Một cuộc diễn tập an ninh OT không nên kết thúc khi đội bảo mật phát hiện cảnh báo. Kết quả quan trọng nhất là nhà máy có thể cô lập môi trường có khả năng bị xâm nhập, khôi phục chức năng điều khiển từ nguồn tin cậy và chạy lại sản xuất mà không tái nhiễm, không bỏ qua kiểm soát an toàn, chất lượng và truy xuất nguồn gốc. Mọi quyết định còn phải giải trình được bằng bằng chứng. Ở nhà máy tại Thái Lan, sản xuất, bảo trì, IT/OT tại chỗ, trụ sở ở nước ngoài, hãng máy và đơn vị hỗ trợ có thể cùng tham gia. Vì vậy quyền quyết định và giao tiếp song ngữ quan trọng không kém quy trình kỹ thuật.
Bài viết kết hợp ứng phó sự cố OT, phòng chống ransomware trong nhà máy, khôi phục sao lưu OT và diễn tập mạng thành một chương trình 90 ngày. Tất cả mốc thời gian, vai trò, cổng đánh giá và điểm số dưới đây là giả định minh họa của một trường hợp mẫu, không phải yêu cầu pháp lý hay chuẩn thực tế của ngành. Phạm vi thử nghiệm phải được chọn theo điều kiện an toàn, chất lượng, cam kết sản xuất, bảo hành thiết bị và hạn chế vận hành của từng nhà máy.
Thước đo thành công là khôi phục an toàn và có thể chứng minh
Nhiều cuộc diễn tập coi như hoàn thành khi SOC phát hiện lưu lượng đáng ngờ và gọi cho nhà máy. Nhưng khó khăn của OT bắt đầu từ đó. Kết nối lại quá sớm có thể làm thiết bị vừa dựng sạch tái nhiễm. Dự án PLC cũ có thể thiếu liên động an toàn mới nhất. HMI khởi động được không chứng minh recipe, cảnh báo, đồng bộ thời gian, quyết định chất lượng hay phả hệ lô đều đúng.
Cuộc diễn tập phải trả lời bằng bằng chứng:
- Tài sản nào bị cô lập, vào lúc nào và dựa trên dữ liệu nào?
- Bản sao lưu được chọn có đúng cấu hình đã duyệt và đã kiểm tra mã độc không?
- Thứ tự phụ thuộc giữa PLC, HMI, máy trạm kỹ thuật, historian và mạng có được tuân thủ không?
- Dừng khẩn cấp, cửa bảo vệ và giới hạn quá trình đã được kiểm tra lại chưa?
- Recipe được duyệt, kiểm tra chất lượng và truy xuất đã khôi phục đầy đủ chưa?
- Ai cho phép kết nối từ vùng sạch sang sản xuất?
- Nhật ký và thời gian quan sát nào cho thấy không tái nhiễm?
NIST SP 800-82 Rev. 3 nêu rằng bảo mật OT phải xử lý các yêu cầu đặc thù về hiệu năng, độ tin cậy và an toàn. Vì vậy xây lại máy tính chưa phải là đích. Khôi phục chỉ hoàn thành khi rủi ro vật lý được kiểm soát và chủ sở hữu sản xuất, an toàn, chất lượng có đủ bằng chứng để cấp phép vận hành.
Định nghĩa trạng thái vận hành an toàn tối thiểu trước
Trước khi viết kịch bản tấn công, hãy định nghĩa minimum safe operating state: nhà máy chỉ làm một số sản phẩm, ở tốc độ và thiết bị giới hạn, có thể dùng quy trình thủ công được phê duyệt, nhưng vẫn giữ an toàn và chất lượng. Đây là ranh giới cấp phép, không đơn thuần là vận hành suy giảm.
