Access control (kiểm soát truy cập) là quy trình bảo mật xác định danh tính của chủ thể và giới hạn phạm vi tài nguyên mà chủ thể đó được phép thao tác trong hệ thống.
Mọi cơ chế access control đều xoay quanh ba yếu tố: chủ thể phát ra yêu cầu, tài nguyên được yêu cầu, và hành động cụ thể như xem, tải xuống, chỉnh sửa hoặc phê duyệt. Chính sách access control là tập quy tắc ghép ba yếu tố này lại và cho ra kết quả cho phép hoặc từ chối.
Access control tồn tại ở hai dạng. Access control vật lý kiểm soát ra vào không gian thực bằng đầu đọc thẻ, khóa từ hoặc sinh trắc học. Access control logic kiểm soát quyền trên hệ điều hành, ứng dụng nghiệp vụ, cơ sở dữ liệu và API, và đây là phạm vi của bài viết này. Hai lớp bổ trợ trực tiếp cho nhau, vì một máy chủ phân quyền chặt chẽ vẫn có thể bị rút ổ cứng nếu phòng đặt máy chủ không có kiểm soát ra vào.
Đặt cạnh các lớp bảo mật khác, vai trò riêng của access control trở nên rõ ràng. Firewall ngăn lưu lượng độc hại đi vào mạng nội bộ, mã hóa bảo vệ dữ liệu khi bị đánh cắp trên đường truyền, còn access control giới hạn thiệt hại khi kẻ tấn công đã ở bên trong với một danh tính hợp lệ. Mức độ phổ biến của kịch bản này đã được đo đạc: báo cáo Data Breach Investigations Report 2026 của Verizon, phân tích hơn 22.000 vụ vi phạm dữ liệu được xác nhận tại 145 quốc gia, ghi nhận hành vi lạm dụng thông tin xác thực xuất hiện ở 39% số vụ, tỷ lệ cao nhất trong mọi hình thức được theo dõi. Đây là lý do access control được xem là biện pháp nền tảng, bên cạnh việc vá lỗ hổng bảo mật và bảo mật cơ sở dữ liệu.
Access control vận hành theo mô hình IAAA gồm bốn bước tuần tự: Identification (định danh), Authentication (xác thực), Authorization (ủy quyền) và Accountability (truy vết trách nhiệm).
IAAA là khung nền tảng được trình bày trong tài liệu tham chiếu CISSP Common Body of Knowledge của (ISC)². Mỗi yêu cầu truy cập đi qua đủ bốn bước trước khi hệ thống trả dữ liệu về. Ba bước đầu quyết định cho phép hay từ chối, bước cuối bảo đảm mọi hành động đều truy vết được về một chủ thể cụ thể.
Định danh là việc chủ thể khai báo mình là ai qua một mã duy nhất như tên đăng nhập, mã nhân viên hoặc mã dịch vụ. Bước này chưa chứng minh điều gì, nhưng nếu nhiều người dùng chung một định danh thì toàn bộ ba bước sau mất giá trị, vì hệ thống không còn phân biệt được ai đã làm gì. Đây là lý do tài khoản dùng chung bị xem là lỗi nghiêm trọng ngay cả khi mật khẩu được bảo vệ tốt.
Xác thực yêu cầu chủ thể chứng minh định danh vừa khai báo là của mình, bằng mật khẩu, mã OTP, sinh trắc học hoặc chứng chỉ số. Xác thực chỉ khẳng định bạn là ai. Hệ thống thiếu bước ủy quyền phía sau sẽ mở toàn bộ dữ liệu cho bất kỳ ai đăng nhập thành công, kể cả tài khoản bị chiếm bằng tấn công dò mật khẩu brute force.
