โรงไฟฟ้า โรงงาน & ระบบควบคุมอุตสาหกรรม

01สองโลกในโรงงานเดียว IT vs OT

ตีสามของคืนวันอังคาร โรงผลิตน้ำประปาแห่งหนึ่งเงียบสนิท ไม่มีใครนั่งพิมพ์งาน ไม่มีใครเช็กอีเมล แต่ปั๊มตัวใหญ่ยังหมุน วาล์วยังเปิดปิดเป็นจังหวะ และเครื่องจ่ายสารเคมียังหยดคลอรีนลงในน้ำทีละนิดอย่างแม่นยำ ทุกอย่างนี้มีคอมพิวเตอร์คอยสั่งอยู่ เพียงแต่ไม่ใช่คอมพิวเตอร์แบบที่เราคุ้นเคย

ในองค์กรใหญ่แทบทุกแห่งที่ “ผลิตของจริง” ไม่ว่าจะเป็นโรงไฟฟ้า การประปา โรงกลั่นน้ำมัน โรงงานรถยนต์ในนิคมอุตสาหกรรม หรือแม้แต่ห้างสรรพสินค้าและโรงพยาบาล มีคอมพิวเตอร์อยู่สองโลกซ้อนกัน

โลกแรกคือ ไอที (IT: Information Technology) โลกของสำนักงาน มีโน้ตบุ๊ก อีเมล ระบบบัญชี ระบบเงินเดือน เว็บไซต์ และฐานข้อมูลลูกค้า ของที่มันดูแลคือ ข้อมูล ถ้ามันพัง เราเสียเอกสาร เสียเงิน หรือเสียชื่อเสียง

โลกที่สองคือ โอที (OT: Operational Technology) โลกของเครื่องจักร มีกล่องควบคุมที่สั่งมอเตอร์ เซนเซอร์ที่วัดแรงดันในท่อ จอในห้องควบคุมที่แสดงระดับน้ำในถัง ของที่มันดูแลคือ สิ่งที่เกิดขึ้นในโลกจริง ถ้ามันพัง น้ำอาจไม่ไหล ไฟอาจดับทั้งอำเภอ หรือเครื่องจักรอาจทำร้ายคนที่ยืนอยู่ข้าง ๆ

นึกภาพคอนโดสักแห่งก็ได้ ห้องนิติบุคคลชั้นล่างคือโลกไอที มีคอมพิวเตอร์ออกใบแจ้งหนี้ค่าส่วนกลาง เก็บรายชื่อลูกบ้าน ส่วนห้องเครื่องใต้ดินคือโลกโอที มีตู้ควบคุมปั๊มน้ำขึ้นแท็งก์บนดาดฟ้า ระบบลิฟต์ ระบบแอร์ส่วนกลาง และสัญญาณเตือนไฟไหม้ ถ้าคอมพิวเตอร์ในห้องนิติฯ ติดไวรัส ลูกบ้านอาจได้ใบแจ้งหนี้ช้า แต่ถ้าตู้ควบคุมปั๊มรวน ทั้งตึกไม่มีน้ำอาบ

ศัพท์น่ารู้: OT และ ICS

OT คือฮาร์ดแวร์และซอฟต์แวร์ที่ตรวจวัดหรือสั่งการอุปกรณ์ในโลกจริงโดยตรง ส่วน ICS (Industrial Control System) หรือระบบควบคุมอุตสาหกรรม คือกลุ่มย่อยที่สำคัญที่สุดของ OT หมายถึงชุดอุปกรณ์ที่ทำงานร่วมกันเพื่อคุมกระบวนการผลิต เช่น การจ่ายไฟ การผลิตน้ำ หรือสายพานประกอบรถ คนในวงการมักใช้สองคำนี้สลับกันได้

สมัยก่อนสองโลกนี้แทบไม่ได้คุยกันเลย ระบบในโรงงานต่อสายกันเองในอาคาร ใช้ภาษาเฉพาะของผู้ผลิตแต่ละเจ้า คนนอกเข้าไม่ถึง ความปลอดภัยของมันจึงพึ่ง “ความห่างไกล” มากกว่าการออกแบบ แต่ทุกวันนี้ผู้บริหารอยากเห็นตัวเลขการผลิตแบบเรียลไทม์บนแดชบอร์ด ผู้ผลิตเครื่องจักรอยากรีโมตเข้ามาซ่อมจากต่างประเทศ ระบบสองฝั่งจึงถูกเชื่อมเข้าหากันมากขึ้นเรื่อย ๆ และนั่นคือจุดที่เรื่องของบทนี้เริ่มต้น

02ลำดับความสำคัญที่กลับหัว Safety and availability first

ในบทพื้นฐาน เราเรียนว่าความปลอดภัยไซเบอร์ปกป้องสามอย่าง คือ ความลับ (ข้อมูลไม่หลุดไปถึงคนที่ไม่ควรเห็น) ความถูกต้อง (ข้อมูลไม่ถูกแก้โดยไม่ได้รับอนุญาต) และ ความพร้อมใช้ (ระบบใช้งานได้เมื่อต้องการ) ในโลกไอที ความลับมักมาก่อน ข้อมูลบัตรเครดิตลูกค้ารั่วคือฝันร้ายอันดับหนึ่ง

