ความปลอดภัยของสิ่งอำนวยความสะดวกอุตสาหกรรม IoT: การปกป้องโครงสร้างพื้นฐานที่เชื่อมต่อในภาคเอเชียตะวันออกเฉียงใต้

ความปลอดภัย IoT สำหรับโรงงาน: ปกป้องโครงสร้างพื้นฐานที่เชื่อมต่อในเอเชียตะวันออกเฉียงใต้

อุปกรณ์และเซ็นเซอร์ที่เชื่อมต่อกันกำลังเปลี่ยนแปลงอาคารและโรงงานอุตสาหกรรมทั่วเอเชียตะวันออกเฉียงใต้ ระบบตรวจติดตามพลังงาน อุปกรณ์ควบคุมอาคารอัจฉริยะ และเซ็นเซอร์สำหรับการบำรุงรักษาเชิงคาดการณ์ให้ข้อมูลเชิงลึกแบบเรียลไทม์ที่ช่วยยกระดับการดำเนินงาน อย่างไรก็ตาม การเชื่อมต่อนี้นำมาซึ่งความท้าทายด้านความมั่นคงปลอดภัยไซเบอร์ที่มีลักษณะเฉพาะในภูมิภาคอาเซียน ได้แก่ เครือข่ายอุตสาหกรรมที่ใช้งานมานาน ผู้ก่อภัยคุกคามที่พัฒนาอย่างต่อเนื่อง และข้อกำหนดที่แตกต่างกันใน 5 ประเทศ

ผู้ดำเนินงานศูนย์ข้อมูลในสิงคโปร์ โรงงานผลิตในประเทศไทย และอาคารราชการในเวียดนาม เผชิญกับลักษณะภัยคุกคามและข้อกำหนดในการปฏิบัติตามกฎระเบียบที่แตกต่างกันอย่างมาก บทความนี้อธิบายแนวทางปกป้องโครงสร้างพื้นฐาน IoT ทั่วอาเซียน พร้อมรักษาความต่อเนื่องในการดำเนินงานและการปฏิบัติตามข้อกำหนด

ภาพรวมภัยคุกคามด้านความปลอดภัย IoT ในเอเชียตะวันออกเฉียงใต้

ระบบ IoT อุตสาหกรรมในอาเซียนเผชิญภัยคุกคามหลักสามประเภท:

ภัยคุกคามจากภายนอก: แรนซัมแวร์ที่มุ่งโจมตีระบบตรวจติดตามพลังงาน การขโมยข้อมูลรับรองการเข้าสู่ระบบของบุคลากรประจำอาคารหรือโรงงาน และการสแกนเครือข่ายเพื่อค้นหาช่องโหว่ ผู้ก่อภัยคุกคามมุ่งโจมตี IoT อุตสาหกรรมมากขึ้น เนื่องจากระบบเหล่านี้มักขาดการรักษาความปลอดภัยระดับองค์กร อาคารหรือโรงงานที่ตรวจติดตามคุณภาพไฟฟ้าและการใช้พลังงานในหลายสถานที่จึงเป็นเป้าหมายที่น่าสนใจสำหรับผู้โจมตีที่ต้องการเข้าถึงระบบเทคโนโลยีปฏิบัติการ

ภัยคุกคามจากภายใน: บุคลากรประจำอาคารหรือโรงงานที่เข้าถึงแดชบอร์ด IoT ได้ ผู้รับเหมาที่ติดตั้งเซ็นเซอร์ และผู้ให้บริการเชื่อมต่อระบบจากภายนอก ล้วนเป็นแหล่งความเสี่ยงจากบุคคลภายใน ในการติดตั้งระบบหลายประเทศ ได้แก่ สิงคโปร์ ประเทศไทย อินโดนีเซีย มาเลเซีย และเวียดนาม การจัดการสิทธิ์เข้าถึงข้ามเขตเวลาและขอบเขตองค์กรทำให้ความเสี่ยงนี้ซับซ้อนยิ่งขึ้น

