Cyber Resilience สำหรับโรงงาน: ศาสตร์แห่งการกลับมาผลิตให้เร็วที่สุด เมื่อการโจมตีหยุดไม่ได้

เมื่อการโจมตีเปลี่ยนจาก “ขอเงิน” ไปเป็น “หยุดโรงงาน” — คำถามจึงไม่ใช่ว่าจะโดนหรือไม่ แต่คือกลับมาผลิตได้เร็วแค่ไหน

ตลอดหลายปีที่ผ่านมา โรงงานอุตสาหกรรมคุ้นเคยกับ ransomware ในรูปแบบ “เข้ารหัสข้อมูล แล้วขอค่าไถ่” แต่แนวโน้มที่ชัดเจนในปี 2026 คือการเปลี่ยนเป้าหมายไปที่ operational disruption — การหยุดการผลิตโดยตรง ไม่จำเป็นต้องเข้ารหัสอะไรเลย อาจเป็นแค่การแก้ control logic ให้ไลน์หยุดเป็นพักๆ หรือปิดระบบ monitoring ชั่วคราวจนโรงงานต้องปิดเครื่องเพื่อความปลอดภัย

รายงานจากสายงาน OT security ระบุว่า downtime ที่ไม่ได้วางแผนของบริษัทอุตสาหกรรมในเยอรมนีมีมูลค่าราว 147,000 ยูโรต่อชั่วโมง ตัวเลขนี้อธิบายว่าทำไมผู้โจมตีจึงหันมา “เล่นกับเวลา” แทนการเล่นกับข้อมูล — ทุกชั่วโมงที่ไลน์หยุด คือแรงกดดันที่เพิ่มขึ้นต่อฝ่ายบริหาร และคือ leverage ของฝ่ายโจมตีในการเจรจา

ในโลกที่การป้องกันร้อยเปอร์เซ็นต์เป็นไปไม่ได้ Cyber Resilience จึงกลายเป็นคำถามที่วิศวกรโรงงานต้องตอบให้ได้: ไม่ใช่ “จะไม่ให้โดนได้อย่างไร” แต่คือ “เมื่อโดนแล้ว จะกลับมาผลิตได้เร็วแค่ไหน โดยไม่เสียความปลอดภัย”

เปลี่ยนกรอบคิด: จาก Prevention เป็น Resilience

กรอบคิดเดิมวางเงินไปที่กำแพง — firewall, antivirus, access control ซึ่งยังจำเป็นอยู่ แต่กรอบคิด resilience เพิ่มคำถามอีกสามข้อที่มักถูกลืม: ระบบจะ ตรวจจับการโจมตีได้เร็วแค่ไหน (MTTD), จะ จำกัดความเสียหายไม่ให้ลามไปทั้งโรงงานได้อย่างไร และจะ กู้คืนกลับมาผลิตได้ภายในเวลาเท่าไร (MTTR)

หัวใจของการกู้คืนโรงงาน: สำรองสิ่งที่ “เป็นตัวโรงงาน” ไม่ใช่แค่ไฟล์

backup สำหรับโรงงานไม่ใช่แค่ฐานข้อมูล ERP หรือแชร์ไฟล์ออฟฟิศ สิ่งที่ต้องสำรองคือสิ่งที่ทำให้ไลน์ผลิตกลับมาเดินได้: PLC logic (ladder/FBD), firmware images, HMI projects, SCADA configuration, historian snapshot ช่วงเวลาสำคัญ และ network device configs ทั้งหมดนี้คือ “ดีเอ็นเอ” ของโรงงานที่สะสมมาปีหนึ่งไม่ใช่เรื่องเกินตัวอีกต่อไป

แนวปฏิบัติที่แนะนำคือ 3-2-1 สำหรับ OT: เก็บอย่างน้อย 3 ชุด บนสื่อ 2 ประเภท โดย 1 ชุดต้อง offline หรือ immutable (read-only snapshot) ที่ผู้โจมตีแก้ไขไม่ได้ สำคัญคือต้อง เข้ารหัสสื่อ backup และเก็บ key แยกจากตัวสำรอง — ransomware รุ่นใหม่ออกแบบมาให้ค้นหาและเข้ารหัส backup ก่อนเป้าหมายหลักเสมอ และอย่าลืม pre-change snapshot ของ PLC ทุกครั้งก่อน deploy logic ใหม่ เพื่อให้ rollback ได้ทันทีถ้ามีปัญหา

