Phân loại hệ thống HVAC, Cấp nước, PCCC trong mô hình tên miền an ninh mạng (Cybersecurity Domains)
Các hệ thống vật lý công nghiệp này thuộc về tên miền An ninh Hệ thống Vận hành / Công nghệ Vận hành (Operational Technology Security - OT Security), còn gọi là ICS Security (Industrial Control Systems Security) hoặc IoT/IIoT Security trong bối cảnh hiện đại.
1. Vị trí trong các Framework chuẩn
| Framework | Tên miền / Category | Mô tả |
|---|---|---|
| NIST CSF (Cybersecurity Framework) | Protect (PR) / PR.AC / PR.DS / PR.PT | Bảo vệ hệ thống vật lý, kiểm soát truy cập vật lý/logical, bảo vệ dữ liệu vận hành, bảo vệ an toàn chức năng. |
| NIST SP 800-82 (Guide to ICS Security) | ICS/OT Security Domain | Đặc thù cho SCADA, DCS, PLC, SIS. Bao gồm: Network segmentation, Hardening, Patch management, Incident response cho OT. |
| IEC 62443 (ISA/IEC 62443) | Zones & Conduits / Security Levels (SL 1-4) | Chuẩn quốc tế duy nhất cho an ninh hệ thống tự động hóa công nghiệp. Chia vùng (Zone) an ninh, đường truyền (Conduit), cấp độ an ninh (SL). |
| MITRE ATT&CK for ICS | ICS Matrix | Ma trận kỹ thuật tấn công chuyên biệt cho OT: Manipulation of Control, Loss of Safety, Loss of View, Denial of Control... |
| Purdue Model (ISA-95) | Level 0-2 (Field, Control, Supervisory) | HVAC/Water/Fire = Level 0 (Sensor/Actuator), Level 1 (PLC/RTU/DDC), Level 2 (SCADA/HMI/BMS). |
| CIA Triad (OT Context) | Safety (An toàn) > Availability (Sẵn sàng) > Integrity (Toàn vẹn) > Confidentiality (Bảo mật) | Khác IT: Ưu tiên tuyệt đối là An toàn con người/môi trường/thiết bị, sau đó là vận hành liên tục. |
2. Đặc thù an ninh của từng hệ thống
HVAC (Heating, Ventilation, Air Conditioning) - BMS (Building Management System)
- Điều khiển: DDC (Direct Digital Controllers), VFD, Chiller, Boiler, AHU.
- Giao thức: BACnet (thường không mã hóa - BACnet/IP), Modbus TCP, LonWorks, KNX.
- Rủi ro: Can thiệt nhiệt độ (data center, bệnh viện, sản xuất), lây lan malware qua BMS -> IT network (Target 2013 qua HVAC vendor), ransomware khóa BMS.
Hệ thống Cấp nước / Thoát nước (Water/Wastewater - SCADA)
- Điều khiển: PLC (Allen-Bradley, Siemens, Schneider), RTU tại trạm bơm, trạm xử lý.
- Giao thức: Modbus TCP, DNP3, IEC 60870-5-104, OPC UA.
- Rủi ro: Thay đổi liều hóa chất (Oldsmar, Florida 2021), ngừng bơm, tràn trũng, ô nhiễm. An toàn sinh mạng.
Hệ thống PCCC (Fire Protection / Life Safety)
- Bao gồm: Fire Alarm Panel (FACP), Gas Suppression (FM200, Novec, CO2), Sprinkler, Smoke Control, Emergency Lighting.
- Giao thức: Đa số proprietary, đang chuyển sang BACnet, Modbus, IP-based.
- Rủi ro: Vô hiệu hóa cảnh báo, kích hoạt sai hệ thống dập tiệt (gây thiệt hại tài sản), chặn đường thoát nạn. Tính khả dụng (Availability) là sống còn.
3. Các biện pháp bảo vệ cốt lõi (OT/ICS Security Controls)
- Phân đoạn mạng (Network Segmentation / Zoning): Tuân thủ Purdue Model / IEC 62443. DMZ OT/IT. Firewall OT chuyên dụng (Stateless/Stateful DPI cho Modbus, DNP3, BACnet). Không bao giờ kết nối trực tiếp OT ra Internet.
- Quản trị danh tính & Truy cập (IAM/PAM): MFA cho remote vendor access. Jump Server / PAW (Privileged Access Workstation). Just-in-time access. Không dùng chung tài khoản.
- Hardening & Patch Management (Khác IT): Không patch tự động. Test kỹ trong lab. Whitelisting ứng dụng (Application Allowlisting). Tắt dịch vụ/cổng không dùng. Thay đổi mật khẩu mặc định PLC/HMI.
- Giám sát bất thường (Anomaly Detection / OT IDS): Nozomi, Claroty, Dragos, Darktrace/OT. Học baseline traffic OT (rất ổn định, chu kỳ) → phát hiện lệch lệnh điều khiển, traffic lạ.
- Bảo vệ vật lý (Physical Security): Khóa tủ RACK, port security (switch port), USB port lock, camera, truy cậpBadge.
- Kế hoạch ứng phó sự cố OT (OT-IRP): Riêng biệt IT-IRP. Ưu tiên Safety. Quy trình shutdown an toàn, manual override. Đào tạo kỹ sư OT & IT cùng nhau (Tabletop exercise).
- Quản trị rủi ro chuỗi cung ứng (Supply Chain Risk): Kiểm tra firmware, phần mềm vendor. Yêu cầu SBOM (Software Bill of Materials).
4. Xu hướng: IT/OT Convergence & IIoT
- Edge Computing, Digital Twin, Predictive Maintenance kéo dữ liệu OT lên Cloud/IT.
- Yêu cầu: Data Diode (một chiều), Secure Gateway, OPC UA với Security (Sign/Encrypt), Zero Trust Architecture mở rộng xuống OT.
- Kỹ năng cần: Kỹ sư OT hiểu an ninh + Chuyên gia an ninh hiểu quy trình OT (Process-aware Security).
Kết luận: HVAC, Nước, PCCC là Hệ thống Vận hành (OT/ICS), thuộc tên miền OT Security / ICS Security / Critical Infrastructure Protection. Ưu tiên an ninh: Safety > Availability > Integrity > Confidentiality. Cần chiến lược chuyên biệt (IEC 62443, Purdue Model, OT IDS, PAM, Segmentation), không áp dụng y nguyên IT Security.