Trả lời nhanh: Hệ thống điều khiển công nghiệp — SCADA, PLC, cảm biến dây chuyền — từng được bảo vệ bằng sự cô lập vật lý, nay bị phá vỡ bởi bảo trì từ xa, tích hợp dữ liệu sản xuất lên hệ thống quản trị và nhà cung cấp thiết bị kết nối Internet. Đánh giá an ninh OT cho nhà máy FDI vì vậy vừa là yêu cầu kỹ thuật, vừa chạm tới nghĩa vụ pháp lý về bảo vệ hệ thống thông tin theo cấp độ và an ninh mạng đối với cơ sở sản xuất quan trọng.
Rủi ro đặc thù của OT và khung pháp lý liên quan
Khác hệ thống IT, sự cố OT dừng dây chuyền, hỏng thiết bị và trong trường hợp xấu nhất gây mất an toàn con người và môi trường; thiết bị điều khiển có vòng đời hàng chục năm, thường không thể vá lỗi hoặc cài phần mềm bảo vệ như máy tính thông thường. Về pháp lý, hệ thống điều khiển nhà máy là một phần của hệ thống thông tin của doanh nghiệp: chủ quản phải xác định cấp độ an toàn và bảo vệ theo cấp độ theo Luật An toàn thông tin mạng 86/2015/QH13; nhà máy thuộc lĩnh vực thiết yếu hoặc hệ thống được xác định quan trọng có thể thuộc diện đánh giá, kiểm tra an ninh mạng theo Luật An ninh mạng 24/2018/QH14. Các khung kỹ thuật quốc tế như IEC 62443 cho an ninh hệ thống điều khiển công nghiệp là chuẩn tham chiếu thực hành tốt để thiết kế đánh giá — cần phân biệt chúng là tiêu chuẩn kỹ thuật tự nguyện, không phải văn bản pháp luật Việt Nam.
Phân tách IT/OT và nội dung một đợt đánh giá
Nguyên tắc kiến trúc trung tâm là phân đoạn: mạng điều khiển tách khỏi mạng văn phòng bằng vùng đệm công nghiệp, kết nối từ xa của nhà cung cấp thiết bị đi qua cổng kiểm soát có ghi nhật ký và phê duyệt theo phiên, thiết bị OT không phơi trực tiếp ra Internet. Một đợt đánh giá an ninh OT đầy đủ gồm: lập danh mục tài sản điều khiển và sơ đồ luồng dữ liệu; đánh giá phân đoạn mạng và các điểm kết nối IT/OT, truy cập từ xa; rà soát tài khoản mặc định, quản lý thay đổi chương trình PLC và sao lưu cấu hình điều khiển; và kiểm thử khả năng khôi phục vận hành thủ công khi hệ thống điều khiển ngừng. Kế hoạch ứng phó sự cố OT phải được viết riêng, tách khỏi kế hoạch IT, vì quyết định dừng dây chuyền để cô lập sự cố là quyết định sản xuất và an toàn, không phải quyết định của riêng bộ phận công nghệ thông tin.
Lộ trình cho nhà máy FDI
- Hoàn thành danh mục tài sản OT và sơ đồ kết nối IT/OT trong quý đầu tiên.
- Đóng mọi truy cập từ xa không kiểm soát của nhà cung cấp thiết bị vào cổng có phê duyệt.
- Đánh giá phân đoạn mạng và tài khoản đặc quyền trên hệ thống điều khiển.
- Diễn tập kịch bản mất hệ thống điều khiển: vận hành thủ công và khôi phục cấu hình.
Câu hỏi thường gặp
Rủi ro an ninh mạng với hệ thống OT, SCADA là gì?
Ba nhóm: tấn công qua kết nối IT/OT và truy cập từ xa của nhà cung cấp; thiết bị điều khiển lâu năm không vá được và dùng tài khoản mặc định; và mã độc từ mạng văn phòng lan xuống mạng điều khiển. Hậu quả của sự cố OT nặng hơn IT vì gắn với dừng sản xuất, hỏng thiết bị và an toàn con người, môi trường.
Phân tách mạng IT/OT thực hiện thế nào?
Bằng phân đoạn kiến trúc: mạng điều khiển tách riêng, giữa IT và OT đặt vùng đệm công nghiệp với luồng dữ liệu một chiều hoặc kiểm soát chặt theo nhu cầu; truy cập từ xa đi qua cổng có xác thực, phê duyệt theo phiên và ghi nhật ký; thiết bị OT không kết nối trực tiếp Internet. Phân tách phải được kiểm chứng bằng đánh giá thực tế, không chỉ trên sơ đồ.
Đánh giá an ninh OT theo tiêu chuẩn nào?
Về pháp lý, theo yêu cầu bảo vệ hệ thống thông tin theo cấp độ của pháp luật Việt Nam và yêu cầu an ninh mạng với hệ thống quan trọng. Về kỹ thuật, IEC 62443 là khung tham chiếu chuyên sâu cho an ninh hệ thống điều khiển công nghiệp được dùng phổ biến trong đánh giá — với tư cách tiêu chuẩn kỹ thuật quốc tế, kết hợp khung quản trị rủi ro của doanh nghiệp.
Kế hoạch ứng phó sự cố OT gồm những gì?
Quy trình phát hiện và leo thang riêng cho OT; thẩm quyền quyết định dừng dây chuyền để cô lập; phương án vận hành thủ công khi mất điều khiển tự động; sao lưu và khôi phục cấu hình PLC, SCADA; và đầu mối làm việc với cơ quan quản lý khi sự cố thuộc diện phải báo cáo. Kế hoạch phải được diễn tập trên bàn và tại hiện trường, không chỉ lưu trên giấy.
Bài viết đã được FLAW AI Legal Council kiểm tra chất lượng