Giới thiệu: Kết nối đang mở rộng bề mặt tấn công công nghiệp
Tự động hóa công nghiệp đang bước vào giai đoạn mới, trong đó trí tuệ nhân tạo, kết nối đám mây, robot và các hệ thống điều khiển dựa trên dữ liệu ngày càng liên kết với nhau. Những công nghệ này giúp nhà sản xuất cải thiện khả năng giám sát sản xuất, tối ưu hóa hiệu suất thiết bị và ứng phó với các yêu cầu vận hành luôn thay đổi. Tuy nhiên, chúng cũng tạo ra những thách thức mới về an ninh mạng trong các hệ thống công nghệ thông tin (IT), công nghệ vận hành (OT), hệ thống kỹ thuật và các điểm truy cập của bên thứ ba.
AI tiên tiến đang làm thay đổi bối cảnh mối đe dọa khi giúp kẻ tấn công đẩy nhanh quá trình nghiên cứu lỗ hổng, phát triển mã khai thác và lập kế hoạch cho các cuộc tấn công tinh vi hơn. Mối lo ngại đối với các nhà sản xuất không chỉ dừng ở việc dữ liệu bị đánh cắp hay mạng văn phòng bị xâm nhập. Một sự cố mạng có thể làm gián đoạn sản xuất, ảnh hưởng đến chất lượng sản phẩm, làm lộ sở hữu trí tuệ hoặc tạo ra các điều kiện vận hành không an toàn.
Từ góc độ kỹ thuật công nghiệp, thách thức thực sự không chỉ là ngăn chặn truy cập trái phép. Đó là duy trì quyền kiểm soát toàn bộ môi trường sản xuất khi xảy ra sự cố bảo mật. Vì vậy, an ninh mạng phải được xem là một phần của khả năng chống chịu trong vận hành, với các chiến lược bảo vệ được thiết kế dựa trên cách thiết bị hoạt động, các quy trình phụ thuộc lẫn nhau và yêu cầu an toàn.
AI tiên tiến đang làm thay đổi an ninh mạng công nghiệp như thế nào
Các cuộc tấn công có hỗ trợ AI có thể rút ngắn khoảng thời gian từ lúc phát hiện lỗ hổng đến khi khai thác lỗ hổng đó. Các đội bảo mật dựa vào điều tra thủ công, danh mục tài sản rời rạc và quy trình phê duyệt kéo dài có thể khó ứng phó trước khi sự cố xâm nhập ảnh hưởng đến các hệ thống sản xuất.
Rủi ro trở nên phức tạp hơn khi các kết nối bảo trì từ xa, máy trạm kỹ thuật, mạng Ethernet công nghiệp và ứng dụng doanh nghiệp tương tác với các hệ thống điều khiển. Một điểm yếu ở khu vực này có thể tạo lối xâm nhập sang khu vực khác, đặc biệt khi phân đoạn mạng và các hạn chế truy cập chưa đủ chặt chẽ.
Việc sử dụng ngày càng phổ biến bản sao số, robot tự hành, thị giác máy và tối ưu hóa quy trình có hỗ trợ AI tạo thêm các giao diện cần được bảo vệ. Những hệ thống này có thể phụ thuộc vào các dịch vụ phần mềm, nguồn dữ liệu bên ngoài, bộ điều khiển chuyên dụng và các kết nối do nhà cung cấp quản lý.
Một điểm cần đặc biệt lưu ý: không thể bảo vệ hiệu quả nhà máy kết nối bằng cách coi từng tài sản là một điểm cuối IT riêng lẻ. Chẳng hạn, một máy trạm kỹ thuật bị xâm nhập có thể gây ra mức độ rủi ro vận hành khác với một thiết bị đầu cuối giám sát bị xâm nhập, tùy thuộc vào quyền truy cập và mối liên kết của thiết bị đó với bộ điều khiển, hệ thống an toàn và thiết bị sản xuất. Các quyết định bảo mật phải phản ánh những khác biệt này.