แต่พอเดินเข้าโรงงาน ลำดับนี้กลับหัวเลย คำถามแรกของวิศวกรโรงงานไม่ใช่ “ข้อมูลรั่วไหม” แต่คือ “มีใครเจ็บไหม” ตามมาด้วย “เครื่องยังเดินอยู่ไหม” ตัวเลขอุณหภูมิในหม้อต้มไม่ใช่ความลับอะไร ใครเห็นก็ไม่เสียหาย แต่ถ้ามันถูกแก้ให้ผิดไป หรือจอดับจนไม่มีใครเห็น นั่นแหละอันตรายจริง

ความต่างนี้ไม่ใช่เรื่องปรัชญาลอย ๆ มันเปลี่ยนวิธีทำงานทุกอย่าง ลองดูตัวอย่างง่าย ๆ ในไอที ถ้าโปรแกรมป้องกันไวรัสเจอไฟล์น่าสงสัย มันลบหรือกักไฟล์ทันทีโดยไม่ต้องถามใคร แต่ถ้าทำแบบเดียวกันบนคอมพิวเตอร์ที่คุมเตาหลอมเหล็ก แล้วไฟล์ที่ถูกกักดันเป็นไฟล์ที่ระบบควบคุมต้องใช้ เตาอาจหยุดกลางคัน ของที่หลอมอยู่แข็งคาเตา ความเสียหายอาจมากกว่าไวรัสตัวนั้นเสียอีก

หรือรหัสผ่าน ในออฟฟิศ ถ้าพิมพ์ผิดห้าครั้งแล้วบัญชีล็อก ก็แค่โทรหาฝ่ายไอที แต่ในห้องควบคุมโรงไฟฟ้า ถ้าเจ้าหน้าที่กำลังรีบรับมือสัญญาณเตือนฉุกเฉิน แล้วจอล็อกเพราะพิมพ์ผิด นาทีนั้นอาจแพงมาก ทีมโอทีจึงต้องหาสมดุลที่ต่างออกไป เช่น ใช้บัตรหรือการยืนยันที่หน้าเครื่องแทน ควบคู่กับการคุมประตูห้องอย่างเข้มงวด

ศัพท์น่ารู้: ความพร้อมใช้ (Availability) และความปลอดภัยเชิงกายภาพ (Safety)

ในโลกโอที คำว่า “ปลอดภัย” มีสองความหมายซ้อนกัน คือ Security (กันคนร้ายไม่ให้เข้ามา) และ Safety (ไม่ให้คนเจ็บ ไม่ให้เกิดระเบิดหรือรั่วไหล) เป้าหมายสูงสุดของงานความปลอดภัยไซเบอร์ในโรงงานคือปกป้อง Safety ส่วนความพร้อมใช้ก็สำคัญรองลงมา เพราะโรงงานบางแบบหยุดแล้วเริ่มใหม่ไม่ได้ในทันที

เพราะเหตุนี้ คนไอทีที่ย้ายมาทำงานโรงงานจึงต้อง “ปรับหู” ใหม่ทั้งหมด ไอเดียดี ๆ จากโลกสำนักงานยังใช้ได้ แต่ต้องถามทุกครั้งว่า ถ้าทำแล้วเครื่องสะดุด ใครเดือดร้อน และเดือดร้อนแค่ไหน

03รู้จัก PLC, HMI และ SCADA The building blocks

ฟังชื่อแล้วอาจดูน่ากลัว แต่จริง ๆ เรารู้จักหลักการของมันอยู่แล้ว ลองนึกถึงหม้อหุงข้าวที่บ้าน ข้างในมีตัววัดความร้อน พอน้ำงวดและก้นหม้อร้อนถึงจุดหนึ่ง มันก็ตัดไปโหมดอุ่นเอง ไม่ต้องมีใครยืนเฝ้า นั่นคือ วงจรควบคุม แบบง่ายที่สุด: วัดค่า → ตัดสินใจ → สั่งงาน → วัดใหม่

โรงงานก็คือหม้อหุงข้าวขนาดยักษ์หลายพันใบที่ต่อกันอยู่ ลองไล่ดูทีละชิ้นจากระบบสูบน้ำประปา

PLC (Programmable Logic Controller)

คอมพิวเตอร์ตัวเล็กหน้าตาเหมือนกล่องเหล็กติดราง ทนฝุ่น ทนร้อน ทนสั่น ทำงานอย่างเดียวคืออ่านค่าจากเซนเซอร์แล้วสั่งเครื่องจักรตามโปรแกรมที่วิศวกรเขียนไว้ วนซ้ำอย่างรวดเร็วตลอด 24 ชั่วโมง เปรียบเหมือนไฟจราจรที่สลับสีเองตามเวลา ไม่ต้องมีตำรวจยืนกด

HMI (Human–Machine Interface)