| Khía cạnh | Ví dụ trạng thái tối thiểu | Bằng chứng trước khi cấp phép |
|---|---|---|
| An toàn | E-stop, cửa bảo vệ, liên động quan trọng chạy logic được duyệt | Biên bản kiểm tra, so sánh PLC, chữ ký chứng kiến |
| Chất lượng | Chỉ dùng recipe được duyệt; kiểm tra sản phẩm đầu và lấy mẫu tăng cường | Phiên bản recipe, kết quả kiểm tra, duyệt chất lượng |
| Sản xuất | Một dây chuyền, một sản phẩm, khởi động tốc độ thấp | Lệnh sản xuất, cài đặt tốc độ, người giám sát |
| Truy xuất | Ghi lô, vật liệu, thiết bị và thời gian trong MES hoặc phương án dự phòng | Thử phả hệ và biên bản đồng bộ giờ |
| Kết nối | Chỉ mở luồng thực sự cần | Danh sách luồng tạm, thay đổi firewall, phê duyệt |
| Giám sát | Theo dõi tái nhiễm với điều kiện dừng định trước | Nhật ký được bảo toàn và biên bản giám sát |
Giá trị thực tế tùy nhà máy. Nếu hồ sơ giấy có kiểm soát không đáp ứng quy trình, MES hoặc historian có thể là điều kiện bắt buộc. Nếu có phương án thủ công đã thẩm định, sản xuất hạn chế có thể bắt đầu sớm hơn. Điều quan trọng là quyết định quy tắc trước sự cố.
Tham khảo hướng dẫn an ninh OT cho nhà máy Thái Lan để đặt nền tảng tài sản và phòng ngừa, và hướng dẫn xây dựng mạng công nghiệp để xác định ranh giới, luồng truyền thông.
Mô hình diễn tập mạng nhà máy trong 90 ngày
Chín mươi ngày là thời lượng minh họa. Nhà máy ít cửa sổ bảo trì hoặc sao lưu yếu có thể cần lâu hơn; nhà máy trưởng thành có thể rút ngắn một số pha.
| Giai đoạn | Công việc | Điều kiện kết thúc |
|---|---|---|
| Ngày 1–15 | Chọn quá trình, tài sản quan trọng, phụ thuộc, trạng thái an toàn, chủ sở hữu | Phạm vi và điều kiện cấp phép được duyệt |
| Ngày 16–30 | Lập kịch bản, danh bạ, quyền quyết định, biểu mẫu bằng chứng, sổ sao lưu | An toàn, chất lượng, sản xuất duyệt kế hoạch và điều kiện dừng |
| Ngày 31–45 | Tabletop về quyết định và liên lạc | Ghi lại xung đột, chậm trễ, vấn đề chưa quyết |
| Ngày 46–65 | Functional restore trong môi trường cô lập | Dựng hệ thống và xác minh cấu hình/dữ liệu |
| Ngày 66–80 | Partial operational test có giới hạn | Vận hành hạn chế đáp ứng an toàn và chất lượng |
| Ngày 81–90 | AAR và kế hoạch cải tiến | Mọi hành động có người phụ trách, hạn, bằng chứng đóng |
Ngày 1–15: thu hẹp phạm vi, đào sâu phụ thuộc
Không bắt đầu bằng toàn nhà máy. Hãy chọn một dây chuyền quan trọng, một sản phẩm đại diện và một cặp PLC/HMI. Danh mục phải có firmware, PLC project, ứng dụng HMI, recipe, license, service account, certificate, nguồn thời gian, vị trí sao lưu, phần mềm restore, cáp cần thiết và liên hệ vendor, không chỉ model và IP.
Theo dõi phụ thuộc qua nguồn điện, switch, DNS, identity, historian, MES, ERP và thiết bị đo chất lượng. Bản sao PLC tốt vẫn vô dụng nếu thiếu license server hay driver riêng. Ghi thứ tự shutdown tách biệt với thứ tự restore.
Ngày 16–30: duyệt kịch bản và điều kiện dừng
Kịch bản mẫu là workstation bảo trì có dấu hiệu ransomware, sau đó xuất hiện đăng nhập bất thường vào thư mục dùng chung và HMI. Không dùng mã độc thật. Controller đưa log, cuộc gọi, ảnh màn hình và sự kiện file mô phỏng.
Phải có abort criteria. Dừng ngay nếu thiết bị chuyển động ngoài dự kiến, sai lệch an toàn, bất thường chất lượng, lưu lượng chưa phép, hỏng bản sao gốc hoặc có khẩn cấp sản xuất thật. Người phụ trách an toàn và sản xuất phải có quyền dừng rõ ràng.
Ngày 31–45: kiểm tra quyết định bằng tabletop
Tabletop là thảo luận có điều phối. Người tham gia nói sẽ liên hệ ai, cô lập gì, giữ bằng chứng nào, khi nào báo cấp cao. Không restore thiết bị. Mục tiêu là xem chuỗi quyết định có chạy dưới áp lực thời gian không.