Khoảng trống trong ứng phó vận hành: Phát hiện chỉ là bước khởi đầu
Nhiều nhà sản xuất đã đầu tư vào tường lửa, giải pháp bảo vệ thiết bị đầu cuối, hệ thống phát hiện xâm nhập và giám sát an ninh. Tuy nhiên, việc có những công cụ này không đảm bảo tổ chức có thể ứng phó sự cố hiệu quả.
Trong môi trường công nghiệp, trách nhiệm thường được phân chia giữa các nhóm an ninh mạng, kỹ sư tự động hóa, nhân viên vận hành nhà máy, nhân viên bảo trì, quản lý kỹ thuật và nhà cung cấp dịch vụ bên ngoài. Mỗi nhóm có thể hiểu một phần của hệ thống, nhưng việc không phân định rõ quyền ra quyết định có thể làm chậm quá trình cô lập sự cố và khôi phục.
Trong môi trường IT thông thường, việc cô lập một thiết bị đầu cuối bị xâm nhập có thể tương đối đơn giản. Tại một cơ sở sản xuất, ngắt kết nối thiết bị có thể làm gián đoạn vòng điều khiển, vô hiệu hóa khả năng giám sát hoặc ảnh hưởng đến một quy trình phối hợp. Dừng hoạt động ngay lập tức không phải lúc nào cũng là biện pháp an toàn nhất, nhưng để hệ thống bị xâm nhập tiếp tục kết nối cũng không hẳn là chấp nhận được.
Hành động phù hợp phụ thuộc vào quy trình, kiến trúc hệ thống, các cơ chế dự phòng hiện có và hậu quả của việc mất quyền kiểm soát hoặc khả năng giám sát. Các nhà sản xuất cần có quy trình ứng phó sự cố phân biệt rõ giữa việc cô lập hệ thống IT, cô lập hệ thống OT, dừng sản xuất có kiểm soát và khôi phục về trạng thái vận hành đã được xác minh.
Năng lực nhân sự là một thách thức khác. Deloitte đã nhấn mạnh rằng ngành sản xuất cần giải quyết tình trạng thiếu hụt nhân lực đáng kể, với khoảng 2,3 triệu vị trí việc làm trong ngành sản xuất dự kiến cần tuyển trong giai đoạn 2025-2030. Vì vậy, việc xây dựng các quy trình giúp nhân sự hiện có đưa ra quyết định sáng suốt mà không phụ thuộc hoàn toàn vào một nhóm nhỏ chuyên gia an ninh mạng ngày càng trở nên quan trọng.
Năm bước thiết thực để bảo vệ nhà máy kết nối
1. Thiết lập cơ chế quản trị thống nhất giữa IT, OT và bộ phận kỹ thuật
Công tác quản trị an ninh mạng cần kết nối các chính sách bảo mật cấp doanh nghiệp với những yêu cầu thực tế trong hoạt động nhà máy. Cần có một nhóm liên chức năng thường trực, gồm chuyên gia an ninh mạng, kỹ sư tự động hóa, quản lý vận hành, nhân sự phụ trách an toàn và những người ra quyết định phù hợp trong doanh nghiệp.
Cần ghi chép rõ trách nhiệm trước khi sự cố xảy ra. Mỗi kịch bản ứng phó cần xác định ai có quyền thu hồi quyền truy cập từ xa, cô lập một phân đoạn mạng, vô hiệu hóa một dịch vụ, phê duyệt thay đổi liên quan đến bộ điều khiển hoặc cho phép gián đoạn sản xuất.
Các hành động được phê duyệt trước có thể giảm chậm trễ, nhưng phải nằm trong những giới hạn kỹ thuật và an toàn đã xác định. Những thay đổi có thể ảnh hưởng đến chức năng thiết bị đo lường an toàn, vòng điều khiển quan trọng hoặc độ ổn định của quy trình cần tuân thủ các quy trình rà soát kỹ thuật và phê duyệt phù hợp.
