พลังงานและสาธารณูปโภค

เครือข่ายอุตสาหกรรม การแยกระบบควบคุม (OT) และการเฝ้าระวัง สำหรับเขื่อนไฟฟ้าพลังน้ำ สถานีไฟฟ้า โซลาร์ฟาร์ม และการประปา

อะไรทำให้งานในภาคนี้ยาก

ระบบควบคุมของเขื่อนหรือสถานีไฟฟ้าที่ถูกโจมตีไม่ได้แค่ทำให้ข้อมูลเสียหาย แต่ทำให้ไฟดับทั้งพื้นที่ได้
เขื่อนและสถานีอยู่ในหุบเขาห่างไกล การเชื่อมต่อคือไฟเบอร์ OPGW ตามสายส่ง ไมโครเวฟ หรือดาวเทียม
SCADA ที่ติดตั้งมา 10–15 ปี ถูกออกแบบในยุคที่ไม่มีใครคิดว่ามันจะเชื่อมกับเครือข่ายสำนักงาน
ผู้ผลิตอุปกรณ์ต่างประเทศต้องการเข้าถึงจากระยะไกลเพื่อบำรุงรักษา และบางครั้ง VPN ที่เปิดให้ก็ไม่เคยถูกปิด
รั้วยาวหลายกิโลเมตรในพื้นที่ที่ฟ้าผ่าหนักและความชื้นสูง กล้องทั่วไปมักอยู่ได้ไม่เกินหนึ่งหน้าฝน

แบบระบบไอทีอ้างอิง

ในโรงไฟฟ้าและระบบประปา กฎข้อแรกคือ "อย่าทำให้อะไรหยุด" เราจึงเริ่มจากการสำรวจ ไม่ใช่การเปลี่ยนแปลง

1. รู้ว่ามีอะไรอยู่

สำรวจอุปกรณ์ OT ทั้งหมดและแต่ละเครื่องคุยกับใคร ด้วยการเก็บข้อมูลแบบ passive (ฟัง traffic จาก span port) แทนการสแกน การสแกนแบบรุนแรงทำให้ PLC รุ่นเก่าค้างได้ สิ่งที่เรามักพบ: คอมพิวเตอร์ engineering ที่มีการ์ดเครือข่ายสองใบเชื่อมทั้ง OT และสำนักงาน และโมเด็ม 4G ที่ผู้รับเหมาเก่าลืมไว้

2. แบ่งโซน

แบ่ง zone และ conduit ตามแนวคิดของ IEC 62443: โซนควบคุม (SCADA/PLC) DMZ กลาง (historian และเซิร์ฟเวอร์แลกเปลี่ยนข้อมูล) และโซนไอที
Firewall ระหว่างทุกโซน อนุญาตเฉพาะ protocol และทิศทางที่จำเป็น ข้อมูลไหลจาก OT ออกไป DMZ ไม่ใช่จากอินเทอร์เน็ตเข้าโซนควบคุม
Industrial switch ที่ออกแบบสำหรับสภาพแวดล้อมของสถานีไฟฟ้า

3. ควบคุมการเข้าถึงระยะไกล

Secure Remote Access สำหรับผู้ผลิตและผู้รับเหมา: MFA อนุมัติก่อนเข้าทุกครั้ง session ที่หมดอายุเอง และบันทึกหน้าจอ ไม่มี VPN ที่เปิดค้างไว้ถาวร
EDR หรือ application allow-listing สำหรับเครื่อง HMI และ engineering workstation ตามที่ผู้ผลิตระบบควบคุมรับรอง

4. เฝ้าระวังและเตรียมพร้อม

SOC monitoring รวบรวม log จาก firewall และเซิร์ฟเวอร์ เพื่อตรวจพบเหตุการณ์ได้เร็ว
แผนรับมือเหตุการณ์ที่เขียนร่วมกับวิศวกรโรงไฟฟ้า: ถ้าโซนไอทีติดแรนซัมแวร์ ใครเป็นคนตัดสินใจตัดการเชื่อมต่อ และโรงไฟฟ้าเดินแบบ manual ได้นานเท่าไร
Vulnerability Assessment อย่างระมัดระวัง และ อบรม พนักงาน
Backup configuration ของ PLC/SCADA และเซิร์ฟเวอร์ไว้หลายที่รวมถึง offline เมื่อ PLC เสีย configuration ที่หาไม่เจออาจทำให้หยุดนานหลายวัน

การเชื่อมต่อและความปลอดภัยทางกายภาพ

ไฟเบอร์ สำหรับเครือข่ายภายในโครงการและระหว่างโรงไฟฟ้า สถานี และสำนักงาน ไฟเบอร์ไม่รับสนามไฟฟ้าแรงสูงและฟ้าผ่า
Point-to-Point Wireless หรือไมโครเวฟในจุดที่เดินไฟเบอร์ไม่ได้ ดาวเทียม เป็นเส้นสำรอง และ SD-WAN สำหรับฝั่งไอทีกลับเวียงจันทน์
IP CCTV กันน้ำที่สันเขื่อน ทางระบายน้ำล้น สถานี และประตู กล้องความร้อน (thermal) สำหรับแนวรั้วยาวที่ไม่มีไฟส่อง
Perimeter Security และ AI Video Analytics ตรวจจับการบุกรุก Access Control สำหรับห้องควบคุมและห้องสวิตช์
UPS และระบบไฟ DC สำหรับอุปกรณ์สื่อสาร สายดินและกันฟ้าผ่าทุกเสากล้อง และ IoT วัดอุณหภูมิและความชื้นในห้องอุปกรณ์