Ủy quyền là nơi quyết định phạm vi. Hệ thống lấy định danh vừa xác thực, đối chiếu với chính sách phân quyền, rồi trả lời cho từng hành động trên từng tài nguyên. Cùng một nhân viên có thể xem báo cáo doanh thu phòng ban mình nhưng bị từ chối khi mở bảng lương công ty.
| Tiêu chí | Authentication (Xác thực) | Authorization (Ủy quyền) |
| Thời điểm diễn ra | Một lần khi mở phiên | Lặp lại ở từng yêu cầu |
| Nơi thực thi | Hệ thống quản lý danh tính | Điểm thực thi chính sách phía máy chủ |
| Hậu quả khi làm sai | Kẻ tấn công đăng nhập được | Người dùng hợp lệ chạm được dữ liệu ngoài phạm vi |
| Ví dụ thực tế | Nhân viên đăng nhập phần mềm kế toán | Nhân viên xem được hóa đơn nhưng không duyệt được chi |
Doanh nghiệp đầu tư mạnh vào xác thực đa yếu tố nhưng để nguyên phân quyền lỏng lẻo vẫn hứng chịu rủi ro rò rỉ dữ liệu ngang với doanh nghiệp chưa có biện pháp nào.
Trước khi ghi nhận được trách nhiệm, kết quả ủy quyền phải được thực thi đúng chỗ, dưới dạng token hoặc phiên làm việc có thời gian sống giới hạn, với điểm thực thi đặt ở phía máy chủ. Ẩn một nút bấm trên giao diện không phải là kiểm soát truy cập, vì yêu cầu vẫn có thể gửi thẳng tới máy chủ hoặc bị can thiệp bằng tấn công man in the middle.
Accountability ghi lại ai đã truy cập tài nguyên nào và làm gì. Nhật ký truy cập là bằng chứng duy nhất để xác định phạm vi ảnh hưởng khi xảy ra data breach. Chi phí của việc phát hiện muộn không hề nhỏ: báo cáo Cost of a Data Breach 2026 do IBM và Ponemon Institute thực hiện trên 602 tổ chức tại 16 quốc gia ghi nhận chi phí trung bình toàn cầu cho một vụ vi phạm dữ liệu là 4,99 triệu USD, tăng 12% so với kỳ trước và là mức cao nhất từng ghi nhận.
Access control có nhiều mô hình khác nhau, phân biệt bởi hai tiêu chí: ai nắm quyền quyết định cấp phép, và quyết định đó dựa trên căn cứ nào. Dưới đây là các mô hình phổ biến nhất trong thực tế triển khai.
Discretionary access control trao quyền quyết định cho chủ sở hữu tài nguyên. Người tạo ra tệp tin tự chọn chia sẻ cho ai và với quyền gì, như cách vận hành của các thư mục dùng chung nội bộ. Ưu điểm là linh hoạt, nhược điểm là quyền lan rộng ngoài tầm kiểm soát khiến tổ chức không còn trả lời được ai đang có quyền trên dữ liệu nhạy cảm.
Mandatory access control đặt quyền quyết định vào tay quản trị viên thông qua nhãn phân loại. Mỗi tài nguyên được gán mức độ nhạy cảm, mỗi chủ thể được gán mức độ tin cậy, hệ thống chỉ cho phép truy cập khi hai mức tương thích. Mandatory access control cho mức kiểm soát cao nhất, đổi lại là chi phí vận hành lớn, nên thường dùng trong quốc phòng và hạ tầng trọng yếu.
Role-based access control gán quyền theo vai trò công việc thay vì theo từng cá nhân. Tổ chức định nghĩa các vai trò như kế toán viên hay quản trị hệ thống, gắn tập quyền cố định vào mỗi vai trò rồi gán cho nhân sự. Khi nhân viên chuyển bộ phận, tổ chức chỉ cần đổi vai trò thay vì rà soát hàng chục quyền lẻ. Đây là mô hình phổ biến nhất vì cân bằng tốt giữa khả năng kiểm soát và chi phí vận hành.
Attribute-based access control ra quyết định dựa trên tổ hợp thuộc tính thay vì một vai trò cố định, kết hợp thuộc tính người dùng, mức độ mật của tài nguyên và ngữ cảnh như thời điểm, vị trí, loại thiết bị. Nhờ vậy attribute-based access control diễn đạt được quy tắc mà role-based access control không thể, chẳng hạn cho xem hồ sơ khách hàng chỉ trong giờ hành chính và từ thiết bị công ty quản lý.