Theo quan điểm của tôi, quản trị chỉ hiệu quả khi tạo ra các quyết định có thể thực thi. Một chính sách yêu cầu báo cáo cấp trên nhưng không xác định rõ người có quyền quyết định, thời hạn phản hồi và các phương án hành động an toàn sẽ không giúp ích nhiều trong một sự cố diễn biến nhanh.
2. Ưu tiên tài sản theo hậu quả đối với hoạt động vận hành
Kiểm kê đầy đủ tài sản là điểm khởi đầu, không phải mục tiêu cuối cùng. Các nhà sản xuất cũng cần hiểu cách các tài sản tương tác với nhau và điều gì xảy ra khi một thành phần cụ thể không khả dụng hoặc mất tính toàn vẹn.
Việc đánh giá mức độ ưu tiên cần xem xét các bộ điều khiển logic khả trình (PLCs), máy chủ hệ thống điều khiển phân tán (DCS), bộ điều khiển an toàn, máy trạm kỹ thuật, giao diện người-máy (HMIs), hạ tầng mạng công nghiệp, hệ thống lưu trữ dữ liệu lịch sử và cổng truy cập từ xa. Mức độ ưu tiên thực tế sẽ khác nhau tùy theo cơ sở và quy trình.
Mức độ quan trọng của tài sản cần được đánh giá dựa trên một số yếu tố:
- Tác động tiềm tàng đến an toàn nhân sự và bảo vệ môi trường.
- Hậu quả của việc mất khả năng kiểm soát quy trình hoặc mất khả năng quan sát hoạt động.
- Khả năng gián đoạn sản xuất, sai lệch chất lượng hoặc hư hỏng thiết bị.
- Mức độ sẵn có của thiết bị dự phòng, quy trình vận hành thủ công và các phương án khôi phục.
- Mức độ kết nối với mạng bên ngoài và hệ thống của bên thứ ba.
Cách tiếp cận này hỗ trợ quản lý lỗ hổng dựa trên rủi ro. Lỗ hổng trên một máy trạm kỹ thuật quan trọng đối với sản xuất có thể cần được xử lý khẩn cấp hơn phát hiện tương tự trên một hệ thống thử nghiệm đã ngắt kết nối.
Cũng cần tính đến thiết bị cũ. Một số bộ điều khiển công nghiệp không thể được vá kịp thời do giới hạn của firmware, các yêu cầu từ nhà cung cấp, yêu cầu chứng nhận hoặc cần lên kế hoạch ngừng hoạt động để bảo trì. Trong những trường hợp này, các biện pháp như hạn chế quyền truy cập, phân đoạn mạng, kiểm soát ứng dụng và những biện pháp bù đắp khác đã được xác thực có thể giảm mức độ phơi nhiễm trong khi xây dựng kế hoạch khắc phục an toàn.
3. Sử dụng AI để phòng thủ mà không trao cho AI quyền hạn không kiểm soát
AI có thể giúp các nhóm bảo mật đối chiếu cảnh báo, xác định hành vi mạng bất thường, phân tích mức độ phơi nhiễm trước lỗ hổng, lập bản đồ các đường tấn công tiềm ẩn và sắp xếp ưu tiên khắc phục. Những khả năng này có thể giảm thời gian dành cho việc phân tích lặp đi lặp lại và giúp kỹ sư tập trung vào các sự cố gây hậu quả lớn hơn đối với hoạt động vận hành.
Tuy nhiên, các đề xuất do AI tạo ra không phải lúc nào cũng chính xác, và một tác nhân AI có quyền truy cập vào các hệ thống sản xuất có thể làm phát sinh thêm rủi ro nếu quyền hạn của nó được thiết kế kém.