CISA Cybersecurity Scenarios có nội dung ICS compromise và critical manufacturing. CISA CTEP Package Documents có mẫu planner, evaluator và after-action. Đây là nguyên liệu phải chỉnh theo nhà máy; điền mẫu không chứng minh mức sẵn sàng.
Ngày 46–65: thực hiện khôi phục sao lưu OT chức năng
Dùng mạng thử tách biệt, phần cứng tương đương hoặc môi trường test được duyệt và restore thật. Nhìn thấy file trong kho không phải kiểm tra khôi phục. Cần xác nhận công cụ restore, credential, khóa mã hóa, phiên bản PLC/HMI và dịch vụ phụ thuộc hoạt động.
NIST SP 1339 khuyến nghị tích hợp sao lưu OT với quản lý thay đổi, tạo thường xuyên, kiểm thử và xem xét trong diễn tập khôi phục. Do đó log backup thành công không chứng minh recoverability. Cần kiểm tra bản sau thay đổi có khớp cấu hình đã duyệt hay không.
Ngày 66–80: kiểm tra một phần quá trình vật lý
Dùng cấu hình đã restore để thử máy thật hoặc thiết bị test được cô lập, với điều kiện không tải, tốc độ thấp, phôi đại diện, thời gian ngắn và tăng giám sát. Kiểm tra interlock, alarm, recipe, inspection, traceability và stop procedure theo thứ tự.
Điều này không đồng nghĩa mọi cuộc diễn tập phải dừng dây chuyền thật. Khi hạn chế lớn, dùng FAT, PLC dự phòng, testbed hoặc một phần kỳ bảo trì. Ghi rõ phần chưa thử là residual risk và lên lịch cho cơ hội phù hợp.
Tạo vùng khôi phục sạch để tránh tái nhiễm
Vùng khôi phục sạch phải tách khỏi mạng sản xuất, có switch kiểm định, workstation sạch, media sao lưu, công cụ kiểm mã độc và so sánh cấu hình. Không mặc định dùng cùng hệ thống danh tính có thể đã bị xâm nhập.
Luồng khôi phục có kiểm soát:
- Chọn backup trước thời điểm nghi bị xâm nhập và liên kết với change record.
- Kiểm tra hash, chuỗi bảo quản, mã hóa và khả năng đọc.
- Restore từ workstation sạch vào vùng cô lập.
- So sánh logic PLC, màn hình HMI, recipe và cấu hình mạng với baseline được duyệt.
- Kiểm indicator, tài khoản thừa, mục tự khởi động lạ và truyền thông không rõ.
- Function test an toàn và chất lượng, phê duyệt mọi sai khác.
- Người có thẩm quyền xem evidence pack trước khi nối vào sản xuất.
- Tăng giám sát sau kết nối và định trước điều kiện tái cô lập.
CISA StopRansomware Guide hỗ trợ khôi phục từ backup offline được mã hóa và lưu ý tránh làm hệ thống sạch tái nhiễm. Tuy nhiên hướng dẫn không thể xác định thứ tự PLC và release chất lượng riêng của nhà máy. Diễn tập phải chứng minh các bước tại chỗ.
Gán quyền quyết định theo sự kiện
Danh bạ ghi owner là chưa đủ. Phải biết ai có quyền dừng line, isolate asset, giữ evidence, liên lạc ngoài, bắt đầu restore, cho restricted operation và full production. Bảng sau là trường hợp minh họa.
| Quyết định | Người thực hiện | Người duyệt cuối | Phải tham vấn | Nhận thông tin |
|---|---|---|---|---|
| Cô lập asset nghi ngờ | OT/IT responder | incident commander | production, maintenance | plant manager, SOC |
| Dừng line | production lead | plant manager/ủy quyền | safety, quality, OT | regional HQ |
| Thu bằng chứng | IT/OT evidence lead | commander | legal/HR khi cần | management |
| Bắt đầu restore | OT recovery lead | commander | vendor, safety | production, quality |
| Cấp phép trạng thái tối thiểu | production | plant manager | safety, quality, OT | HQ, đầu mối khách hàng |
| Trở lại full production | production | plant manager | quality, safety, IT/OT | bên liên quan |
Thông báo pháp lý, cơ quan, bảo hiểm và khách hàng thay đổi theo quốc gia, hợp đồng và sự cố. Bảng này không phải tư vấn pháp lý. Cần xác nhận với pháp chế và thỏa thuận áp dụng.
