An ninh mạng OT nhà máy: IEC 62443, ransomware và chi phí 2026

Với các nhà máy tại Việt Nam, Thái Lan và khu vực ASEAN, an ninh mạng OT nhà máy đã chuyển từ “việc sẽ tính sau” thành hạng mục cần quyết định ngay trong năm tài chính này. Riêng quý 1/2026 đã ghi nhận 1.020 vụ ransomware nhắm vào các tổ chức công nghiệp, trong đó 62% thuộc ngành sản xuất; khu vực châu Á tăng từ 113 vụ lên 137 vụ so với quý trước. Bài viết hệ thống lại những nội dung mà giám đốc nhà máy, phụ trách IT và ban lãnh đạo cần để ra quyết định: khác biệt giữa công nghệ vận hành (OT) và công nghệ thông tin (IT), cách tiếp cận của IEC 62443, bối cảnh quy định trong khu vực, các bước triển khai khả thi và mức chi phí tham khảo.

Công nghệ vận hành (OT) khác công nghệ thông tin (IT) ở đâu — vì sao bảo mật nhà máy là bài toán riêng

OT bao gồm những gì

OT (Operational Technology — công nghệ vận hành) là tên gọi chung cho các công nghệ điều khiển và giám sát trực tiếp quá trình vật lý cùng thiết bị sản xuất. Trong một nhà máy, OT bao gồm PLC (Programmable Logic Controller — bộ điều khiển logic khả trình), DCS (Distributed Control System — hệ điều khiển phân tán), SCADA (Supervisory Control and Data Acquisition — hệ giám sát và thu thập dữ liệu), HMI (Human Machine Interface — màn hình vận hành), bộ điều khiển robot công nghiệp, máy CNC, thiết bị kiểm tra chất lượng, cùng toàn bộ mạng công nghiệp kết nối chúng. Theo nghĩa rộng, tủ điều khiển của trạm biến áp, máy nén khí, chiller và hệ xử lý nước thải cũng thuộc phạm vi OT.

Ở phía đối diện, IT (Information Technology — công nghệ thông tin) là công nghệ xử lý thông tin: hệ thống lõi doanh nghiệp, máy chủ thư điện tử, máy chủ tập tin, máy tính văn phòng, dịch vụ đám mây — tức là lĩnh vực chịu trách nhiệm xử lý, lưu trữ và truyền tải dữ liệu.

Hai lĩnh vực này cùng dùng “máy tính và mạng”, nhưng mục tiêu, triết lý thiết kế và nguyên tắc vận hành lại hoàn toàn khác nhau. Bảo mật nhà máy khó chính vì lý do đó: ngay khi ai đó bỏ qua sự khác biệt này và áp nguyên tư duy của một bên sang bên còn lại, hiện trường sản xuất sẽ gặp trục trặc.

Thứ tự ưu tiên bị đảo ngược

Trong thế giới an toàn thông tin, thứ tự ưu tiên quen thuộc là CIA — tính bảo mật (Confidentiality), tính toàn vẹn (Integrity), tính sẵn sàng (Availability). Ngăn rò rỉ thông tin là ưu tiên số một; hệ thống có gián đoạn đôi chút cũng chấp nhận được, miễn dữ liệu được bảo vệ.

Trong môi trường OT, thứ tự này gần như đảo ngược: tính sẵn sàng đứng đầu, kế đến là tính toàn vẹn, cuối cùng mới là tính bảo mật. Lý do rất đơn giản. OT dừng nghĩa là không sản xuất được, trễ hạn giao hàng, vi phạm hợp đồng, và trong một số trường hợp là hư hỏng thiết bị hoặc nguy hiểm cho con người. Nếu bộ điều khiển nhiệt độ của lò nung hoạt động sai, đó không còn là vấn đề thông tin mà là vấn đề an toàn.

Sự khác biệt về thứ tự ưu tiên ảnh hưởng trực tiếp đến lựa chọn biện pháp. Ở phía IT, phản ứng chuẩn khi phát hiện lưu lượng đáng ngờ là chặn trước đã. Nếu làm y hệt ở phía OT, rất có thể chúng ta sẽ chặn nhầm lưu lượng điều khiển quá trình bình thường và tự tay dừng chuyền sản xuất của mình. Trong OT, trình tự cần thiết là “quan sát trước, đánh giá tác động, rồi hành động theo kế hoạch” chứ không phải “chặn ngay”.

Thiết bị đời cũ — ràng buộc thực tế không thể bỏ qua

Khác biệt lớn thứ hai nằm ở vòng đời thiết bị. Trong thế giới IT, máy tính thường được thay sau 4–5 năm, máy chủ sau 5–7 năm. Nhưng thiết bị OT được dùng 15 năm, 20 năm, có khi 30 năm. Một máy ép nhựa lắp đặt từ thập niên 1990 vẫn đang chạy trên chuyền chính không phải chuyện hiếm ở các nhà máy trong khu vực.

Hệ quả là những tình huống sau trở thành trạng thái bình thường:

• Hệ điều hành đã hết vòng đời hỗ trợ, nhưng không thể nâng cấp vì nhà sản xuất thiết bị không bảo đảm khả năng hoạt động sau khi cập nhật.
• Muốn vá lỗi thì phải dừng thiết bị, mà cơ hội dừng chỉ có 1–2 lần mỗi năm vào kỳ bảo dưỡng định kỳ.
• Phần mềm điều khiển phụ thuộc vào một phiên bản runtime cụ thể, khiến việc vá lỗi về nguyên tắc là không khả thi.
• Theo hợp đồng bảo trì, nếu người dùng tự ý can thiệp thì bảo hành mất hiệu lực.
• Cấu hình bên trong thiết bị là “hộp đen”: không ai trong công ty nắm được thực sự có gì đang chạy bên trong.

Nói cách khác, an ninh mạng OT nhà máy không phải bài toán “xóa sạch mọi lỗ hổng”, mà là bài toán thiết kế: làm thế nào để vẫn duy trì được sản xuất trong khi mang theo những lỗ hổng không thể xóa. Đây là điểm khác biệt mang tính quyết định so với bảo mật IT.

Bảng so sánh những khác biệt chính giữa IT và OT

Dòng cuối cùng của bảng còn quan trọng hơn cả yếu tố kỹ thuật. IT và OT thuộc hai bộ phận khác nhau, báo cáo theo hai tuyến khác nhau và được đánh giá bằng hai bộ chỉ số khác nhau. Khi người phụ trách IT đề nghị “tăng cường bảo mật”, chỉ số đánh giá của bộ phận kỹ thuật sản xuất lại là tỷ lệ vận hành thiết bị — lợi ích của hai bên thường xung đột trực diện. Đây chính là lý do nhiều dự án bảo mật OT dừng lại vì nguyên nhân tổ chức chứ không phải nguyên nhân kỹ thuật.