การกำกับดูแลระดับภูมิภาค: กำหนดข้อกำหนดด้านความปลอดภัยและการจัดการข้อมูลสำหรับแต่ละประเทศและสถานที่ หน้าที่ที่เกี่ยวข้องขึ้นอยู่กับองค์กร ภาคธุรกิจ การจัดประเภทระบบ และข้อมูลที่ใช้งาน การปฏิบัติตามข้อกำหนดของประเทศหนึ่งไม่ได้ทำให้สอดคล้องกับข้อกำหนดของประเทศอื่นโดยอัตโนมัติ

ช่องโหว่ที่พบบ่อยในระบบ IoT อุตสาหกรรม

จากประสบการณ์ 15+ ปีในการสนับสนุนโครงสร้างพื้นฐานที่สำคัญ EcoXplore พบช่องโหว่ที่เกิดขึ้นซ้ำ ได้แก่:

• ข้อมูลรับรองเริ่มต้น: อุปกรณ์ IoT มักมาพร้อมชื่อผู้ใช้และรหัสผ่านที่ตั้งมาจากโรงงาน ทีมอาคารและโรงงานที่มุ่งให้เซ็นเซอร์เริ่มทำงานได้มักข้ามขั้นตอนเปลี่ยนข้อมูลรับรองเหล่านี้ จึงเปิดช่องทางให้ผู้โจมตีเข้าถึงระบบ
• การสื่อสารที่ไม่เข้ารหัส: โปรโตคอลอุตสาหกรรมรุ่นเดิม เช่น Modbus และ BACnet รุ่นเก่า ส่งข้อมูลโดยไม่เข้ารหัส ผู้ดักฟังข้อมูลบนเครือข่ายจึงอาจเห็นข้อมูลการใช้พลังงาน สถานะอุปกรณ์ และผังอาคารหรือโรงงาน
• การขาดการยืนยันตัวตน: เซ็นเซอร์ IoT จำนวนมากเชื่อมต่อโดยไม่มีการยืนยันตัวตนซึ่งกันและกันระหว่างอุปกรณ์กับระบบตรวจติดตาม ผู้โจมตีจึงอาจแทรกข้อมูลเซ็นเซอร์ปลอม ทำให้ผู้จัดการอาคารและโรงงานตัดสินใจในการดำเนินงานผิดพลาด
• การขาดการอัปเดต: อุปกรณ์อุตสาหกรรมมักทำงานเป็นเวลา 10+ ปีโดยไม่ได้ติดตั้งแพตช์เฟิร์มแวร์ ช่องโหว่ที่ค้นพบในปัจจุบันจึงอาจไม่ได้รับการแก้ไขเป็นเวลาหลายปี ทำให้ระบบมีช่องทางถูกโจมตีอย่างต่อเนื่อง
• การตรวจติดตามไม่เพียงพอ: ทีมอาคารและโรงงานมองไม่เห็นพฤติกรรมที่ผิดปกติของอุปกรณ์ เซ็นเซอร์ที่ถูกโจมตีและส่งค่ากำลังไฟฟ้าปลอมอาจไม่ถูกตรวจพบจนกว่าใบแจ้งค่าไฟจะมาถึง

IEC 62443: กรอบความมั่นคงปลอดภัยไซเบอร์สำหรับอุตสาหกรรม

IEC 62443 ครอบคลุมความมั่นคงปลอดภัยไซเบอร์ตลอดวงจรชีวิตของระบบอัตโนมัติและระบบควบคุมทางอุตสาหกรรม โดยใช้การประเมินความเสี่ยง การแบ่งเขตความปลอดภัย และการควบคุมการเชื่อมต่อระหว่างเขต เพื่อกำหนดข้อกำหนดที่เหมาะสมสำหรับการติดตั้งแต่ละแห่ง IEC

SL 1: รับมือกับการละเมิดโดยไม่ตั้งใจหรือโดยบังเอิญ โดยกำหนดมาตรการควบคุมที่จำเป็นจากข้อกำหนด IEC 62443 ที่เกี่ยวข้องและการประเมินความเสี่ยงของระบบที่ติดตั้ง