จอที่คนใช้มองและสั่งเครื่อง อาจเป็นจอสัมผัสติดตู้หน้าเครื่อง หรือคอมพิวเตอร์ในห้องควบคุม มีภาพถัง ท่อ และปุ่มเปิดปิด เหมือนหน้าปัดรถยนต์ที่บอกความเร็วและน้ำมัน พร้อมพวงมาลัยให้เราบังคับ

SCADA (Supervisory Control and Data Acquisition)

ระบบที่รวบรวมข้อมูลและกำกับการทำงานของอุปกรณ์ที่กระจายอยู่ห่างกัน เช่น สถานีสูบน้ำทั่วเมือง สถานีไฟฟ้าย่อยทั้งจังหวัด หรือท่อส่งก๊าซยาวหลายร้อยกิโลเมตร คล้ายห้องวิทยุของวินมอเตอร์ไซค์ที่รู้ว่ารถแต่ละคันอยู่ไหน แต่สั่งได้ด้วยว่าคันไหนไปทางไหน

ลองดูว่าของพวกนี้อยู่รอบตัวเราตรงไหนบ้าง

• การประปา: PLC คุมปั๊มและการเติมสารเคมีในโรงผลิตน้ำ SCADA เฝ้าแรงดันน้ำในท่อทั่วเมือง ถ้าท่อแตกที่ไหน ห้องควบคุมเห็นแรงดันตกทันที
• ไฟฟ้า: โรงไฟฟ้าใช้ระบบควบคุมคุมกังหันและหม้อไอน้ำ ส่วนการไฟฟ้าใช้ SCADA สั่งเปิดปิดเบรกเกอร์ในสถานีไฟฟ้าย่อยจากระยะไกล โดยไม่ต้องส่งคนขับรถไปทุกสถานี
• โรงงาน: สายพานในโรงงานรถยนต์หรืออาหารกระป๋องในนิคมอุตสาหกรรม มี PLC คุมแขนกล เครื่องปิดฝา และเครื่องชั่งน้ำหนักทีละสถานี
• อาคาร (ห้างและโรงพยาบาลมีระบบจัดการอาคาร (BMS) Building Management System) คุมแอร์ ไฟ ลิฟต์ ปั๊มน้ำ และระบบดับเพลิง ซึ่งก็เป็นโอทีเหมือนกัน แค่ไม่ได้อยู่ในโรงงาน

มีอีกชิ้นหนึ่งที่ต้องรู้จัก และสำคัญที่สุดในเชิงชีวิตคน คือ ระบบความปลอดภัยเฉพาะ (SIS Safety Instrumented System) มันคือ “ยามคนสุดท้าย” ที่แยกจากระบบควบคุมปกติ คอยเฝ้าค่าอันตราย เช่น แรงดันสูงเกิน อุณหภูมิพุ่ง แล้วสั่งหยุดเครื่องเองทันทีโดยไม่ฟังใคร เหมือนเบรกเกอร์กันไฟดูดในบ้านที่ตัดไฟเองเมื่อมีกระแสรั่ว ใครจะกดสวิตช์ไฟอย่างไรก็ไม่สำคัญ ถ้าไฟรั่ว มันตัด

เข้าใจสามชิ้นนี้แล้ว ก็จะเห็นว่าผู้โจมตีที่สนใจโรงงานไม่ได้อยากได้ “ข้อมูล” เป็นหลัก สิ่งที่อันตรายคือการทำให้วงจรควบคุมทำงานผิด หรือทำให้คนในห้องควบคุมมองไม่เห็นความจริง ฝั่งป้องกันจึงต้องปกป้องทั้งสองอย่าง: คำสั่งที่ไปถึงเครื่อง และภาพที่ไปถึงตาคน

04ทำไมแพตช์ยากนัก Why OT is hard to patch

ในบทมัลแวร์ เราย้ำนักหนาว่า “เปิดอัปเดตอัตโนมัติ” แต่ถ้าเอาคำแนะนำนี้ไปบอกวิศวกรโรงไฟฟ้า เขาอาจยิ้มแห้ง ๆ เพราะในโลกโอที การแพตช์ไม่ใช่เรื่องกดปุ่มแล้วรีบูตตอนตีสอง ด้วยเหตุผลหลายข้อที่ซ้อนกันอยู่

1. เครื่องอายุหลายสิบปี

   โน้ตบุ๊กในออฟฟิศเปลี่ยนทุกไม่กี่ปี แต่ PLC ในโรงงานถูกออกแบบให้ใช้กันนานนับสิบปี หลายโรงงานยังมีคอมพิวเตอร์คุมเครื่องที่รันระบบปฏิบัติการรุ่นที่ผู้ผลิตเลิกออกแพตช์ไปนานแล้ว เพราะโปรแกรมของเครื่องจักรรันได้บนรุ่นนั้นรุ่นเดียว

2. หยุดเครื่องไม่ได้

   โรงกลั่น โรงไฟฟ้า หรือเตาหลอมบางแบบเดินเครื่องต่อเนื่องเป็นเดือน การหยุดเพื่อรีบูตหมายถึงการผลิตหยุด และบางกระบวนการเริ่มใหม่ไม่ได้ทันที โรงงานจึงรวมงานซ่อมไว้ทำในช่วงหยุดซ่อมบำรุงตามแผน ซึ่งอาจห่างกันนานมาก