Thực trạng mối đe dọa năm 2026 — nhìn ransomware nhà máy qua các con số

Dữ liệu quan sát quý 1/2026

Theo báo cáo “Industrial Ransomware Analysis for the First Quarter of 2026” do Dragos — công ty an ninh mạng chuyên về công nghiệp — công bố, quý 1/2026 ghi nhận 1.020 vụ ransomware nhắm vào các tổ chức công nghiệp. Trong đó ngành sản xuất chiếm 633 vụ, tương đương 62% tổng số.

Phân bổ theo ngành và theo khu vực như sau:

Xét theo nhóm tấn công, Qilin dẫn đầu với 198 vụ, tiếp theo là Akira 100 vụ, The Gentleman 83 vụ, LockBit 5.0 71 vụ và PLAY 53 vụ.

Vì sao con số 137 vụ của châu Á đáng chú ý với nhà máy trong khu vực

Điểm cần lưu ý nhất đối với doanh nghiệp sản xuất tại Việt Nam và Thái Lan là con số của châu Á: 137 vụ trong quý 1/2026, tăng từ 113 vụ của quý 4/2025. Giả định “tấn công mạng là chuyện của Âu Mỹ” không còn đứng vững. So với 480 vụ của Bắc Mỹ thì con số tuyệt đối vẫn thấp hơn, nhưng châu Á cần được nhìn nhận là khu vực có xu hướng tăng rõ rệt.

Có một điểm nữa trong dữ liệu Dragos mà các nhà máy trong khu vực ít để ý: 139 vụ thuộc về hệ sinh thái ICS, tức là các công ty kỹ thuật, nhà tích hợp hệ thống và nhà sản xuất thiết bị. Đây chính là những đối tác cung cấp và bảo trì thiết bị cho nhà máy. Khi một nhà cung cấp trong nhóm này bị tấn công, nhà máy có thể chịu ảnh hưởng theo hai đường: mất khả năng nhận hỗ trợ bảo trì, và rủi ro kênh truy cập từ xa của nhà cung cấp trở thành đường vào.

Với các doanh nghiệp có nhà máy ở cả Việt Nam và Thái Lan, hoặc đang dịch chuyển một phần năng lực sản xuất giữa hai nước, rủi ro này còn mang tính xuyên biên giới. Hai cơ sở thường dùng chung hệ thống lõi, chung nhà cung cấp thiết bị, đôi khi chung cả đường truyền nội bộ tập đoàn. Một sự cố ở cơ sở này có thể buộc cơ sở kia phải ngắt kết nối phòng ngừa.

Mức độ thiệt hại của mỗi vụ việc

Điều tác động đến quyết định của ban lãnh đạo còn mạnh hơn số vụ chính là mức độ thiệt hại của từng vụ. Theo khảo sát của Dragos, trong các vụ ransomware ngành sản xuất, 25% dẫn đến việc dừng toàn bộ hoạt động tại site OT, và 75% gây ra gián đoạn vận hành ở mức độ nào đó. Nghĩa là cứ 4 vụ thì 1 vụ khiến nhà máy dừng hoàn toàn, và 3 trên 4 vụ gây ảnh hưởng đến sản xuất dưới hình thức nào đó.

Về mặt tài chính, báo cáo “Cost of a Data Breach Report 2024” của IBM ước tính chi phí trung bình cho mỗi vụ vi phạm trong ngành sản xuất vào khoảng 5 triệu USD. Con số này không chỉ gồm chi phí khôi phục, mà cả tổn thất cơ hội kinh doanh, chi phí xử lý với khách hàng và chi phí pháp lý.

Bên cạnh đó, khảo sát năm 2025 của Sophos cho thấy 51% doanh nghiệp sản xuất bị tấn công đã trả tiền chuộc. Trả tiền không bảo đảm khôi phục hoàn toàn và không phải là giải pháp. Nhưng việc quá nửa số nạn nhân quyết định trả cho thấy trên thực tế, chi phí của thời gian dừng máy thường vượt quá số tiền chuộc.

Một lưu ý quan trọng — OT không bị phá hoại trực tiếp

Đến đây cần làm rõ một điểm thường bị hiểu nhầm trong các bản tin và tài liệu tiếp thị của nhà cung cấp.

Trong báo cáo quý 1/2026, Dragos ghi rõ rằng chưa ghi nhận biến thể ransomware nào được thiết kế để thao tác trực tiếp giao thức điều khiển công nghiệp hoặc môi trường quá trình.

Nghĩa là phần lớn các vụ dừng sản xuất hiện nay không phải do “kẻ tấn công chiếm quyền PLC và dừng chuyền”, mà do “hệ thống phía IT bị mã hóa, khiến thông tin và quy trình cần thiết cho sản xuất không lưu thông được nữa”. Hiểu đúng quan hệ nhân quả này có ý nghĩa quyết định khi xác định thứ tự ưu tiên của các biện pháp.

Ở một góc độ, đây là tin tốt. Nếu chưa cần đặt tấn công tinh vi nhắm thẳng vào thiết bị điều khiển làm kịch bản số một, thì việc cần làm trước tiên là kiểm soát ranh giới giữa phía IT và phía OT — điều hoàn toàn khả thi bằng công nghệ hiện có. Ngược lại, bỏ qua bước này để đầu tư ngân sách vào phòng thủ cấp thiết bị điều khiển là sai thứ tự ưu tiên.

Con đường thực sự khiến nhà máy phải dừng — những mắt xích hay bị bỏ sót

Vì sao thiệt hại phía IT lại làm dừng chuyền sản xuất

Nhà máy phụ thuộc vào hệ thống IT nhiều hơn ta tưởng. Cụ thể, những gì thực sự xảy ra là:

• Không ra được kế hoạch và lệnh sản xuất: khi hệ thống quản lý sản xuất hoặc MES dừng, không thể lập kế hoạch sản xuất trong ngày lẫn lệnh làm việc. Thiết bị vẫn nguyên vẹn, nhưng không biết sản xuất gì với số lượng bao nhiêu thì chuyền không thể chạy.
• Không lấy được bản vẽ và chương trình gia công: dữ liệu CAD và chương trình NC nằm trên máy chủ tập tin; khi chúng bị mã hóa, việc gia công không thể bắt đầu.
• Nhập kho và xuất hàng đình trệ: khi việc ghi nhận nhập xuất và phát hành chứng từ dừng lại, nhà máy không nhận được linh kiện và cũng không xuất được thành phẩm. Kho vật lý đầy dần, và đến một thời điểm buộc phải dừng chuyền.
• Không lưu được hồ sơ chất lượng: nếu tiếp tục sản xuất khi không ghi nhận được dữ liệu truy xuất nguồn gốc, sau này sẽ không có căn cứ để quyết định cho phép xuất hàng hay không. Với các ngành có quy định chặt chẽ, ngừng sản xuất khi không ghi nhận được hồ sơ mới là quyết định đúng.
• Chủ động cô lập OT để phòng ngừa: khi phát hiện lây nhiễm ở phía IT, doanh nghiệp thường tự ngắt mạng nhà máy để ngăn lan sang OT. Đây là xử lý đúng, nhưng kết quả vẫn là dừng sản xuất.

