IEC 62443 คือชุดมาตรฐานสากลว่าด้วยความปลอดภัยของระบบควบคุมและระบบอัตโนมัติในงานอุตสาหกรรม (IACS ย่อจาก industrial automation and control systems) IACS ไม่ได้มีแค่อุปกรณ์ แต่รวมคน ฮาร์ดแวร์ ซอฟต์แวร์ และนโยบายที่ใช้เดินกระบวนการผลิต ชุดมาตรฐานนี้เริ่มจากคณะกรรมการ ISA99 ของ ISA (International Society of Automation สมาคมวิชาชีพด้านระบบอัตโนมัติ) และเผยแพร่โดย IEC (International Electrotechnical Commission องค์กรมาตรฐานสากลด้านไฟฟ้าและอิเล็กทรอนิกส์) จึงมักเขียนว่า ISA/IEC 62443 บทความนี้อธิบายโครงสร้างของชุดมาตรฐาน บทบาทของแต่ละฝ่าย โซนและช่องทางสื่อสาร (zones and conduits) และระดับความปลอดภัย (security level)
IEC 62443 ใช้ทำอะไร
ISA อธิบายว่าชุดมาตรฐานนี้กำหนดข้อกำหนดและกระบวนการสำหรับสร้างและรักษาความปลอดภัยทางอิเล็กทรอนิกส์ของ IACS โดยเชื่อมสองคู่เข้าด้วยกัน คือฝั่งปฏิบัติการ (operations) กับฝั่งไอที และเรื่อง process safety (ความปลอดภัยของกระบวนการผลิตต่อคนและสิ่งแวดล้อม) กับเรื่อง cybersecurity ใช้ได้ทุกที่ที่มี IACS เช่น โรงงานผลิตและโรงงานแปรรูป สาธารณูปโภคอย่างไฟฟ้า ก๊าซ และน้ำ ท่อส่ง และเริ่มใช้ในระบบอาคาร ระบบทางการแพทย์ และการขนส่งด้วย
ความต่างจากระบบไอทีในสำนักงานอยู่ที่สิ่งที่เสี่ยง white paper ของ ISA บอกว่า IACS ต้องรักษาความถูกต้อง (integrity) สมรรถนะ และความพร้อมใช้งาน เพราะถ้าการผลิตต่อเนื่องไม่ได้ ผลที่ตามมาอาจเป็นการระเบิด ไฟฟ้าดับ หรือยาช่วยชีวิตที่ผสมสูตรหรือขนาดยาผิด ข้อกำหนดของ 62443 จึงออกแบบมาไม่ให้ขัดขวางการเดินเครื่องอย่างปลอดภัย
62443 ใช้ควบคู่กับ ISO/IEC 27001 ได้ ซึ่งเป็นมาตรฐานของระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศ (ISMS) white paper ของ ISA ฉบับเดือนมิถุนายน 2025 ระบุว่า 62443 ไม่มีข้อกำหนดเรื่อง ISMS แต่ข้อกำหนดข้อแรกของ Part 2-1 ให้โปรแกรมความปลอดภัยของ IACS ต้องประสานกับ ISMS ที่องค์กรมีอยู่ ทั้งสองมาตรฐานจึงใช้เสริมกัน โดย 62443 เติมรายละเอียดเฉพาะของสภาพแวดล้อม OT (operational technology ระบบและอุปกรณ์ที่ตรวจวัดหรือควบคุมสิ่งทางกายภาพ)
ซีรีส์นี้แบ่งอย่างไร
IEC จัดส่วนต่าง ๆ ของชุดมาตรฐานเป็น 4 กลุ่ม:
- ทั่วไป (General, Part 1): แนวคิด คำศัพท์ และแบบจำลองที่ใช้ร่วมกันทั้งชุด รวมถึงข้อกำหนดพื้นฐาน 7 ข้อ (Part 1-1) ซึ่งอธิบายในหัวข้อระดับความปลอดภัยด้านล่าง