3. แก้แล้วต้องทดสอบก่อน

   แพตช์ที่ไม่มีปัญหาในออฟฟิศ อาจทำให้ซอฟต์แวร์คุมเครื่องค้างได้ ผู้ผลิตเครื่องจักรจึงมักต้องรับรองก่อนว่าแพตช์ไหนใช้กับระบบของเขาได้ ถ้าโรงงานลงเองโดยไม่ผ่านการรับรอง สัญญารับประกันอาจหลุด

4. อุปกรณ์ไม่ได้ออกแบบมาเพื่อสู้

   ภาษาที่อุปกรณ์โรงงานรุ่นเก่าใช้คุยกัน (โปรโตคอลอุตสาหกรรม) เกิดมาในยุคที่เชื่อกันว่าเครือข่ายโรงงานปิดสนิท จำนวนมากจึงไม่มีการยืนยันตัวตนหรือเข้ารหัสในตัว ใครที่อยู่ในเครือข่ายเดียวกันได้ ก็อาจคุยกับอุปกรณ์ได้ ปัญหานี้แก้ด้วยแพตช์ไม่ได้ ต้องแก้ด้วยการออกแบบเครือข่ายรอบ ๆ มัน

5. คนเก่งสองโลกมีน้อย

   วิศวกรกระบวนการรู้เครื่องจักรลึก แต่อาจไม่คุ้นภัยไซเบอร์ คนไอทีรู้เรื่องแฮกเกอร์ แต่อาจไม่รู้ว่าวาล์วตัวนั้นปิดผิดจังหวะแล้วจะเกิดอะไร งานที่ดีจึงต้องให้สองฝ่ายนั่งโต๊ะเดียวกัน

ข่าวดีคือ เมื่อแพตช์ไม่ได้ เราก็ยังป้องกันได้ วงการเรียกแนวทางนี้ว่า มาตรการชดเชย (compensating controls) คือสร้างรั้วรอบเครื่องที่อ่อนแอแทนการซ่อมตัวเครื่อง เช่น แยกมันไว้ในโซนเล็ก ๆ ที่คุยได้เฉพาะกับเครื่องที่จำเป็น ปิดพอร์ต USB ที่ไม่ใช้ คุมว่าใครเข้าห้องได้ และเฝ้าดูทุกการเชื่อมต่อที่วิ่งเข้าหามัน เหมือนบ้านเก่าที่ประตูไม้ผุแต่ยังเปลี่ยนไม่ได้ ก็ล้อมรั้ว ติดกล้อง และให้ รปภ. เดินตรวจถี่ขึ้น

05แผนผังชั้นของโรงงาน The Purdue model & the DMZ

ถ้าจะปกป้องโรงงาน ต้องรู้ก่อนว่าอะไรอยู่ตรงไหน และใครควรคุยกับใคร แนวคิดที่วงการใช้วาดแผนที่นี้กันมานานคือ Purdue model (ตั้งชื่อตามงานวิจัยของมหาวิทยาลัย Purdue ในสหรัฐฯ) ซึ่งแบ่งระบบเป็นชั้น ๆ ไล่จากเครื่องจักรที่ติดพื้นโรงงาน ขึ้นไปถึงสำนักงานใหญ่ ไม่ต้องจำตัวเลขทุกชั้น ขอแค่เข้าใจหลักว่า ยิ่งชั้นต่ำ ยิ่งใกล้ของที่ทำคนเจ็บได้ และยิ่งต้องคุมเข้ม

ชั้นล่างสุด (ระดับ 0) คือของจริง ปั๊ม วาล์ว มอเตอร์ ขึ้นมาหนึ่งชั้นคือ PLC ที่สั่งมัน ถัดขึ้นไปคือห้องควบคุมที่มี SCADA และ HMI แล้วก็ชั้นจัดการการผลิต ซึ่งเก็บประวัติค่าเครื่องจักรไว้ดูย้อนหลัง ส่วนชั้นบนสุดคือโลกสำนักงานที่เราคุ้นเคย

หัวใจของภาพนี้อยู่ที่แถบสีเขียวตรงกลาง เรียกว่า DMZ ของโรงงาน (บางทีเรียกระดับ 3.5) มันทำงานเหมือนห้องรับพัสดุของคอนโด บุรุษไปรษณีย์ไม่ต้องขึ้นไปเคาะประตูห้องลูกบ้าน แค่วางของไว้ที่ห้องรับพัสดุ ลูกบ้านค่อยลงมารับเอง สองฝ่ายไม่เคยเจอกันโดยตรง ในโรงงานก็เช่นกัน ข้อมูลการผลิตจากโซนโอทีถูกส่งขึ้นมาพักที่ DMZ แล้วฝ่ายบัญชีหรือผู้บริหารค่อยดึงไปจากตรงนั้น ไม่มีใครในสำนักงานเปิดการเชื่อมต่อลงไปถึง PLC ได้