Mục cuối cùng đặc biệt quan trọng. Ngay cả khi kẻ tấn công chưa chạm tới OT, quyết định dừng nhà máy vẫn thường được đưa ra chỉ vì không thể xác nhận rằng chúng chưa chạm tới. Nhìn ngược lại, điều đó có nghĩa là chỉ cần có khả năng quan sát phía OT và chứng minh trong thời gian ngắn rằng hệ thống chưa bị xâm nhiễm, thời gian dừng máy đã có thể rút ngắn đáng kể.

Một ví dụ điển hình đã được ghi nhận tại Nhật Bản: một nhà cung cấp linh kiện cho hãng ô tô lớn bị nhiễm ransomware, và toàn bộ nhà máy trong nước của công ty mẹ phải dừng hơn một ngày. Bên bị nhiễm chỉ là một nhà cung cấp; thiết bị của công ty mẹ không hề bị phá hỏng. Vậy mà toàn bộ nhà máy vẫn dừng. Đây chính là hình mẫu của cơ chế “thiệt hại phía IT làm dừng chuyền”.

Điểm khởi đầu của xâm nhập nằm ở đâu

Theo báo cáo DBIR (Data Breach Investigations Report) bản 2026 của Verizon, 38% các vụ vi phạm trong ngành sản xuất khởi đầu từ việc khai thác lỗ hổng, và 61% khởi đầu từ xâm nhập hệ thống (exploitation). Các vụ khởi đầu từ tấn công phi kỹ thuật (social engineering) chiếm 17%. Khảo sát năm 2025 của Sophos cũng cho thấy 32% các vụ ransomware ngành sản xuất bắt nguồn từ khai thác lỗ hổng.

Điều rút ra là: chỉ “nâng cao nhận thức an ninh cho nhân viên” thì chưa đủ. Đào tạo chống lừa đảo qua thư điện tử vẫn cần thiết, nhưng quản lý lỗ hổng trên các tài sản đang phơi ra Internet còn hiệu quả hơn. Thiết bị VPN, remote desktop, thiết bị truyền tập tin, và cổng kết nối phục vụ bảo trì từ xa lắp tại nhà máy — đây đều là những thứ dễ lọt khỏi sổ tài sản IT của nhà máy, đồng thời lại nằm trực tiếp trên Internet.

Truy cập của nhà cung cấp và bên thứ ba — rủi ro khó nhìn thấy nhất

Điểm mù lớn nhất trong môi trường OT của nhà máy là việc nhà sản xuất thiết bị và nhà thầu bảo trì đang nắm giữ quyền truy cập từ xa.

Theo khảo sát năm 2025 của Ponemon, 42% doanh nghiệp sản xuất đã từng gặp vi phạm qua đường truy cập của bên thứ ba hoặc nhà cung cấp, và 54% cho biết họ không kiểm chứng mức độ bảo mật của bên thứ ba trước khi cấp quyền truy cập. Báo cáo DBIR 2026 của Verizon cũng chỉ ra 61% các vụ vi phạm trong ngành sản xuất có sự liên quan của bên thứ ba. Ngoài ra, phân tích của Cowbell cho thấy tấn công chuỗi cung ứng đã tăng 431% so với năm 2021.

Tại hiện trường, những tình huống thường gặp là:

• Mười năm trước, khi lắp đặt thiết bị, nhà máy kéo một đường truyền riêng và lắp router cho nhà sản xuất phục vụ bảo trì. Kết nối đó vẫn còn sống đến nay, nhưng trong công ty không còn lưu hợp đồng lẫn thông tin cấu hình.
• Một router 4G/5G được gắn thêm vào máy, truyền dữ liệu ra ngoài mà không đi qua mạng nội bộ. Bộ phận IT không biết sự tồn tại của nó.
• Tài khoản mà nhân sự của nhà cung cấp sử dụng là tài khoản dùng chung, không lưu nhật ký ai đăng nhập vào lúc nào.
• Công cụ bảo trì từ xa luôn ở trạng thái chờ kết nối, thay vì chỉ mở khi có nhu cầu.

Không cơ chế nào trong số này được tạo ra vì ý đồ xấu; tất cả đều sinh ra để “khôi phục thiết bị nhanh hơn”. Chính vì thế, hiện trường phản đối mạnh khi bị yêu cầu tháo bỏ, và nếu chỉ cấm đoán, người ta sẽ tạo ra lối đi vòng khác. Kiểm soát truy cập của nhà cung cấp vừa là bài toán kỹ thuật, vừa là bài toán hợp đồng và quy trình nghiệp vụ.

Khoảng trống trong phát hiện và ứng phó

Theo khảo sát của Dragos, 88% mạng OT gặp vấn đề về năng lực phát hiện và ứng phó. Ở phần lớn nhà máy, không có người lẫn cơ chế nào theo dõi liên tục những gì đang diễn ra ở phía OT. Người ta chỉ nhận ra bất thường sau khi chuyền đã dừng, hoặc khi công nhân vận hành nói rằng “màn hình có gì đó lạ”.

Phía IT có EDR và SIEM, còn phía OT không có gì. Chính sự bất đối xứng này khiến thiệt hại kéo dài. Vì không thể ngăn chặn xâm nhập ở mức 100%, cuộc chơi thực chất nằm ở chỗ: phát hiện nhanh đến đâu, và khoanh vùng được trong phạm vi hẹp đến mức nào.

Nền tảng của IEC 62443 — vùng và kênh dẫn, mức an ninh, phòng thủ nhiều lớp

Vì sao nên dùng IEC 62443 làm khung tham chiếu

IEC 62443 (ISA/IEC 62443) là bộ tiêu chuẩn quốc tế về bảo mật hệ thống điều khiển công nghiệp, chính xác hơn là về an ninh cho hệ thống tự động hóa và điều khiển công nghiệp (IACS — Industrial Automation and Control Systems). Nếu ISO/IEC 27001 quy định “cơ chế tổ chức để bảo vệ thông tin”, thì IEC 62443 quy định “yêu cầu kỹ thuật và yêu cầu quy trình để bảo vệ hệ thống điều khiển”, và quy định riêng cho ba vai trò: chủ sở hữu tài sản (nhà máy), nhà tích hợp hệ thống, và nhà cung cấp sản phẩm.