- นโยบายและขั้นตอน (Policies and procedures, Part 2): สิ่งที่คนและองค์กรต้องทำ ได้แก่ โปรแกรมความปลอดภัยของเจ้าของสินทรัพย์ (2-1) การจัดระดับการป้องกัน (2-2) การจัดการแพตช์ (2-3) และข้อกำหนดของผู้ให้บริการ (2-4)
- ระบบ (System, Part 3): ข้อกำหนดทางเทคนิคและการประเมินความเสี่ยงระดับทั้งระบบ ได้แก่ เทคโนโลยีด้านความปลอดภัย (3-1) การประเมินความเสี่ยงที่ใช้โซนและ conduit (3-2) และข้อกำหนดของระบบกับระดับความปลอดภัย (3-3)
- องค์ประกอบ (Component, Part 4): กระบวนการพัฒนาผลิตภัณฑ์อย่างปลอดภัย (4-1) และข้อกำหนดทางเทคนิคของแต่ละองค์ประกอบของระบบ (component) เช่น อุปกรณ์ควบคุม เครื่องคอมพิวเตอร์ อุปกรณ์เครือข่าย และซอฟต์แวร์ (4-2)
ไม่ใช่ทุกส่วนเป็นมาตรฐานเต็มรูปแบบ รายการของ ISA มีรายงานทางเทคนิค (technical report) ด้วย เช่น Part 2-2 และ 2-3 รายการเดียวกันระบุปีของฉบับไว้ เช่น Part 2-1 ฉบับปี 2024, Part 4-1 และ 4-2 ฉบับปี 2018 และ Part 3-3 ฉบับปี 2013 แต่ละส่วนปรับปรุงไม่พร้อมกัน จึงควรตรวจฉบับปัจจุบันที่หน้าของ ISA หรือร้านเอกสารของ IEC ก่อนอ้างอิงหรือสั่งซื้อ
ใครรับผิดชอบอะไร: บทบาทในมาตรฐาน
ชุดมาตรฐานแบ่งหน้าที่ตามบทบาท ISA ถือว่าความรับผิดชอบร่วมกันเป็นหลักการตั้งต้นของมาตรฐาน บทบาทไม่จำเป็นต้องตรงกับองค์กรหนึ่งองค์กร องค์กรหนึ่งอาจทำหลายบทบาท และบทบาทหนึ่งอาจแบ่งให้หลายองค์กรทำ คู่มือ ISASecure ระบุว่าแม้มอบงานให้ผู้อื่น ความรับผิดชอบสูงสุดต่อระบบควบคุมก็ยังอยู่กับเจ้าของสินทรัพย์
บทบาทหลักมีดังนี้:
- เจ้าของสินทรัพย์ (asset owner): เป็นผู้เดินระบบควบคุมและรับผิดชอบระบบนั้น เช่น เจ้าของโรงงาน Part 2-1 กำหนดข้อกำหนดของโปรแกรมความปลอดภัยของฝ่ายนี้
- ผู้ผลิต (product supplier): ผลิตและสนับสนุนผลิตภัณฑ์ฮาร์ดแวร์หรือซอฟต์แวร์ ทั้งระบบควบคุมและองค์ประกอบ ใช้ Part 4-1 เป็นกรอบการพัฒนา และสร้างความสามารถด้านความปลอดภัยตาม Part 3-3 และ 4-2
- ผู้รวมระบบ (system integrator หรือ integration service provider): ออกแบบ ติดตั้ง ตั้งค่า ทดสอบ เปิดใช้งาน และส่งมอบระบบในโรงงานหนึ่ง ๆ อาจช่วยแบ่งโซนและประเมินความเสี่ยงด้วย ใช้ Part 2-4 และ Part 3-2
- ผู้ให้บริการบำรุงรักษา (maintenance service provider): ดูแลระบบระหว่างใช้งาน ใช้ Part 2-4
