ. Dưới đây là 5 bước cụ thể, kèm ví dụ thực tế từ một công ty thương mại điện tử quy mô 150 nhân viên, giúp bạn áp dụng ngay lập tức. 1. Xác định phạm vi và tài sản quan trọng - Liệt kê tất cả các server, workstation, thiết bị IoT, máy in, camera giám sát. - Phân loại theo mức độ nhạy cảm: dữ liệu thanh toán, thông tin khách hàng, mã nguồn, hệ thống quản trị nội bộ. - Ví dụ: Công ty tách riêng cluster cơ sở dữ liệu thanh toán (PCI‑DSS) khỏi web server công khai. 2. Thiết kế vùng mạng (segment) dựa trên nguyên tắc least privilege - Tạo các VLAN/Subnet riêng: DMZ, Payment, HR, DevOps, Guest Wi‑Fi. - Áp dụng quy tắc “deny all, allow by exception” trên firewall giữa các zone. - Ví dụ: Chỉ cho phép traffic từ web server (DMZ) đến API gateway (Payment) qua cổng 443, chặn mọi cổng khác. 3. Triển khai kiểm soát truy cập dựa trên danh tính (Zero Trust Network Access) - Sử dụng NAC (Network Access Control) hoặc giải pháp ZTNA để xác thực thiết bị và người dùng trước khi cấp quyền vào zone. - Áp dụng MFA cho mọi kết nối VPN vào zone Payment. - Ví dụ: Nhân viên kế toán chỉ truy cập zone HR sau khi xác thực OTP, không thể truy cập zone Payment. 4. Giám sát và ghi nhật ký lưu lượng giữa các zone - Bật NetFlow/sFlow trên switch/router, đẩy log vào SIEM. - Tạo rule cảnh báo khi thấy kết nối bất thường: ví dụ workstation marketing kết nối trực tiếp đến database thanh toán. - Thực hiện review hàng tuần và điều chỉnh rule firewall. 5. Kiểm thử, đánh giá và cải tiến liên tục - Thực hiện penetration test nội bộ (internal pen‑test) mỗi quý tập trung vào việc bypass segmentation. - Chạy mô phỏng ransomware (tabletop exercise) để đo thời gian phát hiện và cách ly. - Cập nhật sơ đồ mạng, chính sách firewall và tài liệu vận hành sau mỗi lần test. Lời khuyên nhanh: Bắt đầu từ zone rủi ro cao nhất (thanh toán, dữ liệu khách hàng) rồi mở rộng dần. Đừng cố gắng phân đoạn toàn bộ mạng cùng một lúc – cách tiếp cận từng bước giảm thiểu gián đoạn hoạt động và dễ dàng kiểm soát sai sót.