Tính đến năm 2026, phạm vi áp dụng đã bao gồm rõ ràng cả thiết bị IIoT và các nền tảng phân tích trên đám mây có kết nối với thiết bị hiện trường. Nghĩa là cấu hình hiện đại — đưa dữ liệu nhà máy lên đám mây rồi phân tích bằng AI — cũng nằm trong tầm phủ của tiêu chuẩn.

Điều quan trọng về mặt thực tiễn là IEC 62443 không chỉ là tài liệu kỹ thuật, mà đang trở thành ngôn ngữ của giao dịch thương mại. Thị trường bảo mật OT được ước tính đạt quy mô 25 tỷ USD vào năm 2026, và IEC 62443 ngày càng được viện dẫn trong yêu cầu của hợp đồng mua sắm, trong yêu cầu pháp lý, thậm chí trong hồ sơ đăng ký bảo hiểm mạng. Nói cách khác, độc lập với việc có lấy chứng nhận hay không, khả năng mô tả hiện trạng của nhà máy bằng thuật ngữ của tiêu chuẩn này đang dần trở thành điều kiện giao dịch.

Với nhà máy tại Việt Nam đang phục vụ khách hàng Nhật Bản, châu Âu hoặc Bắc Mỹ, đây là điểm rất thực tế: bảng câu hỏi đánh giá nhà cung cấp ngày càng hay hỏi về phân vùng mạng và kiểm soát truy cập của bên thứ ba. Trả lời được bằng ngôn ngữ chung sẽ tiết kiệm rất nhiều thời gian trong quá trình xét duyệt.

Vùng và kênh dẫn (zones and conduits) — khái niệm cốt lõi

Khái niệm trung tâm của IEC 62443 là phân vùng mạng dựa trên rủi ro thông qua vùng (zones) và kênh dẫn (conduits).

• Vùng (zone): một nhóm tài sản có cùng yêu cầu bảo vệ. Ví dụ “hệ điều khiển chuyền ép nhựa nhà xưởng A”, “cụm máy chủ MES dùng chung toàn công ty”, “hệ thống thiết bị an toàn”. Tiêu chí phân chia không phải vị trí vật lý, mà là mức độ bảo vệ cần thiết và mức rủi ro.
• Kênh dẫn (conduit): đường truyền thông có kiểm soát giữa các vùng. Đây không đơn thuần là sợi cáp hay đường truyền, mà là lối đi logic đã định nghĩa rõ: từ vùng nào sang vùng nào, bằng giao thức gì, do ai, và với mục đích gì thì được phép truyền thông.

Thiết kế này có hai điểm mấu chốt. Thứ nhất, đặt kiểm soát tường minh trên mọi kênh dẫn: tường lửa, xác thực, mã hóa, ghi nhật ký. Thứ hai, không cho phép bất kỳ luồng truyền thông liên vùng nào không đi qua kênh dẫn.

Điểm thứ hai mới là phần khó. Ở nhiều nhà máy tồn tại những đường đi không có trên bản vẽ thiết kế: “không hiểu sao chuyền kia lại nối thẳng sang chuyền này”, “máy tính của bộ phận bảo trì cắm chân vào cả hai mạng”. Thiết kế vùng và kênh dẫn, xét cho cùng, cũng chính là công việc phát hiện và bịt lại những lối tắt như vậy.

Mức an ninh (SL1–SL4)

IEC 62443 biểu diễn mức độ cần bảo vệ bằng mức an ninh (Security Level — SL) từ 1 đến 4. Điểm quan trọng là SL tương ứng với động cơ và nguồn lực của kẻ tấn công.

• SL1 — giả định mối đe dọa là thao tác sai ngoài ý muốn và sự cố ngẫu nhiên. Hình dung áp dụng: các khu vực thông thường, nghiêng về khối văn phòng.
• SL2 — giả định tấn công có chủ đích bằng phương tiện đơn giản, nguồn lực hạn chế. Hình dung áp dụng: hệ điều khiển của chuyền sản xuất thông thường.
• SL3 — giả định kẻ tấn công có phương tiện tinh vi, chuyên môn và nguồn lực tương xứng. Hình dung áp dụng: chuyền chủ lực, quy trình độc quyền quan trọng.
• SL4 — giả định kẻ tấn công được nhà nước hậu thuẫn, nguồn lực dồi dào và động cơ cao. Hình dung áp dụng: hạ tầng trọng yếu, tài sản đặc biệt quan trọng.

Đặt tất cả các vùng ở SL4 vừa không khả thi, vừa không đúng với tinh thần của tiêu chuẩn. Mục tiêu cần hướng tới là đánh giá rủi ro cho từng vùng và ấn định mức cần thiết cho riêng vùng đó. Chính việc phân bổ đậm nhạt — mức cao cho hệ thống thiết bị an toàn, mức thấp cho các hệ thống phụ trợ gần khối văn phòng — mới là thực hành đúng của IEC 62443.

Và việc trực quan hóa khoảng cách giữa “mức hiện tại (SL-Achieved)” với “mức mục tiêu (SL-Target)” chính là căn cứ cho kế hoạch đầu tư. Thay vì nói với ban lãnh đạo “tôi lo về bảo mật nên xin ngân sách”, ta có thể trình bày: “khi đặt mục tiêu SL2 cho chuyền chủ lực, khoảng cách so với hiện trạng nằm ở 5 hạng mục này, và chi phí là bấy nhiêu”. Đó là lợi ích thực tiễn của việc dùng IEC 62443.

Phòng thủ nhiều lớp (Defense-in-Depth)

Phòng thủ nhiều lớp là cách tiếp cận dùng kiến trúc phân tầng theo vùng và kênh dẫn để một điểm bị xâm phạm không lan ra toàn nhà máy.

Thay vì dựng một bức tường duy nhất thật kiên cố, ta xếp chồng nhiều lớp: tường lửa ở ranh giới, phân vùng mạng, kiểm soát truy cập ở cấp thiết bị, quản lý tài khoản, giám sát và phát hiện, cùng với sao lưu và quy trình khôi phục. Khi một lớp bị vượt qua, lớp kế tiếp sẽ mua thêm thời gian.

Cụm từ “mua thêm thời gian” mới là bản chất. Không biện pháp nào bảo đảm ngăn chặn xâm nhập tuyệt đối. Điều cần nhắm tới là kéo dài khoảng thời gian từ lúc bị xâm nhập đến lúc thiệt hại lan rộng, và kịp phát hiện, khoanh vùng trong khoảng đó. Như đã nêu, phần lớn các vụ dừng sản xuất xảy ra do thiệt hại lan từ phía IT. Vì vậy, đặt chắc chắn một lớp kiểm soát tại ranh giới IT/OT là một trong những khoản đầu tư có hiệu quả chi phí cao nhất.