Đặt chuỗi bằng chứng ở trung tâm khôi phục
Bằng chứng không chỉ phục vụ điều tra sau này mà còn hỗ trợ release an toàn. Liên kết cảnh báo gốc, timestamp, hành động isolate, network delta, backup ID/hash, restore log, so sánh cấu hình, kiểm interlock, kiểm sản phẩm đầu, duyệt kết nối và kết quả giám sát vào một timeline.
Nếu đồng hồ hệ thống lệch, ghi offset. Ngoài screenshot, ghi ai thực hiện từ workstation nào, theo số thay đổi/phê duyệt nào và lý do chấp nhận ngoại lệ. Lưu evidence ngoài affected environment với quyền truy cập và retention rõ.
| Nội dung đánh giá | Bằng chứng | Kết quả |
|---|---|---|
| Cô lập đầy đủ | firewall/switch delta, traffic capture | xác nhận / chưa biết |
| Tin cậy backup | revision, hash, change ID, scan | xác nhận / chưa biết |
| Chức năng an toàn | interlock test | đạt / không đạt |
| Chức năng chất lượng | so sánh recipe, sản phẩm đầu | đạt / không đạt |
| Truy xuất | thử tiến/lùi của lô mẫu | đạt / không đạt |
| Giám sát tái nhiễm | endpoint/network/system logs | bình thường / điều tra |
| Phê duyệt | commander, safety, quality, production | đủ / thiếu |
“Chưa biết” là kết quả hợp lệ nhưng phải chặn quyết định liên quan, không được đổi thành đạt để tiện tiến độ.
Thiết kế liên lạc song ngữ và với trụ sở
Mẫu báo cáo nên có thời gian và múi giờ, line, sự kiện quan sát, điều chưa biết, isolation đã làm, quyết định tiếp theo, người có quyền, tác động khách hàng, an toàn, chất lượng và giờ cập nhật tiếp.
Từ điển Thái-Anh hoặc Thái-Nhật phải tách isolate, shutdown, emergency stop, safe state, restore, release, suspected và confirmed. Restore complete không đồng nghĩa production release. Quyết định quan trọng dùng closed-loop communication, để người duyệt nhắc lại lệnh và điều kiện dù có phiên dịch.
HQ cần tóm tắt sẵn cho quyết định, không phải hàng nghìn log. Site cần lý do và deadline của HQ. Nếu email/chat có thể ngừng, hãy inject tình huống đó và thử phone tree cùng danh bạ offline.
Các tình huống ransomware giả định cho buổi diễn tập nhà máy
Controller có thể đưa các dữ liệu giả định theo giai đoạn:
- đăng nhập ban đêm từ shared HMI account;
- thời gian sửa PLC project không khớp change record;
- online backup share bị mã hóa;
- offline media đọc được nhưng chưa chắc có thay đổi máy mới nhất;
- HQ yêu cầu dừng toàn bộ, trong khi site đề xuất limited operation;
- khách hàng yêu cầu bằng chứng giao hàng và genealogy;
- chuyên gia vendor không liên lạc được ngày nghỉ;
- xuất hiện DNS request không rõ sau restore.
Inject cuối kiểm tra đội sẽ vội reconnect hay quay lại isolation. Mục tiêu không phải là tốc độ kiểu anh hùng mà là giảm bất định có kỷ luật trong khi bảo vệ an toàn và chất lượng.
Không trộn lẫn ba cấp độ
Tabletop discussion
Kiểm tra con người, quyền hạn, liên lạc, ưu tiên và phương án. Không chứng minh thiết bị restore được.
Functional restore test
Người thực hiện dùng công cụ và dựng hệ thống trong isolation. Kiểm credential, media, thời gian và config delta nhưng chỉ chứng minh hạn chế về quá trình vật lý.
Partial operational test
Kiểm thiết bị, an toàn, chất lượng và truy xuất dưới điều kiện kiểm soát. Scope theo rủi ro và sản xuất; phần chưa thử là residual risk.
Tài liệu CISA về năng lực ứng phó ICS đề cập kịch bản thực tế và khó, diễn tập lặp lại, partial hoặc full test khi khả thi. Nhà máy phải tách điều kiện “đã thảo luận”, “đã restore” và “đã vận hành an toàn”.
