OT Vulnerability Management: วิธีจัดการช่องโหว่ในระบบควบคุมอุตสาหกรรม ตอนที่ช่องโหว่ Critical เพิ่มขึ้น 49% ในครึ่งปีแรก

ในช่วงครึ่งปีแรกของปี 2025 มีการเปิดเผยช่องโหว่ที่ส่งผลกระทบต่อระบบ Operational Technology (OT) จำนวน 670 รายการ และ 49% ของช่องโหว่เหล่านี้ถูกจัดระดับความรุนแรงเป็น Critical หรือ High (CVSS ≥ 7.0) ข้อมูลจาก IBM X-Force Vulnerability Database ยังระบุด้วยว่า 21% ของช่องโหว่ระดับ Critical มี exploit code ที่เผยแพร่ต่อสาธารณะ พร้อมใช้งานสำหรับผู้โจมตี เลขเหล่านี้สะท้อนภาพความท้าทายที่ทีมรักษาความปลอดภัย OT ของโรงงานอุตสาหกรรมต้องเผชิญทุกวัน จะทำอย่างไรให้สามารถคัดกรอง ประเมิน และแก้ไขช่องโหว่ได้ทันท่วงที โดยไม่กระทบการผลิตที่ต้องทำงาน 24/7 ไม่หยุดชะงัก

บทความนี้จะเจาะลึกกระบวนการ OT Vulnerability Management ตั้งแต่การค้นพบสินทรัพย์ การประเมินความเสี่ยง การจัดลำดับความสำคัญ ไปจนถึงกลยุทธ์การแก้ไขที่เหมาะสมกับสภาพแวดล้อมโรงงานจริง

OT Vulnerability Management ต่างจาก IT อย่างไร?

การจัดการช่องโหว่ในโลก IT ค่อนข้างตรงไปตรงมา ตรวจพบ แพตช์ รีบูต เสร็จ แต่ในโลก OT เรื่องซับซ้อนกว่ามาก เพราะทุกการเปลี่ยนแปลงบนระบบควบคุมอาจหมายถึงการหยุดสายการผลิต ความเสียหายต่ออุปกรณ์ หรือในกรณีร้ายแรง — อันตรายถึงชีวิตคนงาน ตารางต่อไปนี้เปรียบเทียบความแตกต่างสำคัญ:

5 ขั้นตอนของ OT Vulnerability Management Lifecycle

1. Discover — ค้นหาและสร้าง Inventory

คุณป้องกันสิ่งที่มองไม่เห็นไม่ได้ ขั้นตอนแรกคือการสร้าง Asset Inventory ที่แม่นยำ ใน OT แนะนำให้ใช้ Passive Discovery เป็นหลัก — ดักฟัง network traffic เพื่อระบุอุปกรณ์ (PLC, RTU, HMI, Engineering Workstation) โดยไม่ส่ง packet ไปกระตุ้นอุปกรณ์ ซึ่งอาจทำให้ PLC เก่าๆ crash ได้ Active Scan ควรใช้เฉพาะในช่วง Maintenance Shutdown เท่านั้น

2. Assess — ประเมินความรุนแรง

เมื่อรู้แล้วว่ามีอะไรบ้าง ขั้นต่อไปคือประเมินช่องโหว่ที่ส่งผลกระทบต่อแต่ละอุปกรณ์ ใช้ CVSS (Common Vulnerability Scoring System) เป็นจุดเริ่มต้น แต่อย่าหยุดแค่นั้น เพราะ CVSS บอกแค่ความรุนแรงทางเทคนิค ไม่ได้สะท้อนบริบทของโรงงาน ต้องพิจารณาเพิ่ม:

• Exploitability — มี exploit code สาธารณะหรือไม่? (ตรวจสอบจาก CISA KEV Catalog)
• Network Exposure — อุปกรณ์ต่อ Internet โดยตรงหรืออยู่หลัง Firewall?
• Process Criticality — ถ้าอุปกรณ์นี้ล่ม สายการผลิตหยุดทันทีหรือไม่?
• Safety Impact — การโจมตีอาจส่งผลต่อระบบ Safety Instrumented System (SIS) หรือไม่?