ศัพท์น่ารู้: การแบ่งโซน (Segmentation) และ DMZ

การแบ่งโซน คือการแบ่งเครือข่ายเป็นห้อง ๆ แล้วกำหนดว่าห้องไหนคุยกับห้องไหนได้ ผ่านช่องทางไหน ถ้าห้องหนึ่งติดเชื้อ ไฟจะไม่ลามทั้งตึก ส่วน DMZ (Demilitarized Zone) คือโซนกลางที่ทั้งสองฝั่งเข้าถึงได้แบบจำกัด ใช้เป็นจุดพักข้อมูลและจุดตรวจ ไม่ใช่ทางผ่านตรง

อีกเรื่องที่ DMZ ช่วยได้มากคือ การรีโมตจากภายนอก ผู้ผลิตเครื่องจักรมักต้องเข้ามาดูเครื่องจากไกล แทนที่จะปล่อยให้ช่างต่อโปรแกรมรีโมตตรงเข้า HMI (ซึ่งเป็นช่องโหว่ที่เจอบ่อยมาก) โรงงานที่ดีจะให้ทุกคนเข้ามาที่ “เครื่องทางผ่าน” ใน DMZ ก่อน ต้องยืนยันตัวตนหลายชั้น เปิดให้เฉพาะช่วงเวลาที่นัดไว้ มีคนในโรงงานกดอนุญาต และบันทึกทุกอย่างที่ทำ

แผนผังนี้ไม่ใช่กฎหมายหรือพิมพ์เขียวตายตัว โรงงานยุคใหม่ที่ใช้คลาวด์และอุปกรณ์ IoT อาจไม่ได้เรียงเป็นชั้นสวยแบบนี้แล้ว แต่คำถามที่มันสอนยังใช้ได้เสมอ: เครื่องนี้อยู่โซนไหน คุยกับใครได้บ้าง และถ้ามันโดน จะลามไปถึงไหน

06แฟ้มคดีจริง Real cases

เหตุโจมตีระบบควบคุมอุตสาหกรรมที่สำเร็จจนเกิดผลในโลกจริงยังมีไม่มาก เมื่อเทียบกับเหตุในโลกไอทีที่เกิดทุกวัน แต่แต่ละครั้งเปลี่ยนวิธีคิดของทั้งวงการ ลองเรียงดูตามเวลา แล้วสังเกตว่าแต่ละคดีสอนอะไรต่างกัน

ไฟดับในยูเครน (2015 และ 2016) เป็นครั้งแรก ๆ ที่โลกได้เห็นการโจมตีไซเบอร์ทำให้ไฟดับจริงในวงกว้าง ผู้โจมตีเข้าถึงระบบควบคุมของผู้ให้บริการไฟฟ้า แล้วสั่งเปิดเบรกเกอร์ในสถานีไฟฟ้าย่อยจนลูกค้าหลายแสนรายไม่มีไฟใช้ในหน้าหนาว เรื่องเต็มของกลุ่มที่อยู่เบื้องหลังและเหตุการณ์ที่ตามมา อ่านได้ใน แฟ้ม Sandworm ในบท APT ที่นี่ขอจำไว้แค่บทเรียนสำคัญ: ทางเข้าแรกของผู้โจมตีอยู่ในฝั่งไอที (อีเมลฟิชชิง) แล้วค่อยเดินลงไปหาระบบควบคุม ซึ่งเป็นเหตุผลว่าทำไมเส้นแบ่งระหว่างไอทีกับโอทีถึงสำคัญขนาดนั้น

TRITON (2017) น่ากลัวในอีกแบบ เพราะมันไม่ได้เล็งระบบควบคุมปกติ แต่เล็ง SIS (ยามคนสุดท้ายที่เราพูดถึงในหัวข้อที่ 3) ของโรงงานปิโตรเคมีแห่งหนึ่งในซาอุดีอาระเบีย ตามรายงานที่เผยแพร่ ความผิดพลาดในการทำงานของมัลแวร์เองทำให้ SIS สั่งหยุดโรงงานอย่างปลอดภัย ทีมจึงสังเกตเห็นและพบมัน วงการตกใจมาก เพราะมันแสดงว่ามีผู้โจมตีที่พร้อมจะยุ่งกับระบบที่ออกแบบมาเพื่อปกป้องชีวิตคน บทเรียนคือ SIS ต้องแยกขาดจากเครือข่ายอื่นให้มากที่สุด และการแก้โปรแกรม SIS ต้องทำได้เฉพาะเมื่อมีคนอยู่หน้าเครื่องและตั้งใจทำจริง

Oldsmar (กุมภาพันธ์ 2021) คือกรณีที่ควรอ่านอย่างระมัดระวังที่สุด ตอนแรก สำนักงานนายอำเภอของเคาน์ตีในรัฐฟลอริดาแถลงว่ามีคนรีโมตเข้าระบบของโรงผลิตน้ำประปาในเมือง Oldsmar แล้วปรับค่าโซดาไฟ (โซเดียมไฮดรอกไซด์) ที่ใช้ปรับสภาพน้ำ จากราว 100 ส่วนในล้านส่วน ขึ้นไปเป็นกว่า 11,000 ส่วนในล้านส่วน เจ้าหน้าที่ที่นั่งหน้าจอเห็นเคอร์เซอร์ขยับเองจึงปรับค่ากลับทันที และมีการระบุว่ายังมีระบบอื่นที่จะจับความผิดปกติได้ก่อนน้ำถึงบ้านคน ข่าวนี้ดังไปทั่วโลกในฐานะ “การพยายามวางยาน้ำประปาทั้งเมือง”