Các nhà sản xuất nên áp dụng nguyên tắc đặc quyền tối thiểu, giới hạn các hành động được phép, lưu giữ hồ sơ có thể kiểm tra và xác định thời điểm bắt buộc phải có sự phê duyệt của con người. Những thay đổi có tác động lớn liên quan đến cấu hình bộ điều khiển, hệ thống liên quan đến an toàn, cô lập mạng hoặc dừng sản xuất nên tuân theo các quy trình được phê duyệt rõ ràng, thay vì tùy tiện giao cho các tác nhân tự động.
Trước khi triển khai, cần kiểm thử quy trình bảo mật có ứng dụng AI trong một môi trường biệt lập, tương tự môi trường thực tế. Việc kiểm thử nên bao gồm cảnh báo sai, thông tin tài sản không đầy đủ, dịch vụ không khả dụng, yêu cầu trái phép và tương tác bất ngờ với các giao thức công nghiệp.
Cần phân biệt rõ: AI nên đẩy nhanh quá trình phân tích và các tác vụ ứng phó được giới hạn cẩn thận, chứ không thay thế phán đoán của kỹ sư khi liên quan đến quy trình vật lý và an toàn nhân sự. Mức độ tự động hóa phù hợp phụ thuộc vào hậu quả của một hành động sai, chứ không chỉ dựa trên tốc độ mô hình thực hiện hành động đó.
4. Kiểm thử khả năng ứng phó sự cố trong điều kiện công nghiệp thực tế
Quy trình bằng văn bản và diễn tập trên bàn đều hữu ích, nhưng không thể thể hiện mọi sự phụ thuộc kỹ thuật trong một nhà máy đang vận hành. Các nhà sản xuất nên xác thực năng lực ứng phó thông qua các bài diễn tập có kiểm soát, phản ánh đúng kiến trúc mạng, hành vi thiết bị và yêu cầu khôi phục thực tế.
Việc kiểm thử nên đánh giá liệu các nhóm có thể xác định tài sản bị ảnh hưởng, xác định phạm vi xâm nhập, ngăn chặn các kết nối bị xâm phạm, duy trì khả năng quan sát quy trình cần thiết và khôi phục hệ thống về trạng thái đã được xác minh hay không.
Các chỉ số hiệu quả hữu ích gồm:
- Thời gian phát hiện và phân loại sự cố.
- Thời gian cần thiết để phê duyệt hành động ngăn chặn.
- Thời gian ngăn chặn mối đe dọa mà không tạo ra rủi ro vận hành ở mức không thể chấp nhận.
- Thời gian khôi phục hoạt động sản xuất an toàn, ổn định.
- Tỷ lệ tài sản trọng yếu có chủ sở hữu đã được xác minh và hồ sơ cấu hình cập nhật.
- Mức độ rủi ro liên quan đến tài khoản của nhà cung cấp và các phương thức truy cập từ xa.
- Tổn thất sản xuất hoặc sai lệch quy trình liên quan đến các hoạt động ứng phó.
Mục tiêu không phải là đạt được thời gian phản hồi ngắn nhất bằng mọi giá. Một thay đổi nhanh chóng nhưng chưa được kiểm chứng kỹ lưỡng có thể gây ra sự cố thứ hai. Hiệu quả ứng phó nên được đánh giá dựa trên tốc độ tổ chức giảm thiểu rủi ro trong khi vẫn duy trì an toàn và khả năng kiểm soát vận hành.
Khi chưa thể cài đặt bản vá ngay, cần ghi lại, giám sát và rà soát các biện pháp ngăn chặn tạm thời cho đến khi có thể khắc phục triệt để theo quy trình quản lý thay đổi đã được phê duyệt.
5. Nâng cao kiến thức về an ninh mạng cho toàn thể nhân lực
An ninh mạng công nghiệp không chỉ là trách nhiệm của bộ phận CNTT. Người vận hành, kỹ thuật viên bảo trì, kỹ sư điều khiển, đơn vị tích hợp hệ thống và nhà cung cấp dịch vụ bên ngoài đều ảnh hưởng đến an ninh của môi trường sản xuất được kết nối.