SL 2: รับมือกับการโจมตีโดยเจตนาที่ใช้วิธีการอย่างง่าย มีทรัพยากรจำกัด และใช้ทักษะทั่วไป เป็นระดับข้อกำหนดด้านความปลอดภัย ไม่ใช่ประเภทมาตรฐานที่กำหนดไว้สำหรับอาคารชนิดใดชนิดหนึ่ง

SL 3: รับมือกับการโจมตีโดยเจตนาที่ใช้วิธีการซับซ้อน มีทรัพยากรระดับปานกลาง และใช้ทักษะเฉพาะด้านระบบอัตโนมัติและระบบควบคุมทางอุตสาหกรรม ระดับเป้าหมายต้องเป็นไปตามการประเมินภัยคุกคามและความเสี่ยงของโครงการ

SL 4: รับมือกับการโจมตีโดยเจตนาที่ใช้วิธีการซับซ้อน มีทรัพยากรมาก ใช้ทักษะเฉพาะทางด้านระบบควบคุม และมีแรงจูงใจสูง ต้องมีหลักฐานแสดงว่าเป็นไปตามข้อกำหนดที่เกี่ยวข้อง คำอธิบายผลิตภัณฑ์เพียงอย่างเดียวไม่เพียงพอที่จะยืนยันความสอดคล้อง

สถาปัตยกรรมระบบตรวจติดตามที่ปลอดภัยของ EcoXplore

กำหนดข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ระหว่างการออกแบบระบบและการจัดซื้อ ตรวจสอบความสามารถของอุปกรณ์แต่ละรุ่น สถาปัตยกรรมเครือข่าย การตั้งค่า และหน้าที่รับผิดชอบในการบำรุงรักษาให้สอดคล้องกับข้อกำหนดเหล่านั้น ก่อนระบุระดับความปลอดภัยหรือกล่าวอ้างการรับรอง

ความปลอดภัยระดับอุปกรณ์: ตรวจสอบความสามารถในการยืนยันตัวตน การเข้ารหัส การตรวจสอบความสมบูรณ์ของเฟิร์มแวร์ และการรองรับการอัปเดตของรุ่นที่เลือก เปลี่ยนข้อมูลรับรองเริ่มต้นและปิดบริการที่ไม่ได้ใช้เมื่ออุปกรณ์รองรับ อุปกรณ์ภาคสนามรุ่นเดิมอาจต้องใช้มาตรการควบคุมชดเชยผ่านเกตเวย์ที่ปลอดภัยและการแบ่งส่วนเครือข่าย

ความปลอดภัยระดับเครือข่าย: แยกระบบเทคโนโลยีปฏิบัติการออกจากเครือข่ายสำนักงานและเครือข่ายสาธารณะ และอนุญาตเฉพาะการรับส่งข้อมูลที่จำเป็นระหว่างเขต การเข้าถึงจากระยะไกลควรใช้การเชื่อมต่อที่ปลอดภัยและได้รับอนุมัติ บัญชีผู้ใช้รายบุคคล และการอนุญาตแบบจำกัดระยะเวลาที่เหมาะกับความต้องการในการดำเนินงานของสถานที่

ความปลอดภัยระดับแอปพลิเคชัน: กำหนดบทบาทผู้ใช้ สิทธิ์เข้าถึง การบันทึกเหตุการณ์ และข้อกำหนดการเก็บรักษาข้อมูลสำหรับแพลตฟอร์มที่เลือก ตรวจสอบฟีเจอร์ที่รองรับและตั้งค่าให้เหมาะกับขั้นตอนการดำเนินงานของอาคารหรือโรงงาน รวมถึงหน้าที่ด้านการคุ้มครองข้อมูลที่เกี่ยวข้อง

การตอบสนองต่อเหตุการณ์: ตกลงผู้รับผิดชอบการแจ้งเตือน ผู้ติดต่อเพื่อยกระดับเหตุการณ์ ช่วงเวลาการตอบสนอง และขั้นตอนการกู้คืนก่อนทดสอบและส่งมอบระบบ บริการตรวจติดตามความปลอดภัยอย่างต่อเนื่องหรือบริการจัดการการตอบสนองต้องระบุไว้อย่างชัดเจนในข้อตกลงการให้บริการ พร้อมหน้าที่รับผิดชอบและเป้าหมายการตอบสนองที่ชัดเจน