Rule-based access control cho phép quản trị viên định nghĩa luật theo điều kiện áp dụng chung, thường xoay quanh khung giờ truy cập, dải địa chỉ IP hoặc trạng thái bảo mật của thiết bị. Rule-based access control hiếm khi đứng một mình mà chạy song song để bổ trợ cho role-based access control, đóng vai trò lớp chặn áp lên trên quyền đã cấp theo vai trò.
Break-glass access control là cơ chế tài khoản khẩn cấp, cho phép vượt giới hạn quyền thông thường khi hệ thống gặp sự cố nghiêm trọng. Vì bản chất là vượt quyền, break-glass access control bắt buộc đi kèm ba điều kiện: ghi log mọi lần kích hoạt, cảnh báo ngay tới bộ phận an ninh, và hậu kiểm sau mỗi lần sử dụng.
| Mô hình | Cơ chế quyết định | Ai kiểm soát | Độ phức tạp vận hành | Phù hợp với |
| Discretionary access control | Chủ sở hữu tự cấp quyền | Người tạo tài nguyên | Thấp | Chia sẻ tài liệu nội bộ ít nhạy cảm |
| Mandatory access control | Đối chiếu nhãn phân loại | Quản trị viên hệ thống | Cao | Dữ liệu mật, hạ tầng trọng yếu |
| Role-based access control | Gán quyền theo vai trò | Bộ phận quản trị và nhân sự | Trung bình | Đa số doanh nghiệp mọi quy mô |
| Attribute-based access control | Tổ hợp thuộc tính và ngữ cảnh | Bộ phận thiết kế chính sách | Cao | Hệ thống đa nhánh, nhiều ngoại lệ |
| Rule-based access control | Luật theo điều kiện chung | Quản trị viên hệ thống | Thấp đến trung bình | Lớp bổ trợ cho role-based access control |
| Break-glass access control | Vượt quyền có kiểm soát | Bộ phận an ninh thông tin | Trung bình | Tình huống sự cố khẩn cấp |
Một hệ thống access control hiệu quả không chỉ phụ thuộc vào mô hình được chọn, mà còn vào các nguyên tắc chi phối cách cấu hình mô hình đó. Cùng một role-based access control có thể được triển khai chặt chẽ hoặc lỏng lẻo.
Nguyên tắc đặc quyền tối thiểu quy định mỗi tài khoản chỉ nhận đúng phần quyền cần cho công việc, trong đúng khoảng thời gian cần thiết. Quyền quản trị nên cấp theo phiên và tự động hết hạn, nhờ đó giảm trực tiếp thiệt hại tối đa khi tài khoản bị chiếm.
Nguyên tắc phân tách nhiệm vụ ngăn một tài khoản kiểm soát trọn vẹn một quy trình nhạy cảm. Người khởi tạo giao dịch không đồng thời phê duyệt giao dịch đó, người cấu hình hệ thống ghi log không đồng thời có quyền xóa log.
Mô hình Zero trust nâng hai nguyên tắc trên thành một kiến trúc hoàn chỉnh. Cách tiếp cận vành đai truyền thống tin tưởng mọi thứ đã qua lớp phòng thủ ngoài cùng, nên khi kẻ tấn công vào được mạng nội bộ thì việc di chuyển ngang gần như không gặp trở ngại. Zero trust đảo ngược mặc định đó: không tin cậy theo vị trí mạng, xác minh lại danh tính và trạng thái thiết bị ở từng phiên, chia nhỏ hệ thống thành các vùng độc lập. Nhu cầu này tăng mạnh khi phạm vi truy cập mở rộng ra ngoài tổ chức, vì Verizon Data Breach Investigations Report 2026 ghi nhận tỷ lệ vụ vi phạm có liên quan tới bên thứ ba đạt 48%, tăng từ mức 30% của kỳ báo cáo trước. Zero trust thường triển khai cùng NGFW và cách tiếp cận phòng thủ nhiều lớp Defense in Depth.