สำหรับเจ้าของสินทรัพย์ การแบ่งบทบาทนี้เป็นฐานในการเขียนข้อกำหนดด้านความปลอดภัยลงในสัญญากับผู้ผลิตและผู้ให้บริการ white paper ของ ISA ระบุว่าเจ้าของสินทรัพย์อาจกำหนดให้มีใบรับรองจากหน่วยงานภายนอกตามส่วนที่เกี่ยวข้อง ทั้งสำหรับผู้ให้บริการและสำหรับการซื้อผลิตภัณฑ์
โซนและช่องทางสื่อสาร (zones and conduits)
Part 3-2 ให้แบ่งระบบที่กำลังพิจารณา (system under consideration) เป็นโซน (zone) และช่องทางสื่อสารระหว่างโซน (conduit) โซนคือกลุ่มสินทรัพย์ทั้งทางกายภาพและทางตรรกะ (logical เช่น ซอฟต์แวร์) ที่จัดกลุ่มตามความเสี่ยงหรือเกณฑ์อื่น เช่น ความสำคัญ หน้าที่ในการผลิต ที่ตั้ง สิทธิ์การเข้าถึงที่ต้องใช้ หรือองค์กรที่รับผิดชอบ ส่วน conduit คือกลุ่มช่องทางสื่อสารที่มีข้อกำหนดความปลอดภัยเหมือนกัน และเชื่อมโซนตั้งแต่สองโซนขึ้นไป จุดประสงค์คือให้สินทรัพย์ที่มีลักษณะด้านความปลอดภัยคล้ายกันอยู่ภายใต้ข้อกำหนดชุดเดียวกัน และจำกัดไม่ให้การโจมตีที่สำเร็จลุกลามไปไกล
Part 3-2 กำหนดหรือแนะนำให้แยกสินทรัพย์ดังนี้ ตามที่คู่มือของ ISA สรุปไว้:
- ต้องแยก (shall): สินทรัพย์ฝั่งธุรกิจออกจากสินทรัพย์ฝั่งระบบควบคุม และสินทรัพย์ของระบบ safety (ระบบที่ป้องกันอันตรายต่อคนและสิ่งแวดล้อม)
- ควรแยก (should): อุปกรณ์ที่เชื่อมต่อชั่วคราว อุปกรณ์ไร้สาย และอุปกรณ์ที่เชื่อมผ่านเครือข่ายภายนอก
การแบ่งโซนเป็นส่วนหนึ่งของการประเมินความเสี่ยงตาม Part 3-2 เริ่มจากระบุระบบที่จะพิจารณา ประเมินความเสี่ยงเบื้องต้น แล้วแบ่งเป็นโซนและ conduit ถ้าความเสี่ยงเบื้องต้นสูงกว่าที่ยอมรับได้ จึงประเมินอย่างละเอียดต่อ จากนั้นบันทึกข้อกำหนดด้านความปลอดภัย และให้เจ้าของสินทรัพย์อนุมัติ Part 3-2 ไม่กำหนดวิธีประเมินความเสี่ยงเฉพาะ เจ้าของสินทรัพย์ต้องเลือกวิธีที่สอดคล้องกับวิธีประเมินความเสี่ยงขององค์กร
บทความ Zero Trust กับระบบ OT: ปรับใช้อย่างไรให้โรงงานไม่สะดุด อธิบายไว้แล้วว่าโซนและ conduit ช่วยให้ตั้งค่าเริ่มต้นเป็นห้ามสื่อสารทั้งหมด แล้วเปิดเฉพาะที่อนุญาตได้อย่างไร บทความนี้จึงไม่อธิบายซ้ำ NIST SP 800-82 Rev. 3 มีแนวปฏิบัติที่เกี่ยวข้องอีกข้อ คือให้ตั้งกฎไฟร์วอลล์ให้อนุญาตการเชื่อมต่อเฉพาะระหว่างระดับ ชั้น หรือโซนที่อยู่ติดกัน และให้พิจารณาตั้งกฎขาออกจากเครือข่ายควบคุมให้เข้มเท่ากับกฎขาเข้า
ระดับความปลอดภัยและข้อกำหนดพื้นฐาน 7 ข้อ