ซ้อมก่อนโดนจริง: Restore Drill ที่วัดผลได้

1. ตั้งเป้า RTO/RPO ร่วมกับฝ่ายผลิต — RTO (Recovery Time Objective) คือเวลากู้คืนสูงสุดที่ธุรกิจรับได้ เช่น 8 ชั่วโมงสำหรับไลน์หลัก ส่วน RPO (Recovery Point Objective) คือปริมาณข้อมูลที่ยอมให้สูญหาย เช่น ไม่เกิน 1 ชั่วโมงของข้อมูลกระบวนการ
2. ซ้อมบน testbed ไม่ใช่ระบบจริง — นำ backup มา restore ลง environment แยก ทั้ง full restore และ partial restore (เฉพาะ PLC ตัวเดียวหรือ SCADA node เดียว) แล้วจับเวลาจริง
3. วัดและบันทึกผลทุกไตรมาส — KPI ที่ควรเก็บ: MTTD ของ incident, MTTR เทียบกับ RTO, ร้อยละของ restore ที่สำเร็จโดยไม่มีปัญหา และเวลาที่ใช้จริงเทียบกับที่ตั้งไว้
4. ซ้อมสถานการณ์ “manual mode” — ถ้าระบบ SCADA ใช้ไม่ได้ 7 วัน โรงงานจะเดินไลน์แบบ manual ได้จริงไหม มีขั้นตอนเขียนไว้หรือไม่ คนงานรุ่นใหม่เคยซ้อมไหม — คำถามเหล่านี้มักได้คำตอบว่า “เคยทำได้สมัยก่อน”

จากประสบการณ์ติดตั้งจริง: ทีมงาน Honey Corporation ทำงาน system integration ในโรงงานอุตสาหกรรม และเห็นซ้ำๆ ว่าโครงการกู้คืนที่ล่าช้าส่วนใหญ่ไม่ได้ติดที่ “ไม่มี backup” แต่ติดที่ backup นั้นกระจัดกระจาย ไม่มีใครรู้ว่าเวอร์ชันไหนล่าสุด และไม่เคยมีใครลอง restore มาก่อน — สิ่งที่ไม่เคยซ้อม คือสิ่งที่ทำไม่ได้เมื่อต้องทำจริง

Key Takeaways

• แนวโน้มการโจมตีปี 2026 เปลี่ยนจากเรียกค่าไถ่ไปสู่ operational disruption — หยุดการผลิตโดยตรง โดย downtime ของอุตสาหกรรมเยอรมันอยู่ที่ราว 147,000 ยูโรต่อชั่วโมง
• Cyber Resilience เปลี่ยนคำถามจาก “จะป้องกันอย่างไร” เป็น “กลับมาผลิตได้เร็วแค่ไหน” — โดยวัดผลด้วย MTTD และ MTTR เทียบกับ RTO ที่ธุรกิจกำหนด
• สิ่งที่ต้องสำรองคือดีเอ็นเอของโรงงาน: PLC logic, firmware, HMI projects, SCADA config, historian และ network configs — ไม่ใช่แค่ไฟล์ออฟฟิศ
• ใช้หลัก 3-2-1 สำหรับ OT: 3 ชุด บน 2 สื่อ 1 ชุด offline/immutable พร้อมเข้ารหัสและเก็บ key แยกจากตัวสำรอง
• Restore drill ทุกไตรมาสบน testbed พร้อมจับเวลาจริง — backup ที่ไม่เคยทดสอบถือว่าไม่มีอยู่จริง
• อย่าลืมซ้อม manual mode: ถ้า SCADA ล่ม 7 วัน โรงงานต้องมีขั้นตอนและคนที่ซ้อมพอจะเดินไลน์ต่อได้อย่างปลอดภัย