แนวปฏิบัติที่ดีที่สุดเพื่อรักษาความปลอดภัยในการติดตั้ง IoT อุตสาหกรรม

แนวปฏิบัติที่ 1: การแบ่งส่วนเครือข่าย แยกอุปกรณ์ IoT ไว้ในเครือข่ายเฉพาะที่แยกจากระบบ IT ของสำนักงานและการเข้าถึงอินเทอร์เน็ต โรงงานที่ตรวจติดตามคุณภาพไฟฟ้าไม่ควรอนุญาตให้เซ็นเซอร์พลังงานเข้าถึงอีเมลพนักงานหรือเซิร์ฟเวอร์ไฟล์ วิธีนี้ช่วยจำกัดการเคลื่อนย้ายการโจมตีไปยังระบบอื่นหากผู้โจมตีเข้าควบคุมอุปกรณ์หนึ่งเครื่องได้

แนวปฏิบัติที่ 2: การยืนยันตัวตนที่รัดกุม กำหนดให้ใช้การยืนยันตัวตนหลายปัจจัยทุกครั้งที่เข้าถึงแดชบอร์ดตรวจติดตามพลังงานและระบบควบคุมอาคารหรือโรงงาน การใช้รหัสผ่านเพียงอย่างเดียวไม่เพียงพอ ผู้จัดการอาคารและโรงงานต้องใช้โทเคนฮาร์ดแวร์หรือแอปยืนยันตัวตนเมื่อเข้าถึงระบบจากภายนอกอาคาร

แนวปฏิบัติที่ 3: เข้ารหัสทุกการสื่อสาร การสื่อสารทั้งหมดจากเซ็นเซอร์ไปยังระบบตรวจติดตามต้องเข้ารหัส เพื่อป้องกันผู้โจมตีดักฟังรูปแบบการใช้พลังงานหรือข้อมูลผังอาคาร ที่พิพิธภัณฑสถานแห่งชาติสิงคโปร์ ระบบตรวจติดตามที่เข้ารหัสช่วยปกป้องระบบอาคารที่มีความอ่อนไหว พร้อมให้ข้อมูลเชิงลึกสำหรับการดำเนินงานแก่ผู้มีสิทธิ์ใช้งาน

การอัปเดตเฟิร์มแวร์: จัดทำและดูแลทะเบียนอุปกรณ์และเฟิร์มแวร์ ติดตามคำแนะนำจากผู้ผลิต และประเมินความเข้ากันได้ของแพตช์กับความเสี่ยงต่อการดำเนินงาน ทดสอบการอัปเดตเมื่อทำได้ เก็บข้อมูลสำรองสำหรับการกู้คืน และกำหนดการติดตั้งภายในช่วงเวลาบำรุงรักษาที่ได้รับอนุมัติ NIST

แนวปฏิบัติที่ 5: การตรวจติดตามและแจ้งเตือน ใช้การตรวจจับความผิดปกติอย่างต่อเนื่อง แจ้งเตือนเมื่อพบค่าเซ็นเซอร์ที่เป็นไปไม่ได้ เช่น การใช้พลังงานเพิ่มขึ้นโดยไม่มีการทำงานของอุปกรณ์เพิ่มตาม ความพยายามเข้าถึงโดยไม่ได้รับอนุญาต และรูปแบบการสื่อสารที่ผิดปกติ ที่ Resorts World Sentosa การตรวจจับความผิดปกติแบบเรียลไทม์พบเซ็นเซอร์อุณหภูมิน้ำที่ขัดข้องก่อนที่จะส่งผลต่อการดำเนินงาน