SL (ระดับความปลอดภัย, security level) ตามนิยามของ ISA คือการวัดความมั่นใจว่าระบบ โซน หรือ conduit ไม่มีช่องโหว่และทำงานตามที่ตั้งใจ Part 3-3 อธิบายระดับ 1 ถึง 4 โดยดูจากวิธีการ ทรัพยากร ทักษะ และแรงจูงใจของผู้โจมตีที่ระดับนั้นต้องป้องกันให้ได้
ระดับ 1 ถึง 4 หมายถึงการป้องกันการละเมิดความปลอดภัย (violation) ดังนี้:
- SL 1: การละเมิดโดยไม่ตั้งใจหรือโดยบังเอิญ
- SL 2: การละเมิดโดยตั้งใจ ที่ใช้วิธีง่าย ๆ ทรัพยากรน้อย ทักษะทั่วไป และแรงจูงใจต่ำ
- SL 3: การละเมิดโดยตั้งใจ ที่ใช้วิธีซับซ้อน ทรัพยากรปานกลาง ทักษะเฉพาะด้านระบบควบคุมอุตสาหกรรม และแรงจูงใจปานกลาง
- SL 4: การละเมิดโดยตั้งใจ ที่ใช้วิธีซับซ้อน ทรัพยากรมาก ทักษะเฉพาะด้านระบบควบคุมอุตสาหกรรม และแรงจูงใจสูง
SL มี 3 ประเภทในมาตรฐาน ซึ่งมักถูกสับสนกัน:
- SL-T (target, ระดับเป้าหมาย): ระดับที่ต้องการสำหรับโซนหรือ conduit ในโรงงานหนึ่ง ๆ ได้จากการประเมินความเสี่ยง และบันทึกไว้ในเอกสารข้อกำหนดด้านความปลอดภัยไซเบอร์ (cybersecurity requirements specification) ใช้เลือกผลิตภัณฑ์และออกแบบมาตรการเพิ่มเติมตอนรวมระบบ
- SL-C (capability, ระดับความสามารถ): ระดับที่ระบบหรือองค์ประกอบทำได้เมื่อรวมระบบและตั้งค่าอย่างถูกต้อง โดยไม่ต้องใช้มาตรการชดเชยเพิ่มเติม
- SL-A (achieved, ระดับที่ทำได้จริง): ระดับความปลอดภัยจริงของโซนและ conduit ซึ่งวัดหลังเปิดใช้งานและใช้งานอยู่
ISASecure คือโครงการรับรองผลิตภัณฑ์ตาม ISA/IEC 62443 โดยหน่วยรับรองอิสระ ตัวอย่างใบรับรองมี 3 แบบ คือ SDLA (รับรองกระบวนการพัฒนาผลิตภัณฑ์ของผู้ผลิต ตาม Part 4-1) SSA (รับรองระบบ ตาม Part 3-3) และ CSA (รับรององค์ประกอบ ตาม Part 4-2) คู่มือ ISASecure ย้ำว่าใบรับรอง SSA และ CSA แสดงเพียงว่าผลิตภัณฑ์ถึง SL-C ระดับหนึ่งเท่านั้น เจ้าของสินทรัพย์ต้องเพิ่มนโยบาย กระบวนการ และบุคลากรที่มีทักษะ จึงจะได้ SL-A ตามที่ตั้งใจ
Part 3-3 จัดข้อกำหนดทางเทคนิคของระบบไว้ใต้ข้อกำหนดพื้นฐาน (foundational requirements) 7 ข้อ ได้แก่ การระบุและยืนยันตัวตน (identification and authentication control) การควบคุมการใช้งาน (use control) ความสมบูรณ์ของระบบ (system integrity) การรักษาความลับของข้อมูล (data confidentiality) การจำกัดการไหลของข้อมูล (restricted data flow) การตอบสนองต่อเหตุการณ์ทันเวลา (timely response to events) และความพร้อมใช้ของทรัพยากร (resource availability) IEC ระบุว่าทั้ง 7 ข้อเป็นรากฐานของ SL-C ในระดับระบบควบคุม