Bối cảnh quy định — Thái Lan, ASEAN và tham chiếu từ Nhật Bản

Thái Lan: Cybersecurity Act, NCSA và danh sách CII

Thái Lan có Luật An ninh mạng (Cybersecurity Act), và trên cơ sở đó đã thành lập NCSA (National Cyber Security Agency — Cơ quan An ninh mạng Quốc gia). Luật này buộc các đơn vị được xếp vào nhóm CII (Critical Information Infrastructure — hạ tầng thông tin trọng yếu) phải báo cáo sự cố và tuân thủ một số tiêu chuẩn nhất định.

Suy nghĩ “chúng tôi chỉ là nhà máy nên không phải CII” là kết luận vội. Tháng 9/2025, Ủy ban An ninh mạng Quốc gia (NCSC) đã ban hành thông báo mới sửa đổi danh sách tổ chức CII. Thông báo này thay thế cách phân loại năm 2023 và mở rộng phạm vi đối tượng để phản ánh mức độ phụ thuộc lẫn nhau ngày càng lớn về mặt kỹ thuật. Nếu doanh nghiệp hoạt động gắn chặt với năng lượng, dịch vụ công ích, logistics hay dịch vụ công, việc rà soát lại xem mình có thuộc diện áp dụng hay không là đáng làm.

Ngoài ra, Tiêu chuẩn An ninh Website năm 2025 yêu cầu sử dụng SSL/TLS và xác thực đa yếu tố. Các hệ thống web và cổng thông tin hướng ra bên ngoài của nhà máy cũng có thể nằm trong phạm vi của yêu cầu này.

Nghĩa vụ kép với PDPA

Tại Thái Lan, song song với quy định về CII còn có PDPA (Personal Data Protection Act — Luật Bảo vệ Dữ liệu Cá nhân, B.E. 2562 / 2019). Khi xảy ra sự cố ransomware, ngoài vấn đề kinh doanh là dừng thiết bị sản xuất, nếu dữ liệu cá nhân của nhân viên hoặc đối tác bị ảnh hưởng thì nghĩa vụ thông báo theo PDPA sẽ phát sinh.

Điểm thực tiễn cần lưu ý là các thủ tục thông báo vi phạm và quản lý rủi ro phải nhất quán với yêu cầu của cả PDPC (Ủy ban Bảo vệ Dữ liệu Cá nhân) lẫn NCSA. Nếu khi xây dựng kế hoạch ứng phó sự cố mà không xác định trước “ai, trong thời hạn nào, báo cáo nội dung gì, cho cơ quan nào”, thì đến lúc sự cố xảy ra, việc ứng phó sẽ vỡ trận. Vì báo cáo cho trụ sở chính ở nước ngoài, xử lý truyền thông của công ty mẹ và thông báo cho khách hàng đều diễn ra song song, chỉ riêng việc lập sẵn một bảng ma trận “nơi nhận báo cáo × thời hạn” đã có hiệu quả rõ rệt.

Thái Lan như một môi trường đe dọa

Ngoài khía cạnh quy định, thực trạng mối đe dọa cũng cần được nắm. Theo “Thailand Threat Landscape Report 2026” của SOCRadar, đầu năm 2026 Thái Lan lần đầu tiên lọt vào nhóm 10 quốc gia bị nhắm mục tiêu nhiều nhất thế giới. Báo cáo cũng cho biết 42,9% các vụ ransomware quan sát được tại Thái Lan có liên quan đến nhóm The Gentleman (Gentlemen).

The Gentleman cũng nằm trong nhóm dẫn đầu về tấn công vào các tổ chức công nghiệp trong dữ liệu quý 1/2026 của Dragos với 83 vụ. Sự trùng lặp này — “nhóm hoạt động mạnh tại Thái Lan cũng chính là nhóm đang nhắm vào khu vực công nghiệp” — là dữ kiện mà doanh nghiệp có nhà máy tại Thái Lan không nên bỏ qua.

Cảm nhận kiểu “trụ sở chính có thể bị nhắm, nhưng chi nhánh nước ngoài thì chắc chưa tới lượt” không khớp với dữ liệu. Ngược lại, cần giả định kịch bản: chính các cơ sở nước ngoài — nơi đầu tư bảo mật mỏng hơn và nhân sự IT ít hơn so với trụ sở — trở thành cửa vào cho toàn tập đoàn.

Bối cảnh ASEAN và điều doanh nghiệp tại Việt Nam nên làm

Tại khu vực ASEAN nói chung, các quy định về bảo vệ hạ tầng trọng yếu và bảo vệ dữ liệu đang được siết chặt dần, và mỗi quốc gia có khung riêng với tiến độ riêng. Thái Lan là ví dụ đã được xác nhận cụ thể như trình bày ở trên. Với các quốc gia khác, bao gồm cả nơi doanh nghiệp đang đặt nhà máy, cách làm an toàn là xác nhận yêu cầu áp dụng theo từng địa bàn cùng bộ phận pháp chế hoặc đơn vị tư vấn pháp lý tại chỗ, thay vì suy diễn từ quy định của một nước khác.

Về mặt thực hành, có ba việc không phụ thuộc vào chi tiết pháp lý của từng nước mà nên chuẩn bị trước:

1. Xác định trước nghĩa vụ báo cáo: lập danh sách các cơ quan quản lý, khách hàng và công ty mẹ cần được thông báo khi có sự cố, kèm thời hạn dự kiến. Việc này có thể làm ngay mà không tốn chi phí.
2. Nắm được dữ liệu cá nhân đang nằm ở đâu: dữ liệu nhân sự, dữ liệu chấm công, dữ liệu camera an ninh trong nhà máy đều thuộc phạm vi bảo vệ dữ liệu ở hầu hết các khung pháp lý. Cần biết chúng được lưu trên hệ thống nào.
3. Thống nhất tiêu chuẩn nội bộ theo một khung quốc tế: dùng IEC 62443 làm thước đo chung giúp cùng lúc đáp ứng nhiều yêu cầu khác nhau từ khách hàng và cơ quan quản lý, thay vì làm lại từ đầu cho mỗi yêu cầu.

Tham chiếu từ Nhật Bản — hướng dẫn của METI và IPA

Với các nhà máy thuộc tập đoàn Nhật Bản, hai tài liệu của Nhật thường xuất hiện trong tiêu chuẩn nội bộ của tập đoàn. Bộ Kinh tế, Thương mại và Công nghiệp Nhật Bản (METI) đã ban hành “Hướng dẫn biện pháp an ninh mạng và an ninh vật lý cho hệ thống nhà máy” từ năm 2022, hiện công bố ở phiên bản Ver1.1, với nhận định nền tảng rằng “bất kỳ nhà máy nào cũng có khả năng bị tấn công mạng”. Tháng 4/2024, METI bổ sung “Phụ lục: Những điểm cần lưu ý khi triển khai thông minh hóa”, với định hướng lồng ghép bảo mật ngay từ giai đoạn thiết kế của quá trình số hóa nhà máy thay vì tách thành hai dự án riêng. Bên cạnh đó, trong danh sách “10 mối đe dọa an toàn thông tin lớn nhất 2026” của IPA, ransomware đứng đầu nhóm mối đe dọa với tổ chức bốn năm liên tiếp, còn tấn công chuỗi cung ứng đứng thứ hai.

