Báo cáo điều tra giả định: Các khoảng trống nhận diện trong môi trường lai tại doanh nghiệp công nghệ Việt Nam

Đây là tình huống giả định.

Vào 09:12 sáng ngày 14/03/2027, một kỹ sư phần mềm tại trụ sở TP.HCM của công ty giả định TechForge di chuyển từ sảnh tòa nhà vào phòng họp. Trong vòng tám phút, hệ thống ghi nhận năm tương tác nhận diện rời rạc: quét badge cửa tầng 12, đăng nhập Azure AD qua MFA trên laptop cá nhân, mở ứng dụng nội bộ trên đám mây lai, kích hoạt xác thực OT tại trạm điều khiển thiết bị thử nghiệm, và cuối cùng là truy cập camera giám sát khu vực sản xuất. Mỗi hành động được xử lý bởi một hệ thống riêng biệt, không có điểm chung nào kiểm soát toàn bộ chuỗi.

Khi vật lý và logic vẫn tách biệt

Tại TechForge, chính sách truy cập vật lý do PACS quản lý độc lập với IAM đám mây. Badge HID Mobile Access chỉ kiểm tra quyền ra vào cửa, trong khi Azure AD và Okta xử lý xác thực ứng dụng. Không có cơ chế liên kết thời gian thực giữa hai lớp này. Khi nhân viên di chuyển giữa Hà Nội và TP.HCM, thông tin trạng thái vật lý không được đẩy sang lớp logic, tạo ra khoảng trống quan sát kéo dài từ vài phút đến vài giờ.

Khoảng trống này bị công cụ AI-driven credential stuffing khai thác. Công cụ tự động thu thập thông tin xác thực từ rò rỉ trên dark web, sau đó thử nghiệm đồng thời trên cổng MFA và endpoint OT mà không gặp rào cản chéo. Vì không tồn tại nguồn sự thật duy nhất, hệ thống không phát hiện được rằng tài khoản vừa được sử dụng để mở cửa vật lý lúc 09:07 lại đăng nhập đám mây lúc 09:14 từ địa chỉ IP khác. Kết quả là một chuỗi truy cập trái phép có thể hoàn tất trước khi bất kỳ cảnh báo nào được kích hoạt.

Khi nhận diện trở thành lớp nền tảng chung

Mô hình identity fabric yêu cầu PACS, IAM và phân tích hành vi hoạt động như một lớp nền thống nhất. Badge HID Mobile Access được liên kết trực tiếp với Azure AD thông qua API federation, cho phép công cụ chính sách zero-trust kiểm tra ngữ cảnh liên tục: vị trí vật lý, hành vi di chuyển và rủi ro thiết bị. Khi nhân viên quét badge, sự kiện được đẩy ngay sang Okta để điều chỉnh mức MFA hoặc chặn truy cập đám mây nếu phát hiện bất thường.

Trong cấu trúc này, quản lý nhận diện không còn song song mà trở thành nguồn sự thật duy nhất. Mọi yêu cầu truy cập, dù từ cửa vật lý hay ứng dụng OT, đều phải qua công cụ chính sách chung. Việc thiếu liên kết giữa PACS và IAM lúc này không còn là vấn đề kỹ thuật mà là lỗ hổng có thể bị khai thác ngay lập tức bởi các công cụ tự động.

Đây là tình huống giả định.

Lãnh đạo doanh nghiệp Việt Nam cần nhận diện rõ: khi các hệ thống nhận diện vẫn bị chia cắt, rủi ro không nằm ở từng điểm yếu riêng lẻ mà nằm ở khoảng trống giữa chúng.