Đo chất lượng cùng với thời gian
Thời gian khôi phục quan trọng nhưng chỉ tối ưu tốc độ sẽ khuyến khích bỏ kiểm tra. Các chỉ số sau là giả định minh họa, không phải benchmark.
| Chỉ số | Điều phản ánh | Lối tắt không tốt |
|---|---|---|
| Alert đến chỉ định commander | tốc độ khởi động chỉ huy | kết luận nguyên nhân khi thiếu bằng chứng |
| Quyết định isolate đến xác minh | hiệu quả containment | cắt nguồn mà không xem xét an toàn |
| Chọn restore point | chất lượng backup register | tự động chọn bản mới nhất |
| Duyệt configuration | tính lặp lại clean restore | bỏ qua delta chưa giải thích |
| Duyệt restricted operation | mức sẵn sàng liên phòng ban | bỏ kiểm tra an toàn và chất lượng |
| Số bằng chứng còn thiếu | khả năng giải trình | viết lại từ trí nhớ |
| Lưu lượng lạ tái diễn | nguy cơ tái nhiễm | rút ngắn thời gian quan sát |
Nếu dùng scorecard mẫu, chỉ một cổng an toàn hoặc chất lượng không đạt cũng phải chặn cấp phép, bất kể tổng điểm. Điểm số giúp sắp thứ tự cải tiến, không được dùng trung bình để che điều kiện trọng yếu.
Biến After-Action Report thành cải tiến
AAR nêu điều gì xảy ra, điều gì được mong đợi, vì sao có chênh lệch, ai sửa khi nào và bằng chứng nào đóng việc. Chuyển finding thành cải tiến hệ thống, không đổ lỗi cá nhân.
| Finding | Action | Bằng chứng đóng |
|---|---|---|
| Không rõ revision PLC backup | thêm backup/hash vào điều kiện đóng change | ticket và restore test |
| Danh bạ cũ | kiểm hàng tháng và có alternate | validation log |
| Thiếu quality release | thêm first-piece và authority vào recovery plan | procedure và exercise record |
| Workstation sạch phụ thuộc identity sản xuất | chuẩn bị máy và credential độc lập | asset record và boot test |
| HQ chậm quyết định | thống nhất delegation và time limit | decision matrix được duyệt |
Retest action trong cuộc diễn tập sau. Sửa tài liệu chưa phải closure cho đến khi quy trình chạy được. Nếu cần đầu tư lớn, báo temporary control, residual risk và ngày quyết định ngân sách.
Đọc diễn biến khu vực như tín hiệu tăng cường năng lực
Ngày 15 tháng 9 năm 2026, Yokogawa Engineering Asia công bố Industrial Cyber Resilience Center tại Singapore, được định vị là hub phục vụ Đông Nam Á, Châu Đại Dương và Đài Loan, cung cấp hoạt động về OT readiness và capability development. Đây là thông báo của công ty, không phải bằng chứng độc lập cho tuyên bố tiếp thị. Dù vậy, nó là một tín hiệu hiện tại rằng dịch vụ OT resilience trong khu vực đang mở rộng.
Dùng trung tâm ngoài hoặc vendor không chuyển giao quyền quyết định của nhà máy. Phải xác định scope, di chuyển dữ liệu, lưu log, remote access, warranty, confidentiality, thời gian hỗ trợ tại chỗ và deliverable trước. Vendor có thể có restore tool nhưng không mặc nhiên sở hữu quyền release an toàn/chất lượng.
Lỗi thường gặp và cách sửa
- Kết thúc ở SOC alert — mở rộng exit criteria qua restore, quality release, limited operation và monitoring.
- Chỉ kiểm tra có backup — restore trong isolation và xác minh license, version, dependency.
- Tin bản mới nhất — chọn trusted point theo thời gian xâm nhập, change history, hash và scan.
- Chỉ OT tham gia — bổ sung safety, quality, production, IT, management, HQ và vendor khi liên quan.
- Tránh mọi thử nghiệm vật lý hoặc ép live test nguy hiểm — kết hợp testbed, spare, maintenance window và limited run.
- Action không có hạn — đặt owner, due date, closure evidence và retest date.
Checklist trước diễn tập
- Sơ đồ thể hiện scope và exclusion.
- Safety, quality, production và OT duyệt minimum safe operating state.
- Chỉ định exercise director, commander, stop authority, release authority.
- Tách thao tác mô phỏng khỏi thao tác ảnh hưởng thiết bị thật.
- Có abort criteria và chuyển sang xử lý sự cố thật.
- Kiểm backup ID, revision, hash, change ID và restore tool.
- Sẵn sàng clean recovery zone và evidence storage.