3. Prioritize — จัดลำดับความสำคัญ

ทีมงาน Honey Corporation มีประสบการณ์ติดตั้งและดูแลระบบ IoT/OT ในโรงงานอุตสาหกรรมหลากหลายประเภท เราพบว่าโรงงานส่วนใหญ่มีช่องโหว่ค้างอยู่จำนวนมาก การพยายามแก้ทุกอย่างพร้อมกันเป็นไปไม่ได้ ต้องจัดลำดับด้วยกรอบคิดที่เรียกว่า Risk-Based Prioritization คำนวณจาก:

Risk = CVSS × Exploitability × Asset Criticality × Network Exposure

ช่องโหว่ที่น่ากังวลที่สุดคือกลุ่มที่ มี exploit code สาธารณะ + ตั้งอยู่บนอุปกรณ์ Critical + เชื่อมต่อ Internet หรือ IT Network กลุ่มนี้ต้องแก้ทันที (0–7 วัน)

4. Remediate — แก้ไขช่องโหว่

ใน OT การ “แก้ไข” ไม่ได้มีแค่ติดตั้งแพตช์ มีด้วยกัน 4 วิธี ที่ต้องเลือกตามสถานการณ์:

1. Patch — ติดตั้ง firmware/software update จากผู้ผลิต (วิธีที่ดีที่สุด แต่ต้องรอ Maintenance Window)
2. Compensating Controls — ใช้ Firewall Rule, Network Segmentation หรือ IPS Signature เพื่อบล็อก vector การโจมตี
3. Configuration Change — ปิด Service ที่ไม่จำเป็น, เปลี่ยน Default Password, ปิด Port ที่ไม่ใช้
4. Accept/Defer — ยอมรับความเสี่ยงชั่วคราว พร้อมเอกสารแจ้งชัดเจน (ต้องมีการทบทวนตามรอบ)

5. Monitor & Verify — ติดตามและยืนยัน

หลังแก้ไขแล้วต้องตรวจสอบยืนยันว่าช่องโหว่ถูกปิดจริง และติดตามช่องโหว่ใหม่ที่เผยแพร่อย่างต่อเนื่อง เชื่อมต่อกับแหล่งข้อมูล CISA ICS Advisories, ThaiCERT OT Cyber News และ Industrial Vulnerability Database เพื่อรับการแจ้งเตือนล่วงหน้า

สถิติที่โรงงานต้องตระหนัก

จากรายงาน Kaspersky ICS CERT Q1 2026 พบว่า 19.6% ของคอมพิวเตอร์ ICS ทั่วโลกถูกโจมตีด้วยมัลแวร์ และในภาคการผลิตของเอเชียตะวันออกเฉียงใต้ สัดส่วนการโจมตีสูงถึง 23.21% — สูงเป็นอันดับ 1 ของโลก

ตัวเลขนี้สะท้อนว่าโรงงานในไทยและภูมิภาคอาเซียนอยู่ในเขตเป้าหมายอันดับต้นของการโจมตีทางไซเบอร์ การมีระบบ Vulnerability Management ที่ทำงานอย่างเป็นระบบจึงไม่ใช่เรื่องของ “ความปลอดภัย” เฉพาะทางอีกต่อไป แต่คือเรื่องของความต่อเนื่องทางธุรกิจ (Business Continuity)

Key Takeaways สำหรับวิศวกร OT

1. เริ่มจาก Visibility — หากยังไม่มี Asset Inventory ที่แม่นยำ ทุกอย่างที่ตามมาไม่มีความหมาย ใช้ Passive Discovery เป็นหลัก
2. อย่า Scan เหมือน IT — Active Vulnerability Scan สามารถทำให้ PLC หรือ RTU เก่าๆ crash ได้ ต้องใช้ OT-specific Discovery เท่านั้น
3. จัดลำดับด้วยบริบท — CVSS อย่างเดียวไม่พอ ต้องคูณกับ Exploitability, Asset Criticality และ Network Exposure
4. ติดตาม CISA KEV — ช่องโหว่ที่อยู่ใน Known Exploited Vulnerabilities Catalog ต้องจัดการเป็นพิเศษ 90% ของ CVE ที่ถูกเจรจามากที่สุดใน H1 2025 ถูกใช้โจมตีจริง
5. Compensating Controls บ่อยครั้งคือคำตอบ — เมื่อไม่สามารถแพตช์ได้ทันที การใช้ Network Segmentation + IPS Signature + Access Control ช่วยลดความเสี่ยงได้มาก
6. เชื่อม Threat Intelligence — ฟีดข้อมูลภัยคุกคามเฉพาะทาง OT ช่วยให้ทราบล่วงหน้าว่าช่องโหว่ใดกำลังถูกใช้โจมตีจริง
7. ทำเป็นกระบวนการต่อเนื่อง — Vulnerability Management ไม่ใช่โปรเจกต์ครั้งเดียว ต้องทำซ้ำทุกไตรมาส หรือมากกว่า