แนวคิดดั้งเดิมในการรักษาความปลอดภัยระบบควบคุมอุตสาหกรรม (OT/ICS) คือการสร้าง “กำแพงหนา” รอบโรงงาน โดยเชื่อว่าทุกอย่างที่อยู่ภายในเครือข่ายเป็นสิ่งที่ไว้วางใจได้ แต่เมื่อภัยคุกคามไซเบอร์พัฒนาขึ้นจนสามารถทะลุผ่าน Perimeter ได้ในเวลาเพียงไม่กี่ชั่วโมง แนวทางนี้ก็เริ่มล้าสมัย Zero Trust Architecture (ZTA) จึงเข้ามาแทนที่ด้วยหลักการที่เรียบง่ายแต่ทรงพลัง: “Never Trust, Always Verify”
Zero Trust คืออะไร?
Zero Trust เป็นกรอบความปลอดภัยที่ไม่มอบความไว้วางใจให้กับผู้ใช้หรืออุปกรณ์ใดโดยอัตโนมัติ ไม่ว่าจะอยู่ภายในหรือภายนอกเครือข่าย การเข้าถึงทรัพยากรทุกครั้งต้องผ่านการยืนยันตัวตน (Authentication) การอนุญาต (Authorization) และการตรวจสอบบริบทอย่างต่อเนื่อง
สำหรับสภาพแวดล้อม OT ที่มีอุปกรณ์ Legacy เช่น PLC และ RTU ที่ไม่รองรับการยืนยันตัวตนแบบใหม่ Zero Trust จึงต้องปรับใช้ในรูปแบบที่เฉพาะเจาะจงต่างจาก IT อย่างมาก
หลักการพื้นฐาน 3 ข้อของ Zero Trust
- Verify Explicitly: ยืนยันตัวตนด้วยหลายปัจจัย (MFA) ตรวจสอบสถานะอุปกรณ์ และบริบทการเชื่อมต่อทุกครั้งก่อนอนุญาต
- Least Privilege Access: มอบสิทธิ์เข้าถึงขั้นต่ำที่จำเป็นเท่านั้น ใช้ Just-In-Time (JIT) และ Just-Enough-Access (JEA) เพื่อจำกัดเวลาและขอบเขตการเข้าถึง
- Assume Breach: ออกแบบระบบโดยสมมติว่ามีผู้บุกรุกอยู่ในเครือข่ายแล้ว แบ่งเครือข่ายเป็นส่วนย่อย (Micro-segmentation) เพื่อจำกัดการเคลื่อนที่ในแนวข้าง (Lateral Movement)
การประยุกต์ใช้ Zero Trust กับ Purdue Model
Purdue Enterprise Reference Architecture (PERA) แบ่งเครือข่ายโรงงานเป็นชั้นต่างๆ ตั้งแต่ Level 0 (Field Devices) ถึง Level 5 (Enterprise Network) Zero Trust สามารถซ้อนทับบนโมเดลนี้ได้โดยการเพิ่มการควบคุมการเข้าถึงระดับ Zone และ Conduit แต่ละชั้น
| ชั้น Purdue | อุปกรณ์ | มาตรการ Zero Trust |
|---|---|---|
| L0-L2 (Cell/Area) | PLC, Sensor, Drive | Network Segmentation, Protocol Filtering |
| L3 (Site Operations) | SCADA, HMI, Historian | Identity-Based Access, MFA, Session Recording |
| L3.5 (IDMZ) | Industrial DMZ | Zero Trust Gateway, Inspection, Allowlisting |
| L4-L5 (Enterprise) | ERP, Email, Cloud | SSO, Conditional Access, Continuous Monitoring |
ความท้าทายในการนำ Zero Trust ไปใช้กับ OT
การปรับใช้ Zero Trust ในสภาพแวดล้อม OT ไม่ใช่เรื่องง่าย เนื่องจากข้อจำกัดทางเทคนิคและการดำเนินงานหลายประการ:
- อุปกรณ์ Legacy: PLC รุ่นเก่าและ RTU หลายรุ่นไม่รองรับการยืนยันตัวตนแบบ 802.1X หรือ Certificate-based Authentication ต้องใช้ Network Access Control (NAC) แบบพาสซีฟแทน