- Đã thử mẫu trạng thái song ngữ và kênh dự phòng.
- Chuẩn bị acceptance test an toàn, chất lượng, truy xuất.
- Lên lịch AAR, action register và retest.
FAQ: Ứng phó sự cố OT và diễn tập nhà máy
Diễn tập an ninh OT gồm những gì?
Nên đi từ tabletop kiểm quyết định và liên lạc, sang functional restore trong isolation, rồi partial operational test có giới hạn cho thiết bị, an toàn, chất lượng và truy xuất. Ba cấp có mục tiêu khác nhau; thảo luận không chứng minh recoverability.
Sau ransomware, nhà máy nên khôi phục gì trước?
Không có thứ tự chung. Cần map chức năng an toàn, dependency điều khiển, identity, mạng, PLC/HMI, historian, chất lượng và truy xuất, rồi khôi phục thành phần cần cho minimum safe state mà không vội dùng identity hay online share có thể bị xâm nhập.
Nên thử khôi phục sao lưu OT bao lâu một lần?
Tùy tần suất thay đổi, mức quan trọng, cửa sổ bảo trì và rủi ro. Không có khoảng thời gian vạn năng. Ít nhất thay đổi quan trọng phải kích hoạt kiểm cập nhật backup, và diễn tập định kỳ phải xem xét khả năng restore thực.
Có luôn phải dừng dây chuyền thật không?
Không. Dùng đánh giá rủi ro và kết hợp testbed, spare PLC, FAT, planned downtime, low-speed hoặc no-load. Ghi phần chỉ line thật mới kiểm được là residual risk và lên lịch thích hợp.
Chỉ thời gian khôi phục có đủ để chấm điểm không?
Không. Cần đánh giá isolation, backup trust, safety, quality, traceability, evidence, reinfection và authorization. Restore nhanh nhưng bỏ safety/quality không đạt.
HQ nước ngoài và vendor nên tham gia đến đâu?
Tham gia nơi sự cố thật cần quyết định, remote access, restore hoặc liên lạc khách hàng. Thử cả chậm trễ múi giờ và ngôn ngữ. Giữ rõ quyền production release và safety/quality theo quy định công ty và hợp đồng.
Kết luận: chứng minh khôi phục bằng an toàn và bằng chứng
Giá trị của diễn tập an ninh OT không phải làm cảnh báo nhấp nháy mà là chứng minh nhà máy phục hồi sản xuất không dùng lối tắt nguy hiểm. Định nghĩa minimum safe state, phân quyền quyết định, thử backup trong clean zone, tiến từ tabletop đến functional và partial operational test, giữ bằng chứng an toàn, chất lượng, truy xuất và giám sát tái nhiễm. Sau đó đóng cải tiến AAR bằng retest.
TOMAS TECH có thể hỗ trợ xác định phạm vi, kế hoạch 90 ngày, thử khôi phục sao lưu OT và thiết kế giao tiếp song ngữ ngay từ giai đoạn chuẩn bị. Để trao đổi cách tiếp cận phù hợp với thiết bị và hạn chế của nhà máy tại Thái Lan, vui lòng dùng trang liên hệ.
Tài liệu tham khảo
- Thông báo công ty Yokogawa Engineering Asia, 15/09/2026: https://en.prnasia.com/releases/apac/yokogawa-launches-industrial-cyber-resilience-center-to-advance-ot-cyber-readiness-in-southeast-asia-547836.shtml
- NIST SP 800-82 Rev. 3: https://www.nist.gov/publications/guide-operational-technology-ot-security
- NIST SP 1339 OT Backup Quick Start Guide: https://csrc.nist.gov/pubs/sp/1339/final
- CISA Cybersecurity Scenarios: https://www.cisa.gov/resources-tools/resources/cybersecurity-scenarios
- CISA CTEP Package Documents: https://www.cisa.gov/resources-tools/resources/ctep-package-documents
- CISA ICS Cybersecurity Incident Response Recommended Practice: https://www.cisa.gov/sites/default/files/2023-01/final-RP_ics_cybersecurity_incident_response_100609.pdf
- CISA StopRansomware Guide: https://www.cisa.gov/stopransomware/ransomware-guide
Bài viết cung cấp thông tin lập kế hoạch kỹ thuật chung, không phải tư vấn pháp lý, bảo đảm tuân thủ hay cam kết khôi phục của bất kỳ sản phẩm hoặc vendor nào.