Hai tài liệu này không có hiệu lực pháp lý tại Việt Nam hay Thái Lan, nhưng thường được dùng làm nền cho tiêu chuẩn kiểm soát nội bộ của tập đoàn và ngày càng hay được viện dẫn trong các đợt kiểm toán cơ sở nước ngoài. Khi trụ sở chính hỏi “cơ sở tại Việt Nam đã đáp ứng tiêu chuẩn bảo mật OT của tập đoàn chưa”, rất có khả năng bộ tiêu chuẩn ấy được xây trên nền hai tài liệu này. Việc ransomware và tấn công chuỗi cung ứng đứng cạnh nhau ở vị trí số một và số hai cũng nhắc lại rằng rủi ro của nhà máy không chỉ nằm ở việc chính mình bị tấn công: nhà cung cấp linh kiện dừng thì không có linh kiện, đơn vị vận tải dừng thì không vận chuyển được, nhà sản xuất thiết bị dừng thì không nhận được bảo trì.

Các bước triển khai thực tế — từ Giai đoạn 0 đến Giai đoạn 3

Dựa trên những nội dung trên, phần này sắp xếp lại thứ tự công việc cần bắt tay vào. Điều quan trọng là không khởi động tất cả cùng lúc. Khi ngân sách và nhân lực đều hạn chế, thứ tự chính là yếu tố quyết định thành bại.

Giai đoạn 0: xác định tổ chức và phạm vi (1–2 tháng)

Nếu không quyết những việc dưới đây trước khi bước vào công việc kỹ thuật, dự án chắc chắn sẽ tắc về sau.

• Xác định chủ sở hữu: làm rõ ai chịu trách nhiệm về an ninh mạng OT nhà máy. Giao riêng cho bộ phận IT hay riêng cho bộ phận sản xuất đều không hiệu quả. Mô hình khả thi là một ủy ban nhỏ gồm cả hai bên, và nếu được thì có thêm một lãnh đạo cấp cao bảo trợ.
• Xác định phạm vi: đưa toàn bộ nhà máy và toàn bộ chuyền vào phạm vi ngay từ đầu thì dự án sẽ không bao giờ kết thúc. Hãy chọn một cơ sở, hoặc một chuyền, làm thí điểm. Tiêu chí chọn là “chuyền có thiệt hại lớn khi dừng, đồng thời dễ nhận được sự hợp tác của các bên liên quan”.
• Ước tính thiệt hại khi dừng máy: dừng một ngày thì tổn thất bao nhiêu. Không có con số này thì mọi quyết định đầu tư về sau đều dựa vào cảm tính. Ước tính thô cũng được.
• Rà soát quy trình ứng phó sự cố hiện có: phần lớn trường hợp chỉ có quy trình cho IT, không có cho OT. Chỉ riêng việc quyết định trước “ai là người ra quyết định ngắt mạng nhà máy” đã làm thay đổi chất lượng phản ứng ban đầu.

Giai đoạn 1: trực quan hóa tài sản (2–4 tháng)

Thứ không thể bảo vệ được, trước hết, là thứ mà ta không biết là nó tồn tại. Mục tiêu của Giai đoạn 1 gói gọn trong việc nắm được có những gì đang kết nối vào mạng OT.

• Cập nhật lại sơ đồ kiến trúc mạng (sơ đồ hiện có gần như chắc chắn đã lệch so với thực tế).
• Lập danh mục thiết bị điều khiển, HMI, máy tính công nghiệp và thiết bị mạng.
• Ghi lại phiên bản hệ điều hành, firmware và tình trạng hỗ trợ của từng thiết bị.
• Liệt kê toàn bộ đường truyền thông ra bên ngoài, gồm cả có dây, không dây và đường di động.
• Kiểm kê các kết nối từ xa của nhà cung cấp và đối chiếu với hợp đồng.

Có một nguyên tắc tuyệt đối phải giữ ở đây: không quét chủ động (active scan) lên thiết bị đang vận hành. Kỹ thuật quét mạng vốn được dùng phổ biến trong thế giới IT có thể khiến thiết bị điều khiển đời cũ ngừng hoạt động hoặc hoạt động sai. Trong môi trường OT, thông lệ là bắt đầu từ các phương pháp trực quan hóa thụ động, tức chỉ lắng nghe lưu lượng.

Trực quan hóa tài sản còn tạo giá trị ngoài phạm vi bảo mật. Sổ tài sản thiết bị được sắp xếp lại và các điểm lấy dữ liệu vận hành trở nên rõ ràng, nên kết quả có thể dùng luôn làm nền tảng cho việc triển khai hệ thống quản lý sản xuất cho nhà máy hoặc giám sát thiết bị bằng IoT sau này. Khi khó xin ngân sách riêng cho bảo mật, việc định vị hoạt động trực quan hóa như một khoản đầu tư cải thiện năng suất là cách làm khá phổ biến trên thực tế.

Giai đoạn 2: phân vùng mạng và kiểm soát ranh giới (3–9 tháng)

Sau khi trực quan hóa xong, tiến hành phân vùng theo tư duy vùng và kênh dẫn của IEC 62443.

• Làm rõ ranh giới IT/OT: đây là ưu tiên cao nhất. Như đã trình bày, phần lớn các vụ dừng sản xuất là hệ quả lan truyền từ phía IT. Đặt tường lửa tại ranh giới và định nghĩa tường minh những luồng truyền thông được phép đi qua.
• Lập vùng trung gian (DMZ) nếu cần: các hệ thống được truy cập từ cả phía IT lẫn phía OT, như MES hay cơ sở dữ liệu lịch sử, nên đặt ở giữa hai bên. Mục tiêu là loại bỏ cấu hình cho phép máy trạm phía IT chạm trực tiếp vào thiết bị OT.
• Phân vùng theo chuyền và theo khu vực: để một chuyền bị nhiễm không lan ra toàn nhà máy. Không cần làm tất cả cùng lúc; hãy đi tuần tự từ chuyền quan trọng nhất.
• Kiểm soát truy cập của nhà cung cấp: bỏ chế độ kết nối thường trực, chuyển sang mô hình mở tạm thời theo đề nghị. Tùy mức rủi ro mà kết hợp tài khoản định danh cá nhân, xác thực đa yếu tố, ghi nhật ký thao tác và ghi hình phiên làm việc. Việc này cần tiến hành đồng bộ với rà soát lại hợp đồng.
• Rà soát lại sao lưu: kiểm tra xem đã sao lưu chương trình PLC, dữ liệu màn hình HMI, tham số cấu hình thiết bị và dữ liệu công thức hay chưa. Tình huống thường gặp là máy chủ phía IT đã có sao lưu đầy đủ, nhưng thông tin cấu hình hệ điều khiển thì chỉ nằm trên máy tính cá nhân của một kỹ thuật viên. Nên lưu ở dạng ngoại tuyến hoặc dạng không thể ghi đè.