การประเมินผู้จำหน่าย: ตรวจสอบเอกสารด้านความปลอดภัยของผลิตภัณฑ์ การสนับสนุนการอัปเดต การรายงานช่องโหว่ และความรับผิดชอบของผู้จำหน่ายตลอดวงจรชีวิตของระบบ ใบรับรองการจัดการคุณภาพ คุณวุฒิด้านความปลอดภัยในสถานที่ทำงาน และการขึ้นทะเบียนผู้รับเหมามีขอบเขตที่แตกต่างกัน และไม่ใช่หลักฐานยืนยันการรับรองความมั่นคงปลอดภัยไซเบอร์

การปฏิบัติตามข้อกำหนดในประเทศอาเซียน

แต่ละประเทศในเอเชียตะวันออกเฉียงใต้มีข้อกำหนดด้านกฎระเบียบสำหรับ IoT อุตสาหกรรมที่แตกต่างกัน:

สิงคโปร์: กฎหมาย Cybersecurity Act 2018 และฉบับแก้ไขกำหนดหน้าที่สำหรับระบบและหน่วยงานที่ได้รับการกำหนดภายใต้กรอบกำกับดูแลของ CSA ให้ยืนยันสถานะของสถานที่และประมวลข้อปฏิบัติ คำสั่ง และหน้าที่รายงานที่เกี่ยวข้องกับผู้รับผิดชอบ กฎหมายนี้ไม่ได้กำหนดระดับความปลอดภัย IEC 62443 แบบเดียวกันสำหรับทุกอาคาร CSA

ไทย: กฎหมายการรักษาความมั่นคงปลอดภัยไซเบอร์กำหนดให้ผู้ดำเนินงานโครงสร้างพื้นฐานที่สำคัญใช้มาตรการควบคุมความปลอดภัยขั้นพื้นฐาน และบางภาคธุรกิจอาจมีข้อกำหนดให้จัดเก็บข้อมูลภายในประเทศ

ข้อมูลข้ามพรมแดน: ระบุว่าระบบเก็บข้อมูลใด จัดเก็บที่ใด ใครมีสิทธิ์เข้าถึง และมีการส่งข้อมูลข้ามประเทศหรือไม่ ประเมินข้อกำหนดในท้องถิ่นด้านความเป็นส่วนตัว ความมั่นคงปลอดภัยไซเบอร์ และข้อกำหนดเฉพาะภาคธุรกิจ ก่อนเลือกรูปแบบการโฮสต์ การเก็บรักษาข้อมูล และการสนับสนุนระบบ

การกำกับดูแลในภูมิภาค: กำหนดข้อกำหนดด้านความปลอดภัยและการจัดการข้อมูลสำหรับแต่ละประเทศและแต่ละสถานที่ หน้าที่ที่เกี่ยวข้องขึ้นอยู่กับองค์กร ภาคธุรกิจ สถานะการกำหนดระบบ และข้อมูลที่เกี่ยวข้อง การปฏิบัติตามข้อกำหนดของเขตอำนาจหนึ่งไม่ได้หมายความว่าจะเป็นไปตามข้อกำหนดของเขตอำนาจอื่นโดยอัตโนมัติ

เริ่มต้นติดตั้ง IoT อย่างปลอดภัย

การปกป้องอาคารและโรงงานอุตสาหกรรมจากการโจมตีผ่าน IoT ต้องอาศัยการวางแผน วินัยในการปฏิบัติงาน และความร่วมมือกับผู้จำหน่าย EcoXplore ออกแบบโซลูชันตรวจติดตามที่ปลอดภัยสำหรับศูนย์ข้อมูล โรงงานผลิต อาคารราชการ และสถาบันการศึกษาในสิงคโปร์ ประเทศไทย อินโดนีเซีย มาเลเซีย และเวียดนาม

เริ่มต้นด้วยการประเมินความปลอดภัย: สำรวจโซลูชัน IoT ที่ปลอดภัยของ EcoXplore หรือเรียนรู้วิธีที่เราผสานความปลอดภัยเข้ากับระบบอาคารอัจฉริยะ ติดต่อผู้เชี่ยวชาญด้านความปลอดภัย IoT ของเรา เพื่อรับการประเมินระดับความปลอดภัยของอาคารหรือโรงงานและข้อกำหนดในอาเซียน โดยรักษาข้อมูลการประเมินเป็นความลับ