Bốn nguyên tắc cần áp dụng đồng thời khi thiết kế access control:
Tầng ứng dụng và API là nơi phát sinh phần lớn sự cố rò rỉ dữ liệu những năm gần đây, vì kiểm soát truy cập ở đây thường bị bỏ quên trong khi tầng hạ tầng lại được đầu tư kỹ lưỡng. Trong Top 10 OWASP phiên bản 2025, Broken Access Control giữ vị trí A01, tức nhóm rủi ro bảo mật ứng dụng web nghiêm trọng nhất, với 100% ứng dụng được kiểm thử có ít nhất một dạng lỗi thuộc nhóm này và hơn 1,8 triệu lượt xuất hiện được ghi nhận, cao nhất trong mười nhóm rủi ro. Đây là hệ quả trực tiếp của việc ứng dụng xác thực đúng người dùng nhưng bỏ sót bước kiểm tra quyền trên từng tài nguyên cụ thể, khiến một tài khoản hợp lệ có thể chạm được vào dữ liệu vốn không thuộc phạm vi của mình.
API là bề mặt chịu rủi ro lớn nhất trong nhóm này, vì được thiết kế cho máy gọi máy nên kiểm tra phân quyền dễ bị bỏ sót ở endpoint phụ, endpoint nội bộ lộ ra ngoài, hoặc phiên bản cũ chưa gỡ bỏ sau nâng cấp. Rủi ro thứ hai đến từ chính những tài khoản hợp lệ: mạng máy tính ma botnet sử dụng thông tin đăng nhập thật, đi qua trót lọt cả xác thực lẫn ủy quyền, rồi gọi API liên tục ở tốc độ cao để thu thập toàn bộ dữ liệu mà tài khoản được phép xem. Xét từng yêu cầu riêng lẻ thì mọi thứ đều đúng chính sách, chỉ hành vi tổng thể mới bất thường, nên rate limit cần được xem là một phần của access control, không chỉ là biện pháp chống quá tải.
Các biện pháp kiểm soát truy cập cần triển khai ở tầng ứng dụng:
Rà soát lại toàn bộ phân quyền trong mã nguồn là việc cần thời gian, nhưng lớp chặn phía trước website có thể kích hoạt ngay. Gói WAF Free của VNETWORK bảo vệ website trước các lỗ hổng theo chuẩn OWASP Top 10, không cần đội ngũ bảo mật chuyên trách và không cần thay đổi kiến trúc CNTT.
Button;Trải nghiệm ngay;https://partner.vnetwork.vn/?utm_source=google&utm_medium=blog&utm_campaign=waf_free&utm_term=accesscontrollagi;_blank
Access control không chỉ là yêu cầu kỹ thuật mà còn là nghĩa vụ pháp lý. Khung pháp lý Việt Nam về an toàn thông tin và dữ liệu đã chuyển từ khuyến nghị sang yêu cầu bắt buộc, kèm chế tài với tổ chức không đáp ứng.
Mức độ sẵn sàng của doanh nghiệp trong nước vẫn còn khoảng cách đáng kể so với yêu cầu đó. Báo cáo Tổng kết An ninh mạng Việt Nam 2025 của Hiệp hội An ninh mạng Quốc gia (NCA) ghi nhận 9,38% cơ quan và doanh nghiệp được khảo sát chưa có bất kỳ hình thức kiểm soát truy cập internet nào, trong khi 52,30% từng chịu tổn hại do tấn công mạng trong năm, tăng so với mức 46,15% của năm 2024.
Nghị định 53 hướng dẫn thi hành Luật An ninh mạng, đặt ra yêu cầu lưu trữ dữ liệu trong nước và bảo vệ hệ thống thông tin quan trọng về an ninh quốc gia. Kèm theo đó là nghĩa vụ kiểm soát ai được tiếp cận dữ liệu người dùng và cung cấp nhật ký truy cập khi cơ quan chức năng yêu cầu.