- Real-time Requirement: ระบบควบคุมกระบวนการผลิตต้องการ Latency ต่ำกว่า 10 ms การเพิ่มชั้นการยืนยันตัวตนอาจสร้างความหน่วงที่ไม่ยอมรับได้
- Availability First: หลักการ CIA Triad ใน OT จัดลำดับ Availability > Integrity > Confidentiality ซึ่งตรงข้ามกับ IT การ Lock-out ผู้ใช้ที่ผิดพลาดอาจส่งผลกระทบต่อการผลิต
- 24/7 Operation: โรงงานทำงานต่อเนื่อง ไม่สามารถหยุดระบบเพื่อ Reconfigure Network ได้ ต้องวางแผน Phased Rollout อย่างระมัดระวัง
ข้อเท็จจริง: ตามรายงานของ Gartner องค์กรที่นำ Zero Trust ไปใช้กับสภาพแวดล้อม OT จะลดผลกระทบจากเหตุการณ์ความปลอดภัยรุนแรงได้มากกว่า 50% ภายในปี 2027
แนวทางการปรับใช้ Zero Trust สำหรับ OT
การปรับใช้ Zero Trust ใน OT ควรดำเนินการเป็นขั้นตอน โดยเริ่มจากการทำความเข้าใจสินทรัพย์ (Asset Inventory) และการแมปกระแสข้อมูล (Data Flow Mapping) ก่อน
- Asset Discovery: ใช้เครื่องมือสแกนแบบ Passive เพื่อระบุอุปกรณ์ทุกชิ้นในเครือข่าย OT โดยไม่กระทบการทำงานของระบบ Production
- Risk Assessment: จัดประเภทอุปกรณ์ตามระดับความเสี่ยงและ Criticality ต่อกระบวนการผลิต
- Micro-segmentation: แบ่งเครือข่ายเป็น Zone ย่อยตามฟังก์ชันการทำงาน ใช้ Software-Defined Perimeter (SDP) ควบคุมการสื่อสารระหว่าง Zone
- Identity-Based Policy: ใช้ Identity Provider (IdP) จัดการการเข้าถึงของทั้งบุคคลและอุปกรณ์ (Machine Identity) ด้วย Digital Certificate
- Continuous Monitoring: ติดตั้งระบบตรวจสอบพฤติกรรมอุปกรณ์และผู้ใช้ตลอดเวลา หากพบความผิดปกติให้ยกเลิก Session ทันที
Key Takeaways
- Zero Trust สำหรับ OT ไม่ใช่ผลิตภัณฑ์เดี่ยว แต่เป็นกรอบความคิดที่ประกอบด้วย Identity + Device + Network + Data Controls
- หลัก “Never Trust, Always Verify” หมายถึงการตรวจสอบทุก Session ทุกครั้ง ไม่ว่าจะมาจากภายในหรือภายนอกเครือข่าย
- การปรับใช้ต้องคำนึงถึง Availability เป็นอันดับแรก ระบบควบคุมการผลิตต้องทำงานต่อไปได้แม้ระบบ Zero Trust ล้มเหลว (Fail-Safe Design)
- Micro-segmentation ตาม Purdue Model ช่วยจำกัด Lateral Movement ของผู้บุกรุก ลดพื้นที่การโจมตีที่มีประสิทธิภาพได้ถึง 70-80%
- อุปกรณ์ Legacy ต้องใช้ NAC แบบ Passive และ Protocol-Aware Firewall เพื่อควบคุมการเข้าถึงโดยไม่กระทบ Real-time Communication
- องค์กรควรเริ่มจาก Identity Management และ MFA สำหรับการเข้าถึงระยะไกล (Remote Access) ซึ่งเป็น Attack Surface ที่ใช้งานบ่อยที่สุดใน OT
- Continuous Verification ด้วย Behavioral Analytics ช่วยตรวจจับ Session Anomaly ที่เป็นนิยามของ Zero Trust ในความหมายที่แท้จริง