ปัจจุบันโรงงานเชื่อมระบบ OT (Operational Technology ระบบที่ควบคุมเครื่องจักรและกระบวนการผลิต) เข้ากับเครือข่ายองค์กร และผู้รับเหมาก็เข้าถึงจากระยะไกลมากขึ้น แนวคิดที่ว่า "อยู่ในเครือข่ายแล้วปลอดภัย" จึงใช้ไม่ได้อีกต่อไป Zero Trust (แนวคิดที่ไม่เชื่อใจใครโดยอัตโนมัติ ต้องตรวจสอบทุกครั้ง) นำมาใช้กับ OT ได้ แต่ต้องปรับให้เหมาะสม เพราะ OT มีหน้าที่ปกป้องชีวิตคนและรักษาการผลิตให้เดินต่อไป ไม่ใช่แค่ปกป้องข้อมูล
ทำไม OT ต่างจาก IT และคัดลอก Zero Trust มาใช้ตรง ๆ ไม่ได้
- ต้องเดินระบบต่อเนื่องและปลอดภัยก่อน: การหยุดสายการผลิตหรือรบกวนกระบวนการควบคุมกระทบทั้งชีวิตคนและทรัพย์สิน
- อุปกรณ์เก่าที่ใช้งานนานหลายสิบปี: PLC (ตัวควบคุมเครื่องจักรอัตโนมัติ) และ HMI (หน้าจอที่ผู้ปฏิบัติงานใช้สั่งงานและดูสถานะเครื่องจักร) จำนวนมากใช้งานมาหลายสิบปี อัปเดตแพตช์ไม่ได้ หรือทำได้เฉพาะช่วงหยุดบำรุงรักษา
- โปรโตคอลที่ไม่มีการยืนยันตัวตน: โปรโตคอล (กติกาที่อุปกรณ์ใช้สื่อสารกัน) อุตสาหกรรมรุ่นเก่า เช่น Modbus ถูกออกแบบมาโดยไม่มีการยืนยันตัวตนและการเข้ารหัส
- ติดตั้ง agent บนอุปกรณ์ไม่ได้: อุปกรณ์ควบคุมส่วนใหญ่รัน agent (โปรแกรมเฝ้าระวังที่ติดตั้งบนเครื่อง) แบบที่ใช้กับคอมพิวเตอร์ทั่วไปไม่ได้
- ผู้ขายและผู้รับเหมาต้องเข้าถึงจากระยะไกล: ซึ่งเป็นเส้นทางที่ผู้โจมตีมักใช้
หลัก Zero Trust ที่ปรับใช้กับ OT ได้
- รู้ว่ามีอะไรอยู่ในเครือข่าย: ทำบัญชีรายการสินทรัพย์ (asset inventory) โดยสังเกตทราฟฟิกที่ไหลอยู่เฉย ๆ (passive) ก่อน แทนการสแกนเชิงรุกที่อาจทำให้อุปกรณ์เก่าค้าง
- แบ่งโซนและกำหนดช่องทางสื่อสาร (zones and conduits): แนวทางตามมาตรฐาน IEC 62443 กำหนดว่าโซน (กลุ่มระบบที่แบ่งไว้) ไหนคุยกับโซนไหนได้ ผ่านช่องทางสื่อสาร (conduit) ใด แล้วปิดทุกอย่างที่เหลือ (deny by default)
- ควบคุมการเข้าถึงระยะไกล: ให้ทุกคนเข้าผ่านจุดเข้าจุดเดียวที่ควบคุมได้ ใช้ MFA (การยืนยันตัวตนหลายขั้นตอน) จำกัดเวลาและสิทธิ์ตามงานแต่ละครั้ง และบันทึกเซสชัน
- สิทธิ์เท่าที่จำเป็น (least privilege) ตามบทบาท: วิศวกรควบคุม ผู้ปฏิบัติงาน และผู้รับเหมา ควรเข้าถึงได้เฉพาะสิ่งที่ต้องใช้
- เฝ้าระวังด้วยเครื่องมือที่เข้าใจ OT: เทียบกับพฤติกรรมปกติของกระบวนการผลิต เพื่อตรวจจับคำสั่งหรือการสื่อสารที่ผิดปกติ
- ใช้มาตรการทดแทนเมื่อแพตช์ไม่ได้: เช่น ตั้งอุปกรณ์เสี่ยงไว้หลังไฟร์วอลล์ภายใน และจำกัดการสื่อสารให้เหลือเท่าที่จำเป็น
ข้อควรระวังเมื่อใช้ Zero Trust กับ OT
- ห้ามให้มาตรการความปลอดภัยไซเบอร์กระทบความปลอดภัยของกระบวนการผลิต: ให้ทดสอบนอกสายการผลิต หรือในช่วงหยุดบำรุงรักษา