แต่ในปี 2023 อดีตผู้จัดการเมือง Oldsmar ให้สัมภาษณ์ว่าเหตุการณ์นี้น่าจะไม่ใช่การโจมตีจากคนนอก แต่เป็นความผิดพลาดของพนักงาน ส่วนผลสอบสวนอย่างเป็นทางการฉบับเต็มก็ไม่ได้ถูกเผยแพร่ต่อสาธารณะ วันนี้เราจึงยังสรุปไม่ได้แน่ชัดว่าเกิดอะไรขึ้น แต่ไม่ว่าคำตอบจะเป็นแบบไหน บทเรียนยังเหมือนเดิม: ระบบที่สำคัญขนาดนั้นต้องไม่ยอมให้ค่าอันตรายถูกตั้งได้ง่าย ๆ ไม่ว่าจากคนร้ายหรือจากมือที่พลาด ต้องมีขีดจำกัดค่าที่ตั้งได้ การยืนยันซ้ำ และเครื่องวัดที่ตรวจคุณภาพน้ำจริงแยกต่างหาก

07ไอทีล้ม ท่อน้ำมันก็หยุด When IT ransomware stops OT

คดีที่คนทั่วไปรู้สึกถึงผลกระทบมากที่สุด กลับเป็นคดีที่ผู้โจมตีไม่ได้แตะระบบควบคุมเลย มันคือแรนซัมแวร์ธรรมดาในฝั่งสำนักงาน แต่จบลงด้วยท่อส่งน้ำมันสายใหญ่ที่สุดสายหนึ่งของสหรัฐฯ หยุดทำงาน

ทำไมต้องหยุดท่อ ในเมื่อระบบควบคุมท่อไม่ได้ถูกล็อก คำตอบมีหลายชั้น ชั้นแรกคือ ความไม่แน่ใจ เมื่อยังไม่รู้ว่าผู้โจมตีไปถึงไหนแล้ว การหยุดเครื่องคือทางเลือกที่ปลอดภัยที่สุดสำหรับคนที่ต้องรับผิดชอบชีวิตคน ชั้นที่สองคือ ธุรกิจผูกกับเครื่อง ระบบอย่างการนับปริมาณน้ำมันและการออกบิลอยู่ฝั่งไอที ถ้าส่งน้ำมันโดยวัดและเก็บเงินไม่ได้ ธุรกิจก็เดินต่อยาก

นี่คือบทเรียนที่ใหญ่ที่สุดของบทนี้ก็ว่าได้ โรงงานไม่จำเป็นต้องถูกแฮกโดยตรงก็หยุดได้ ถ้าสองโลกพันกันจนแยกไม่ออก การโจมตีไอทีธรรมดาก็หยุดน้ำมัน หยุดน้ำ หรือหยุดสายการผลิตได้ ทีมที่เตรียมตัวดีจึงถามตัวเองล่วงหน้าว่า “ถ้าวันพรุ่งนี้ไอทีล่มทั้งหมด โรงงานเราเดินต่อได้ไหม เดินได้กี่วัน และใครมีอำนาจตัดสินใจ” แล้วซ้อมคำตอบนั้นจริง ๆ ไม่ใช่เขียนไว้ในแฟ้ม

08ปกป้องโรงงานอย่างไร Defending OT

ทุกคดีที่ผ่านมาชี้ไปที่การป้องกันชุดเดียวกัน และเกือบทั้งหมดไม่ต้องใช้เทคโนโลยีล้ำ ๆ ต้องใช้ความมีวินัยและการทำงานร่วมกันระหว่างคนไอทีกับวิศวกรโรงงาน เรียงตามลำดับที่ควรเริ่มได้แบบนี้

1. รู้ก่อนว่ามีอะไรอยู่บ้าง

   ทำบัญชีอุปกรณ์ (asset inventory) ให้ครบ: PLC กี่ตัว รุ่นอะไร เฟิร์มแวร์เวอร์ชันไหน ต่ออยู่กับอะไร ใครดูแล เราปกป้องของที่เราไม่รู้ว่ามีไม่ได้ หลายโรงงานเพิ่งเจอโมเด็มที่ผู้ผลิตติดไว้เมื่อหลายปีก่อนตอนทำบัญชีนี้เอง

2. อย่าสำรวจเครือข่ายโรงงานแบบเดียวกับไอที

   การสแกนเครือข่ายแบบรุนแรงที่ทำในออฟฟิศเป็นเรื่องปกติ อาจทำให้อุปกรณ์โรงงานรุ่นเก่าค้างหรือรีเซ็ตได้ การสำรวจในโอทีจึงมักใช้วิธี “ฟังเฉย ๆ” จากสำเนาทราฟฟิก ร่วมกับเอกสารและการเดินดูหน้างาน และทุกอย่างต้องทำโดยได้รับอนุญาต ประสานกับฝ่ายปฏิบัติการ ในช่วงเวลาที่ตกลงกันไว้