Việc đào tạo cần phù hợp với trách nhiệm của từng nhóm. Người vận hành cần nhận biết hành vi bất thường của hệ thống và hiểu quy trình báo cáo, xử lý. Kỹ sư tự động hóa cần đánh giá tác động của các thay đổi cấu hình và việc cô lập mạng. Đội bảo trì cần có quy định rõ ràng về truy cập từ xa, thiết bị kỹ thuật di động và cài đặt phần mềm.
Các công cụ có AI hỗ trợ có thể giúp nhân viên phân tích cảnh báo, tìm quy trình liên quan và tra cứu hướng dẫn kỹ thuật. Tuy nhiên, các công cụ này nên hỗ trợ những quy trình vận hành đã thiết lập, thay vì tạo ra chỉ dẫn mâu thuẫn hoặc khuyến khích thay đổi trái phép.
Các nhà sản xuất cũng nên diễn tập những tình huống thực tế, bao gồm thông tin đăng nhập của nhà cung cấp bị xâm phạm, hoạt động đáng ngờ trên máy trạm kỹ thuật, mã độc tống tiền ảnh hưởng đến các hệ thống giám sát và mất kết nối với thiết bị trọng yếu.
Lực lượng lao động được đào tạo bài bản có thể rút ngắn quá trình từ quan sát ban đầu đến hành động có căn cứ. Điều này đặc biệt hữu ích tại các cơ sở không thường xuyên có chuyên gia an ninh mạng làm việc tại chỗ.
Kiến trúc mạng công nghiệp và quản lý vòng đời rất quan trọng
Năm hành động trên sẽ hiệu quả hơn khi được hỗ trợ bởi kiến trúc mạng công nghiệp rõ ràng và quy trình quản lý vòng đời chặt chẽ.
Các nhà sản xuất nên tách riêng CNTT doanh nghiệp, mạng giám sát công nghiệp, mạng điều khiển và môi trường liên quan đến an toàn theo yêu cầu vận hành của từng hệ thống. Giao tiếp giữa các vùng cần được kiểm soát rõ ràng, giám sát và giới hạn ở những dịch vụ cần thiết. Quyền truy cập bảo trì từ xa nên đi qua các kênh có xác thực, được cấp quyền và có thể kiểm toán, thay vì các kết nối không hạn chế.
Các tài sản cũ cần được xem xét đặc biệt. PLC, cấu phần DCS, cổng giao tiếp và công cụ kỹ thuật đời cũ có thể thiếu các tính năng bảo mật hiện đại hoặc vẫn được sử dụng vì thay thế sẽ phát sinh chi phí đáng kể và công sức thẩm định. Việc tiếp tục sử dụng chúng cần được hỗ trợ bằng các đánh giá rủi ro có tài liệu ghi nhận, kết nối bị hạn chế, bản sao lưu cấu hình và quy trình khôi phục đã được kiểm thử.
Các biện pháp kiểm soát bảo mật cũng phải tương thích với phương thức truyền thông có tính xác định, khả năng sẵn sàng của quy trình và cấu hình được nhà cung cấp hỗ trợ. Triển khai một công cụ kiểm tra chưa quen thuộc hoặc thay đổi tường lửa chưa được thử nghiệm trực tiếp trên mạng đang vận hành có thể gây ra sự cố hoạt động, ngay cả khi mục tiêu bảo mật là chính đáng.
Vì lý do này, các dự án an ninh mạng nên đưa tự động hóa và kỹ thuật quy trình vào ngay từ giai đoạn thiết kế. Các yêu cầu bảo mật sẽ dễ triển khai hơn nếu việc phân đoạn mạng, quản lý danh tính, ghi nhật ký, kiến trúc khôi phục và hỗ trợ trong suốt vòng đời được tính đến khi thiết kế hệ thống, thay vì bổ sung sau khi đưa vào vận hành.