- ระวังการสแกนเชิงรุก: อุปกรณ์เก่าบางรุ่นตอบสนองผิดปกติหรือหยุดทำงานเมื่อถูกสแกน
- ระวังการใช้ MFA ในจุดที่ต้องตอบสนองเร็ว: จุดปฏิบัติงานที่ต้องเข้าถึงได้ทันทีในเหตุฉุกเฉิน ต้องออกแบบขั้นตอนเฉพาะ ไม่ใช้กฎเดียวกับพนักงานออฟฟิศ
- เปลี่ยนทีละโซน: ถ้าแบ่งส่วนเครือข่าย (segmentation) ทั้งโรงงานในครั้งเดียว อาจตัดการสื่อสารที่กระบวนการผลิตต้องใช้
เริ่มต้น Zero Trust ใน OT อย่างไร
- ทำบัญชีรายการสินทรัพย์แบบ passive: ให้รู้ว่ามีอุปกรณ์อะไรบ้าง และใครคุยกับใคร
- แบ่งโซนตามความสำคัญ: เริ่มจากแยก IT ออกจาก OT ให้ชัด แล้วค่อยแบ่งโซนย่อยภายใน OT
- ปิดช่องทางเข้าถึงระยะไกลที่ไม่ได้ควบคุม: ให้ทุกคนเข้าผ่านจุดเดียวที่มี MFA และบันทึกเซสชัน
- ติดตั้งระบบเฝ้าระวังแบบ passive: ให้เรียนรู้พฤติกรรมปกติก่อน แล้วค่อยตั้งกฎแจ้งเตือน
- ขยายตามความเสี่ยง: ทำทีละโซนในช่วงหยุดบำรุงรักษา และทบทวนผลทุกครั้ง
ขั้นแรกที่คุ้มที่สุด: คุมการเข้าถึงระยะไกล
ให้ตรวจสอบก่อนว่าใครเข้าถึงระบบ OT จากระยะไกลได้บ้าง และผ่านเส้นทางไหน จากนั้นรวมให้เหลือเส้นทางเดียวที่มี MFA และบันทึกเซสชัน ขั้นตอนนี้ให้ผลคุ้มค่าที่สุด และกระทบการผลิตน้อยที่สุด
ก่อนเปลี่ยนการแบ่งส่วนเครือข่ายในระบบ OT ควรซ้อมในห้องทดลองหรือ digital twin (แบบจำลองดิจิทัลของระบบจริง) ก่อน ดูภาพรวมของเครื่องมือจำลองได้ที่ Network & Cyber Security Simulator: ประเภทและการใช้งาน
หากต้องการดูสถาปัตยกรรม Zero Trust ในภาพรวมของ IT ดู Zero Trust Architecture: องค์ประกอบและแผนเริ่มต้น
หากต้องการเฝ้าดูเครือข่ายแบบ passive โดยไม่ต้องลงโปรแกรมบนอุปกรณ์ ดู NDR (Network Detection and Response) คืออะไร ซึ่งเป็นระบบตรวจจับและตอบสนองภัยคุกคามจากทราฟฟิกในเครือข่าย
อยากรู้ภาพรวมของมาตรฐาน IEC 62443 ที่บทความนี้อ้างถึง ทั้งโครงสร้าง บทบาท และระดับความปลอดภัย อ่านต่อได้ที่ IEC 62443 สำหรับมือใหม่: ความปลอดภัยระบบควบคุมอุตสาหกรรม
เมื่อแพตช์อุปกรณ์ OT ไม่ได้ ต้องใช้มาตรการทดแทน ดูหลักการวางแผนแพตช์และการจัดกลุ่มสินทรัพย์ได้ใน Patch Management: ทำอย่างไรให้ทันและไม่ทำระบบล่ม
แหล่งอ้างอิงและข้อมูลเพิ่มเติม
- ISA/IEC 62443 series of standards: มาตรฐานความปลอดภัยไซเบอร์ของระบบควบคุมอุตสาหกรรม
- NIST SP 800-82 Rev. 3: Guide to OT Security: แนวทางความปลอดภัยของระบบ OT
- NIST SP 800-207: Zero Trust Architecture: เอกสารสถาปัตยกรรม Zero Trust
- CISA: Industrial Control Systems: ข้อมูลและประกาศเตือนสำหรับระบบควบคุมอุตสาหกรรม