3. แบ่งโซน และคุมทางเชื่อม

   แยกไอทีกับโอทีด้วย DMZ และแบ่งโอทีเป็นโซนย่อยตามความสำคัญ เช่น โซนคุมสารเคมีแยกจากโซนบรรจุภัณฑ์ ทุกทางเชื่อมระหว่างโซนต้องมีเหตุผล เปิดเฉพาะที่จำเป็น และมีเจ้าของรับผิดชอบ

4. คุมการรีโมตให้เข้มที่สุด

   ทุกการเข้าจากภายนอกต้องผ่านจุดเดียวใน DMZ ใช้การยืนยันตัวตนหลายชั้น ปิดบัญชีที่เลิกใช้ทันที เปิดให้ผู้ผลิตเฉพาะช่วงที่นัด มีคนในโรงงานอนุมัติ และบันทึกทุกครั้ง บทเรียนจาก Colonial บอกชัดว่าบัญชีเก่าบัญชีเดียวพอจะเริ่มเรื่องใหญ่

5. เฝ้าดูสิ่งที่ผิดปกติ

   ข้อดีของเครือข่ายโรงงานคือมัน “น่าเบื่อ” เครื่องเดิมคุยกับเครื่องเดิมด้วยจังหวะเดิมทุกวัน พอรู้ว่าปกติหน้าตาเป็นอย่างไร สิ่งแปลกจะโผล่ชัด เช่น อุปกรณ์ใหม่ที่ไม่เคยเห็น การเชื่อมต่อจากโซนที่ไม่ควรคุยกัน หรือการแก้โปรแกรม PLC ตอนตีสามโดยไม่มีใบสั่งงาน

6. สำรองค่าตั้งและโปรแกรมเครื่อง

   นอกจากไฟล์ทั่วไป ต้องสำรองโปรแกรมของ PLC ค่าตั้งของ HMI และอุปกรณ์เครือข่าย เก็บสำเนาแบบออฟไลน์ ระบุเวอร์ชัน และซ้อมกู้คืนจริง ถ้าวันหนึ่งโปรแกรมถูกแก้ จะได้เทียบกับของเดิมและคืนสภาพได้เร็ว

7. ให้ระบบความปลอดภัยแยกขาดเสมอ

   SIS และอุปกรณ์ป้องกันเชิงกล เช่น วาล์วระบายแรงดัน คือตาข่ายรองรับสุดท้าย ต้องแยกจากระบบควบคุมปกติ การแก้ค่าต้องทำที่หน้าเครื่องพร้อมกุญแจหรือการอนุมัติ และไม่ควรมีใครเข้าถึงได้จากระยะไกล

8. ซ้อมแผนรับมือแบบโรงงาน

   แผนรับเหตุของโอทีต้องตอบว่าจะเดินเครื่องแบบใช้มือได้ไหม ใครมีอำนาจสั่งหยุดหรือสั่งเดินต่อ และจะคุยกับผู้ผลิตเครื่อง หน่วยงานกำกับ และชุมชนรอบโรงงานอย่างไร ซ้อมร่วมกันทั้งทีมไอที วิศวกร และผู้บริหาร

สังเกตว่าเกือบทุกข้อเป็นเรื่อง “คน กระบวนการ และการออกแบบ” มากกว่าเรื่องซื้อของ โรงงานขนาดเล็กที่งบน้อยก็เริ่มได้วันนี้ ด้วยกระดาษหนึ่งแผ่นที่เขียนว่ามีเครื่องอะไรบ้าง ต่อออกไปข้างนอกทางไหนบ้าง และใครถือรหัสผ่านอะไร

สำหรับคนทั่วไปที่ไม่ได้ทำงานในโรงงาน ก็ช่วยได้เหมือนกัน ถ้าทำงานในอาคารที่มีระบบ BMS อย่าเสียบแฟลชไดรฟ์หรือโน้ตบุ๊กส่วนตัวเข้ากับเครื่องในห้องควบคุม ถ้าเห็นจอควบคุมเปิดทิ้งไว้ในที่สาธารณะหรือเจอสายแปลก ๆ ต่ออยู่ในตู้ควบคุม ให้แจ้งฝ่ายอาคาร และถ้าเห็นภาพหน้าจอระบบควบคุมของที่ไหนหลุดในโซเชียล อย่าแชร์ต่อ ให้แจ้งเจ้าของหรือหน่วยงานที่ดูแล

09มาตรฐานและเส้นทางอาชีพ Frameworks & careers

เมื่อโรงงานทั่วโลกเจอปัญหาคล้ายกัน วงการก็รวบรวมบทเรียนเป็นมาตรฐานกลาง ชุดที่ถูกอ้างถึงมากที่สุดคือ ISA/IEC 62443 ซึ่งพัฒนาโดยคณะกรรมการของสมาคม ISA ร่วมกับ IEC เป็นมาตรฐานหลายฉบับสำหรับความปลอดภัยของระบบอัตโนมัติและระบบควบคุมอุตสาหกรรม ไม่ต้องจำเลขฉบับ ขอให้จำแนวคิดหลักสามข้อ