ตัวอย่างข้อกำหนดจริง: การเข้าถึงจากระยะไกล
ตัวอย่างที่จับต้องได้คือการเข้าถึงจากระยะไกล white paper ของ ISA (มิถุนายน 2025) ยกข้อกำหนด NET 3 (การเข้าถึงระยะไกลอย่างปลอดภัย) ของ Part 2-1 ซึ่งอยู่ในหมวดความปลอดภัยของเครือข่ายและการสื่อสาร เหตุผลคืออุปกรณ์ OT มักถูกบำรุงรักษาจากระยะไกลโดยผู้ให้บริการภายนอก จึงต้องควบคุมการเข้าถึงอย่างเข้มงวด เพื่อไม่ให้เกิดพื้นที่ที่ผู้โจมตีเข้าถึงได้ (attack surface) โดยไม่จำเป็น
ตาม white paper ฉบับนั้น ข้อกำหนด NET 3 ให้เจ้าของสินทรัพย์ทำ 3 อย่าง:
- อนุญาตเฉพาะแอปที่ได้รับอนุญาต: ยอมให้ใช้เฉพาะแอปสำหรับเข้าถึงระยะไกลที่ได้รับอนุญาต
- บันทึกการเชื่อมต่อ: บันทึกการเชื่อมต่อแบบโต้ตอบ (interactive คือมีคนสั่งงานผ่านการเชื่อมต่อ) ที่ได้รับอนุญาต โดยจดวัตถุประสงค์ สถานการณ์ที่ใช้ เทคโนโลยีเข้ารหัสและยืนยันตัวตน ระยะเวลา รวมถึงที่ตั้งและตัวตนของเครื่องฝั่งผู้เชื่อมต่อ
- ตัดการเชื่อมต่อเมื่อไม่มีการใช้งาน: ยุติการเข้าถึงระยะไกลหลังจากไม่มีการใช้งานช่วงหนึ่ง
ข้อผิดพลาดที่พบบ่อย
- ใช้ IEC 62443 เป็นแค่รายการตรวจของผลิตภัณฑ์: IACS รวมคนและขั้นตอนการทำงาน ไม่ใช่แค่เทคโนโลยี
- คิดว่าซื้อผลิตภัณฑ์ที่ผ่านการรับรองแล้วโรงงานจะได้ระดับนั้นทันที: ใบรับรองแสดง SL-C ของผลิตภัณฑ์ ส่วน SL-A ต้องมีนโยบาย กระบวนการ และบุคลากรของเจ้าของสินทรัพย์ด้วย
- สับสนระหว่าง SL-T, SL-C และ SL-A: เป้าหมาย ความสามารถของผลิตภัณฑ์ และผลที่ทำได้จริงเป็นคนละเรื่อง
- กำหนดระดับเดียวให้ทั้งโรงงาน: SL-T กำหนดต่อโซนและ conduit จากผลการประเมินความเสี่ยง
- ไม่แยกระบบธุรกิจออกจากระบบควบคุม หรือไม่แยกระบบ safety: Part 3-2 กำหนดให้ต้องแยกทั้งสองอย่าง
- คิดว่า 62443 แทนการบริหารความมั่นคงปลอดภัยขององค์กรได้: 62443 ไม่มีข้อกำหนดเรื่อง ISMS แต่ให้ประสานกับ ISMS ที่มีอยู่
- อ้างอิงฉบับเก่าโดยไม่ตรวจฉบับปัจจุบัน: แต่ละส่วนมีปีของฉบับต่างกัน เช่น Part 3-3 ในรายการของ ISA เป็นฉบับปี 2013
- ลืมว่าผู้รวมระบบและผู้ให้บริการบำรุงรักษาก็มีบทบาท: ถ้าไม่ระบุในสัญญา ความรับผิดชอบก็ยังอยู่กับเจ้าของสินทรัพย์
ขั้นแรกที่ทำได้ทันที
- ระบุว่าใครทำบทบาทไหน: เจ้าของสินทรัพย์ ผู้รวมระบบ ผู้ให้บริการบำรุงรักษา และผู้ผลิตของแต่ละระบบ รวมถึงกรณีที่องค์กรเดียวทำหลายบทบาท