Luật Bảo vệ dữ liệu cá nhân buộc tổ chức chỉ được xử lý dữ liệu cá nhân trong phạm vi mục đích đã thông báo cho chủ thể dữ liệu. Access control là cơ chế kỹ thuật thực thi trực tiếp nghĩa vụ này, vì giới hạn phạm vi xử lý về bản chất là giới hạn ai trong tổ chức được phép chạm tới loại dữ liệu nào.
Luật Dữ liệu 2024 cùng các văn bản hướng dẫn quy định việc phân loại dữ liệu theo mức độ quan trọng và điều kiện tiếp cận tương ứng, gắn chặt với việc thiết kế ma trận phân quyền theo mức độ nhạy cảm thay vì phân quyền đồng loạt cho toàn bộ kho dữ liệu.
ISO 27001 dành riêng một nhóm biện pháp cho kiểm soát truy cập, bao phủ chính sách phân quyền, quản lý danh tính, quản lý tài khoản đặc quyền và rà soát định kỳ. Với doanh nghiệp chưa biết bắt đầu từ đâu, đây là bộ khung tự đánh giá áp dụng được ngay.
| Văn bản, tiêu chuẩn | Yêu cầu liên quan tới truy cập | Biện pháp access control tương ứng |
| Nghị định 53/2022/NĐ-CP | Bảo vệ hệ thống thông tin quan trọng, truy vết truy cập dữ liệu người dùng | Ghi log tập trung, phân quyền theo vai trò, lưu nhật ký đủ thời hạn |
| Luật Bảo vệ dữ liệu cá nhân | Xử lý dữ liệu cá nhân đúng mục đích đã thông báo | Đặc quyền tối thiểu, phân quyền tới từng trường dữ liệu nhạy cảm |
| Luật Dữ liệu 2024 | Phân loại dữ liệu và điều kiện tiếp cận theo mức độ | Gán nhãn dữ liệu, ma trận phân quyền theo mức độ nhạy cảm |
| ISO 27001 | Chính sách kiểm soát truy cập và rà soát quyền định kỳ | Quản lý danh tính tập trung, quản lý tài khoản đặc quyền |
Triển khai access control cần đi đúng thứ tự, vì sai lầm phổ biến nhất là nhảy thẳng sang mua công cụ khi tổ chức còn chưa biết mình đang có dữ liệu gì và ai đang giữ quyền nào.
Lập danh mục toàn bộ hệ thống, ứng dụng, cơ sở dữ liệu và kho tệp tin đang vận hành, kèm mức độ nhạy cảm của dữ liệu. Không thể bảo vệ thứ mà tổ chức không biết mình đang có, nên đây là căn cứ xác định tài nguyên nào cần siết chặt trước.
Liệt kê các vai trò công việc thực tế, xác định tập quyền tối thiểu cho từng vai trò trên từng tài nguyên đã kiểm kê. Ma trận phân quyền trở thành nguồn chuẩn duy nhất mà mọi hệ thống phải tuân theo.
Đưa ma trận phân quyền vào thực tế bằng hệ thống quản lý danh tính tập trung, đăng nhập một lần, xác thực đa yếu tố cho tài khoản quyền cao và giải pháp quản lý tài khoản đặc quyền. Công cụ chỉ phát huy tác dụng khi ma trận ở bước thứ hai đã rõ ràng.
Mô hình IAAA mô tả một yêu cầu truy cập đơn lẻ, nhưng quyền truy cập tồn tại theo thời gian. Vì vậy cần gắn việc cấp, điều chỉnh và thu hồi quyền vào các mốc nhân sự gồm nhận việc, chuyển bộ phận và nghỉ việc, đồng thời rà soát theo chu kỳ để thu hồi quyền thừa.
Một lộ trình đúng vẫn có thể thất bại vì các sai lầm ở khâu vận hành hằng ngày. Điểm chung của chúng là tích tụ âm thầm và chỉ bộc lộ khi sự cố đã xảy ra.