• โซนและท่อเชื่อม (zones and conduits): แบ่งระบบเป็นโซนที่ต้องการระดับการปกป้องใกล้เคียงกัน แล้วคุมทุก “ท่อ” ที่ข้อมูลวิ่งระหว่างโซน ตรงกับเรื่องที่เราคุยในหัวข้อที่ 5
• ระดับความปลอดภัย (security levels): ไล่จากระดับที่กันความผิดพลาดหรือการกระทำแบบไม่ตั้งใจ ขึ้นไปจนถึงระดับที่ต้องทนผู้โจมตีที่มีความรู้ลึกและทรัพยากรมาก โรงงานเลือกระดับเป้าหมายให้แต่ละโซนตามความเสี่ยงจริง
• แบ่งหน้าที่ชัด: เจ้าของโรงงาน (asset owner) ผู้ติดตั้งระบบ (system integrator) และผู้ผลิตอุปกรณ์ (product supplier) ต่างมีส่วนที่ต้องรับผิดชอบ ความปลอดภัยไม่ใช่ภาระของฝ่ายเดียว

อีกเอกสารที่ใช้กันมากคือ NIST SP 800-82 คู่มือความปลอดภัยของโอทีจากสถาบันมาตรฐานและเทคโนโลยีแห่งชาติของสหรัฐฯ ซึ่งเปิดให้อ่านฟรี เหมาะเป็นจุดเริ่มต้นสำหรับคนที่อยากเข้าใจภาพรวม ส่วนในไทย พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 จัดให้กิจการด้านพลังงานและสาธารณูปโภคเป็นหนึ่งในกลุ่ม “โครงสร้างพื้นฐานสำคัญทางสารสนเทศ” โดยมีสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) ดูแลภาพรวม

ศัพท์น่ารู้: โครงสร้างพื้นฐานสำคัญ (Critical Infrastructure)

บริการที่ถ้าหยุดชะงักแล้วกระทบความปลอดภัย เศรษฐกิจ หรือชีวิตคนจำนวนมาก เช่น ไฟฟ้า น้ำประปา พลังงาน การขนส่ง การสื่อสาร และสาธารณสุข ระบบโอทีจำนวนมากคือหัวใจของบริการเหล่านี้

ฟังดูเป็นงานเฉพาะทาง แต่จริง ๆ แล้วนี่คือสายงานที่ขาดคนอย่างหนักทั่วโลก และเปิดรับคนจากหลายพื้นฐาน เพราะงานนี้ต้องการคนที่ “พูดได้สองภาษา” คือภาษาของเครื่องจักรและภาษาของไซเบอร์

ถ้าเป็นนักเรียนนักศึกษาที่สนใจ เริ่มได้จากสองฝั่งพร้อมกัน ฝั่งหนึ่งเรียนพื้นฐานเครือข่ายและความปลอดภัยไซเบอร์ อีกฝั่งหนึ่งเรียนว่ากระบวนการผลิตทำงานอย่างไร เช่น ลองต่อ PLC สำหรับฝึกในห้องแล็บของมหาวิทยาลัยหรือวิทยาลัยเทคนิค ไปดูงานโรงงานจริง และอ่านรายงานเหตุการณ์ที่หน่วยงานรัฐเผยแพร่ สิ่งที่ต้องจำให้ขึ้นใจตั้งแต่วันแรกคือ ห้ามทดลองกับระบบจริงที่ไม่ได้รับอนุญาตเด็ดขาด ในโลกโอที การ “ลองดูเล่น ๆ” อาจทำให้น้ำทั้งหมู่บ้านไม่ไหล หรือแย่กว่านั้น ฝึกในแล็บและเครื่องจำลองเท่านั้น

10สรุปให้จำ Recap

โลกโอทีอาจอยู่ไกลจากโต๊ะทำงานของเรา แต่ทุกครั้งที่เปิดก๊อกน้ำหรือกดสวิตช์ไฟ เราพึ่งมันอยู่ ถ้าจำได้แค่หกข้อ ให้จำหกข้อนี้

• โอทีห่วงคนและเครื่องก่อนข้อมูล ความปลอดภัยของคนและความพร้อมใช้มาก่อนความลับเสมอ
• เซนเซอร์ → PLC → ตัวขับ คือวงจรควบคุม ส่วน HMI และ SCADA คือหน้าต่างให้คนมองและสั่ง
• แพตช์ไม่ได้ ก็ล้อมรั้ว ใช้การแบ่งโซน คุมทางเข้า และเฝ้าดู เป็นมาตรการชดเชย
• ไอทีห้ามคุยตรงกับโอที ทุกอย่างผ่าน DMZ และทุกการรีโมตต้องมี MFA บันทึก และคนอนุมัติ
• สำรองโปรแกรมเครื่องและซ้อมเดินเครื่องโดยไม่มีไอที เพื่อไม่ให้เกิด Colonial ซ้ำ
• ระบบความปลอดภัย (SIS) ต้องแยกขาด มันคือยามคนสุดท้ายที่ปกป้องชีวิตคน

ลองทบทวนดู