- แบ่งโซนเริ่มจากกระบวนการที่สำคัญที่สุด: แยกระบบธุรกิจออกจากระบบควบคุม และแยกระบบ safety
- กำหนด SL-T ของแต่ละโซนจากการประเมินความเสี่ยง: บันทึกเหตุผลไว้ในเอกสารข้อกำหนดด้านความปลอดภัยไซเบอร์
- ใส่ข้อกำหนดของ 62443 ไว้ในขั้นตอนจัดซื้อ: ถามผู้ผลิตว่าพัฒนาตาม Part 4-1 หรือไม่ ผลิตภัณฑ์รองรับ SL-C ระดับใด และมีใบรับรองจากหน่วยงานภายนอกหรือไม่
- เชื่อมกับการบริหารความมั่นคงปลอดภัยที่มีอยู่: ถ้าองค์กรมี ISMS ตาม ISO/IEC 27001 ให้ประสานโปรแกรมความปลอดภัยของ OT เข้ากับ ISMS นั้น
- ปิดการเข้าถึงระยะไกลที่ไม่มีการควบคุม: ให้ผ่านช่องทางที่อนุญาต บันทึกไว้ และตัดเมื่อไม่ใช้งาน
- วางแผนการแพตช์สำหรับ OT: ดู Patch Management: ทำอย่างไรให้ทันและไม่ทำระบบล่ม และ Part 2-3
หากต้องการดูว่าการควบคุมและนโยบายด้านความปลอดภัยขององค์กรอยู่ระดับใด ลองใช้ แบบประเมินตนเอง
ขอบเขตและความถูกต้อง
บทความนี้เป็นการแนะนำ ใช้แทนตัวมาตรฐานไม่ได้ ตัวมาตรฐานเป็นเอกสารที่ต้องซื้อ และบทความนี้ไม่ได้อ่านเนื้อหาฉบับเต็มของทุกส่วน ข้อมูลมาจากหน้าชุดมาตรฐานของ ISA คู่มือ ISASecure Quick Start Guide white paper ของ ISA (มิถุนายน 2025) หน้าของ IEC ที่แสดงการจัดกลุ่ม 4 กลุ่ม ตัวอย่างเนื้อหาฟรี (preview) ของ IEC 62443-3-3:2013 และ NIST SP 800-82 Rev. 3 (กันยายน 2023) คู่มือ ISASecure เป็นเอกสารรุ่นเก่า (ชื่อไฟล์ระบุปี 2020) ที่สรุป Part 3-2 และ 3-3 จึงควรตรวจนิยามระดับความปลอดภัยกับฉบับปัจจุบันก่อนใช้อ้างอิงอย่างเป็นทางการ
แหล่งอ้างอิงและข้อมูลเพิ่มเติม
- ISA/IEC 62443 series of standards: รายการส่วนต่าง ๆ ปีของฉบับ และบทบาทของผู้เกี่ยวข้อง
- IEC: IEC 62443 series structure: การจัดกลุ่ม 4 กลุ่มและส่วนต่าง ๆ ของชุดมาตรฐาน
- ISASecure Quick Start Guide: An Overview of ISASecure Certification: บทบาท โซนและ conduit และระดับความปลอดภัย (PDF)
- ISAGCA: Applying ISO/IEC 27001, ISO/IEC 27002 and the ISA/IEC 62443 Series for OT Environments: ความสัมพันธ์กับ ISO/IEC 27001 และตัวอย่างข้อกำหนด NET 3 (PDF, มิถุนายน 2025)
- IEC 62443-3-3:2013 (IEC webstore): ขอบเขตของ Part 3-3 และข้อกำหนดพื้นฐาน 7 ข้อ
- NIST SP 800-82 Rev. 3: Guide to OT Security: แนวปฏิบัติด้านความปลอดภัย OT และภาคผนวกที่สรุปชุด 62443