Giai đoạn 3: giám sát, vận hành và diễn tập (liên tục)

Sau khi hoàn tất phân vùng, chuyển sang vận hành liên tục.

• Đưa giám sát dành cho OT vào hoạt động: triển khai cơ chế giám sát hiểu được các giao thức công nghiệp, phát hiện lưu lượng khác thường và sự xuất hiện của thiết bị mới. Như đã nêu, 88% mạng OT gặp vấn đề về phát hiện và ứng phó — đây là khoảng trống lớn nhất ở phần lớn nhà máy.
• Xác định nơi tiếp nhận cảnh báo: phát hiện mà không ai xem thì vô nghĩa. Cần quyết định tự giám sát hay thuê SOC bên ngoài, giám sát 24/7 hay chỉ trong giờ làm việc.
• Diễn tập ứng phó sự cố: diễn tập trên bàn là đủ. Chỉ cần tập hợp đúng những người phụ trách và thảo luận 1–2 giờ quanh kịch bản “tối thứ Sáu phát hiện lây nhiễm ở phía IT, xử lý nhà máy thế nào”, ta sẽ tìm ra rất nhiều lỗ hổng.
• Gắn vào quản lý thay đổi: xây dựng cơ chế bắt buộc rà soát bảo mật khi lắp thiết bị mới, khi cải tạo, khi thêm nhà cung cấp. Không có cơ chế này thì cấu trúc vừa sắp xếp xong sẽ trở về trạng thái cũ sau vài năm.
• Rà soát định kỳ: kiểm kê mỗi năm một lần không theo kịp tốc độ thay đổi. Nên thiết lập cơ chế tự động ghi nhận biến động về tài sản và cấu hình ở mức tối đa có thể.

Chi phí tham khảo — hạng mục nào tốn bao nhiêu

Các mức chi phí dưới đây là mặt bằng giá tại thị trường Nhật Bản, theo tổng hợp của AEVUS bản 2026, và được trình bày bằng đồng yên Nhật (JPY). Phần quy đổi USD chỉ mang tính tham khảo, tính theo mức xấp xỉ 1 USD ≈ 155 JPY; đây là con số ước lượng thô, không phải tỷ giá chính thức tại thời điểm bạn đọc. Khi triển khai tại Việt Nam, Thái Lan hoặc các nước ASEAN khác, chi phí có thể thấp hơn do chênh lệch mặt bằng nhân công. Ngược lại, nếu cấu hình dự án bao gồm việc cử chuyên gia từ Nhật sang hoặc yêu cầu báo cáo bằng tiếng Nhật, chi phí sẽ tiệm cận mức này. Hãy xem đây là điểm khởi đầu để thảo luận, không phải báo giá.

Bảng chi phí theo hạng mục

Điều kiện tiên quyết khi thực hiện khảo sát là không gây ảnh hưởng đến thiết bị sản xuất đang vận hành, và để làm được điều đó cần kiến thức chuyên môn. Đây cũng là lý do khiến mức giá chênh lệch so với kiểm thử xâm nhập IT thông thường. Nếu nhận được báo giá rẻ bất thường, hãy kiểm tra kỹ xem đơn vị đó đã từng thực hiện trong môi trường OT hay chưa.

Với hạng mục tư vấn, sản phẩm bàn giao thường gồm tài liệu chính sách bảo mật, thiết kế phân vùng mạng và kế hoạch ứng phó sự cố.

Cách đọc bảng chi phí

Việc lấy chứng nhận IEC 62443 nên được cân nhắc khi có yêu cầu rõ ràng từ khách hàng hoặc từ quy định pháp lý. Nếu đi theo thứ tự “muốn tăng cường bảo mật nên lấy chứng nhận”, có khả năng chi phí bỏ ra lớn mà rủi ro thực tế tại hiện trường không giảm tương ứng. Cách làm thực tế hơn là trước hết dùng tiêu chuẩn như một thước đo thiết kế, còn chứng nhận thì quyết định khi thực sự cần.

Con số 1,6 – 3,8 triệu JPY cho năm đầu tiên của doanh nghiệp quy mô nhỏ thường thấp hơn hình dung của nhiều lãnh đạo. Ở giai đoạn này, phạm vi được giới hạn ở phần nền tảng: khảo sát, phân vùng mạng và đào tạo. Ngược lại, việc chi phí tăng lên 5,3 – 10,6 triệu JPY/năm từ năm thứ hai khi bổ sung giám sát SOC là do giám sát là dịch vụ liên tục và gắn với chi phí nhân sự.

Về cách ra quyết định đầu tư, so sánh với “thiệt hại khi dừng máy một ngày” đã tính ở Giai đoạn 0 là cách dễ hiểu nhất. Như đã nêu, 25% các vụ ransomware ngành sản xuất dẫn đến dừng toàn bộ site OT, và theo IBM, chi phí trung bình mỗi vụ vi phạm trong ngành sản xuất vào khoảng 5 triệu USD. Đặt hai con số này cạnh nhau, mỗi nhà máy có thể tự đánh giá xem khoản đầu tư ở mức từ mười đến vài chục nghìn USD cho năm đầu tiên có hợp lý hay không.

Những sai lầm thường gặp

Dưới đây là các thất bại lặp đi lặp lại trong các dự án thực tế. Phần lớn đều có thể tránh được chỉ bằng cách biết trước.

Bê nguyên cách làm của IT sang OT

Đây là sai lầm phổ biến nhất. Bộ phận IT chủ trì, cài phần mềm bảo mật giống máy tính văn phòng lên máy tính điều khiển, đưa chúng vào cùng cơ chế phân phối bản vá, phát cùng một agent quản lý tài sản. Kết quả là bảo hành của nhà sản xuất thiết bị mất hiệu lực, tính thời gian thực bị ảnh hưởng khiến việc điều khiển rối loạn, hoặc thiết bị không khởi động lại được sau khi vá.

Trong môi trường OT, mọi thay đổi đều nằm dưới ràng buộc “bảo đảm hoạt động của nhà sản xuất thiết bị”. Cần xác nhận trước xem điều đó có được phép về mặt hợp đồng và bảo hành hay không, chứ không chỉ xem có khả thi về mặt kỹ thuật.