Access control quyết định trong mã nguồn ai được đọc, sửa hay xóa dữ liệu nào, và đây là phần việc thuộc về hệ thống quản lý danh tính cùng đội ngũ phát triển của doanh nghiệp, không nền tảng bảo mật nào có thể thay thế. Nhưng trước khi một yêu cầu chạm tới lớp phân quyền đó, nó vẫn có thể mang theo mã khai thác, hành vi dò quét endpoint hoặc lưu lượng bot giả danh người dùng hợp lệ. VNIS, nền tảng bảo mật và tăng tốc Web, App, API của VNETWORK, xử lý đúng phần việc này. Trong số các tính năng của VNIS, bốn tính năng sau bám sát trực tiếp nhất vào các rủi ro kiểm soát truy cập đã nêu:
Ngoài các tính năng trên, VNIS còn có đội ngũ SOC giám sát 24/7 và hiện đang bảo vệ hàng trăm nghìn website, ứng dụng và API trên toàn cầu, phù hợp cho doanh nghiệp muốn đảm bảo an toàn dài hạn cho hệ thống của mình. WAF Free thuộc hệ sinh thái VNIS chính là bước đệm ban đầu miễn phí, giúp doanh nghiệp trải nghiệm trước năng lực bảo vệ tầng ứng dụng trước khi cân nhắc nâng cấp lên các gói bảo mật toàn diện hơn.
Button;Trải nghiệm ngay;https://partner.vnetwork.vn/?utm_source=google&utm_medium=blog&utm_campaign=waf_free&utm_term=accesscontrollagi;_blank
Access control quyết định mức thiệt hại thực tế khi một tài khoản bị chiếm đoạt. Từ việc hiểu đúng khái niệm, nắm bốn bước của mô hình IAAA, chọn mô hình phân quyền phù hợp, cho tới việc bịt điểm mù ở tầng ứng dụng và API, mỗi bước đều thu hẹp phạm vi mà kẻ tấn công vươn tới được. Kết hợp với khung pháp lý đang siết chặt tại Việt Nam, kiểm soát truy cập là yêu cầu bắt buộc chứ không còn là lựa chọn. Liên hệ VNETWORK để được tư vấn giải pháp cho hệ thống web, app và API của doanh nghiệp.
Access control là quy trình bảo mật xác định danh tính của người dùng hoặc hệ thống, sau đó giới hạn phạm vi tài nguyên mà chủ thể đó được phép thao tác. Thuật ngữ này được dùng cho cả hệ thống kiểm soát ra vào bằng phần cứng lẫn kiểm soát quyền truy cập trong an toàn thông tin.
Trong mô hình IAAA, authentication là bước thứ hai và authorization là bước thứ ba. Authentication xác lập danh tính, trả lời câu hỏi bạn là ai thông qua mật khẩu, mã OTP hoặc sinh trắc học. Authorization xác định phạm vi quyền sau khi danh tính đã được xác thực. Hệ thống thiếu authorization sẽ mở toàn bộ dữ liệu cho bất kỳ tài khoản nào đăng nhập thành công.
Access control list là danh sách gắn trực tiếp vào từng tài nguyên, liệt kê những chủ thể nào được thực hiện hành động nào trên tài nguyên đó. ACL là cơ chế lưu trữ kết quả phân quyền, không phải mô hình ra quyết định, và trở nên khó rà soát khi số lượng tài nguyên tăng lên hàng nghìn.
Broken access control cho phép một người dùng đã đăng nhập hợp lệ truy cập dữ liệu của người dùng khác chỉ bằng cách thay đổi tham số định danh. Broken access control nguy hiểm vì không cần công cụ tấn công chuyên biệt và không tạo lưu lượng bất thường, nên thường không bị phát hiện sớm.
Có. Luật An ninh mạng cùng Nghị định 53/2022/NĐ-CP, Luật Bảo vệ dữ liệu cá nhân và Luật Dữ liệu đều đặt ra nghĩa vụ giới hạn phạm vi tiếp cận dữ liệu và lưu nhật ký truy cập. Access control là cơ chế kỹ thuật thực thi trực tiếp các nghĩa vụ này.