Đo lường khả năng phục hồi vượt ra ngoài số lượng công cụ bảo mật
Số lượng sản phẩm bảo mật được triển khai chỉ cung cấp bằng chứng hạn chế về khả năng nhà máy chống chịu sự cố mạng. Đánh giá có ý nghĩa hơn sẽ xem xét liệu tổ chức có nắm rõ những gì mình đang vận hành, hiểu các mối phụ thuộc và có thể thực hiện ứng phó an toàn khi chịu áp lực hay không.
Các nhà sản xuất nên định kỳ xác minh danh mục tài sản, kiểm thử các bản sao lưu bằng diễn tập khôi phục, rà soát tài khoản có quyền đặc biệt, đánh giá quyền truy cập của nhà cung cấp và xác nhận các quy trình ứng phó sự cố vẫn phù hợp với cấu hình nhà máy hiện tại. Các phát hiện cần dẫn đến những hành động khắc phục được giao cụ thể, với thời hạn rõ ràng và người chịu trách nhiệm.
Khả năng phục hồi cũng cần bao gồm việc khôi phục sau khi mất các dịch vụ thiết yếu. Ví dụ, kế hoạch ứng phó sự cố cần nêu rõ cách người vận hành duy trì mức độ nắm bắt tình hình quy trình phù hợp nếu các hệ thống giám sát không khả dụng, cũng như cách các nhóm kỹ thuật xác minh cấu hình bộ điều khiển trước khi khôi phục liên lạc bình thường.
Những hoạt động này kết nối an ninh mạng với các lĩnh vực kỹ thuật công nghiệp quen thuộc: quản lý thay đổi, an toàn chức năng, lập kế hoạch bảo trì, đảm bảo chất lượng và đánh giá rủi ro vận hành. Việc tích hợp các lĩnh vực này có thể giúp các biện pháp bảo mật thiết thực hơn và dễ duy trì hơn trong suốt vòng đời thiết bị.
Kết luận: Biến an ninh mạng thành năng lực vận hành
AI tiên phong đang làm gia tăng tốc độ và mức độ tinh vi của các mối đe dọa mạng tiềm tàng, nhưng chỉ riêng công nghệ sẽ không quyết định nhà sản xuất nào ứng phó thành công. Kết quả còn phụ thuộc vào khả năng quan sát tài sản, kiến trúc mạng, thẩm quyền ra quyết định, kỷ luật kỹ thuật và mức độ sẵn sàng của lực lượng lao động.
Các nhà sản xuất nên ưu tiên những biện pháp kiểm soát giúp bảo vệ các quy trình trọng yếu, hạn chế kết nối không cần thiết và hỗ trợ khoanh vùng nhanh chóng, có quản trị chặt chẽ. AI có thể cải thiện khả năng phát hiện và phân tích, miễn là quyền truy cập và hành động của AI vẫn chịu các biện pháp bảo vệ phù hợp. Các kế hoạch ứng phó phải được xác thực dựa trên những phụ thuộc thực tế trong môi trường công nghiệp, chứ không chỉ được lập thành văn bản để phục vụ các đợt đánh giá tuân thủ.
Bài học cốt lõi rất rõ ràng: một nhà máy kết nối an toàn không phải là nhà máy cho rằng có thể ngăn chặn mọi cuộc tấn công. Đó là nhà máy có thể nhận diện các tình huống bất thường, đưa ra quyết định sáng suốt, khoanh vùng mối đe dọa trong giới hạn an toàn đã xác định và khôi phục hoạt động theo quy trình đã được kiểm thử. Trong kỷ nguyên AI tiên phong, năng lực này cần được xem là một khía cạnh có thể đo lường của hiệu quả hoạt động công nghiệp và khả năng phục hồi trong vận hành.