Quét chủ động lên thiết bị đang vận hành

Đây cũng là tình huống điển hình. Muốn liệt kê tài sản trên mạng nên chạy công cụ quét, và một PLC đời cũ không phản hồi kịp rồi dừng hoạt động. Định làm khảo sát, hóa ra lại tự tạo ra sự cố.

Nguyên tắc là bắt đầu trực quan hóa môi trường OT bằng phương pháp thụ động, chỉ lắng nghe lưu lượng. Nếu bắt buộc phải kiểm tra chủ động, hãy chọn thời điểm dừng máy định kỳ, hoặc kiểm chứng trước trên bàn thử, rồi thực hiện có giới hạn sau khi được nhà sản xuất thiết bị chấp thuận.

Dừng lại ở việc kiểm kê mỗi năm một lần

Thuê tư vấn một lần, có được bản báo cáo và sơ đồ mạng rất chỉn chu. Nhưng một năm sau, thiết bị mới đã được lắp, nhà cung cấp đã tăng thêm, các kết nối mạng tạm thời đã được bổ sung, và bản vẽ lại lệch khỏi thực tế.

Quản lý tài sản phải là một quy trình, không phải một sự kiện. Lý tưởng là phát hiện tự động liên tục; nếu khó, thì chỉ riêng việc lập quy định nghiệp vụ “bắt buộc đăng ký với bộ phận hệ thống thông tin khi lắp mới hoặc cải tạo thiết bị” cũng tạo khác biệt lớn. Việc quy định có được tuân thủ hay không phụ thuộc vào mức độ ít phiền hà cho người đăng ký, nên mẫu biểu cần đơn giản hết mức.

Bỏ mặc đường bảo trì của nhà cung cấp

Đây là kiểu tình huống kết thúc bằng câu “cái router kia là gì vậy?” — “nó có từ lâu rồi”. Khi vẫn còn những kết nối ra ngoài mà không ai biết ai đang quản lý, việc chỉ củng cố bên trong sẽ mang lại hiệu quả hạn chế.

Cách xử lý theo thứ tự: liệt kê trước, đối chiếu với hợp đồng, gỡ bỏ những gì không cần, và đưa những gì còn cần thiết trở lại dưới sự kiểm soát. Vì quan hệ với nhà cung cấp thường khiến việc ngắt kết nối đơn phương trở nên khó khăn, cách thực tế là trình bày dưới dạng đề xuất “làm an toàn hơn mà không giảm chất lượng bảo trì”. Nhắm vào thời điểm gia hạn hợp đồng kế tiếp cũng là một cách hiệu quả.

Theo đuổi sự hoàn hảo nên không bắt đầu được gì

Đây là trường hợp cố xây một kế hoạch hoàn chỉnh cho toàn bộ nhà máy của cả tập đoàn, bàn bạc kéo dài hai năm, và trong suốt thời gian đó không có gì được triển khai.

An ninh mạng OT nhà máy là lĩnh vực không tồn tại trạng thái 100%. Chỉ cần một chuyền, thậm chí chỉ cần đặt thêm một tường lửa tại ranh giới IT/OT, tình trạng đã cải thiện rõ rệt. Cách chạy một thí điểm, rút kinh nghiệm rồi nhân rộng thường lại đi nhanh hơn về đích.

Triển khai mà không lôi kéo hiện trường tham gia

Bộ phận IT và ban lãnh đạo tự quyết rồi giao xuống hiện trường. Cách làm này gần như chắc chắn tạo ra sự phản kháng, bởi mối quan tâm của hiện trường là tỷ lệ vận hành và thời hạn giao hàng, còn biện pháp bảo mật bị nhìn nhận như thứ cản trở hai chỉ số đó.

Cách hiệu quả là giải thích biện pháp gắn với lợi ích của chính hiện trường. Phân vùng mạng giúp khoanh vùng sự cố nhanh hơn; trực quan hóa tài sản làm tăng độ chính xác của kế hoạch bảo trì; kiểm soát truy cập từ xa tạo ra bằng chứng “ai đã làm gì” và qua đó bảo vệ chính người vận hành. Điểm mấu chốt là diễn đạt bằng ngôn ngữ của vận hành, không phải ngôn ngữ của bảo mật.

Có sao lưu nhưng không khôi phục được

Đây là kiểu chỉ xác nhận “có sao lưu” rồi yên tâm. Thực tế bên dưới thường là: quy trình khôi phục chưa được viết thành tài liệu, người phụ trách đã nghỉ việc, chưa từng thử khôi phục lần nào, hoặc bản sao lưu nằm ngay trên mạng nên bị mã hóa cùng lúc.

Tối thiểu, mỗi năm nên thực hiện một lần bài kiểm tra “khôi phục thật”. Đặc biệt với chương trình và tham số của hệ điều khiển, tình trạng chỉ một người duy nhất biết cách khôi phục là rất dễ xảy ra.

Kết hợp tự động hóa nhà máy, giám sát thiết bị IoT với an ninh mạng OT

Chuyển đổi số và bảo mật không hề đối lập

Chúng tôi thường nghe lo ngại rằng “siết bảo mật thì IoT và chuyển đổi số sẽ không triển khai được nữa”. Thực tế lại gần như ngược lại.

Trở ngại phổ biến nhất trong các dự án chuyển đổi số tại nhà máy không phải là yêu cầu bảo mật, mà là những tình trạng như: không nắm được cấu hình thiết bị, không biết nên lấy dữ liệu từ đâu, các thiết bị được đấu nối tùy tiện mọc lên khắp nơi đến mức không thể kiểm soát. Việc trực quan hóa tài sản ở Giai đoạn 1 và phân vùng mạng ở Giai đoạn 2 chính là công việc dọn dẹp mớ hỗn độn đó.

Trên thực tế, khi bắt tay triển khai giám sát thiết bị bằng IoT, ta luôn buộc phải quyết định “lấy dữ liệu từ thiết bị nào, bằng giao thức gì, qua đường nào”. Đây gần như trùng khớp với công việc thiết kế vùng và kênh dẫn của IEC 62443. Cấu trúc được sắp xếp lại vì mục đích bảo mật có thể dùng ngay làm nền tảng cho khai thác dữ liệu.

Điều tương tự cũng đúng khi triển khai tự động hóa nhà máy tại Thái Lan và khu vực. Càng đẩy mạnh tự động hóa và kết nối thiết bị, số thiết bị nối vào mạng càng tăng và lưu lượng ra bên ngoài cũng tăng theo. Nếu mở rộng mà không có kế hoạch, chi phí phân vùng lại về sau sẽ đội lên nhiều lần. Ngược lại, nếu mở rộng theo đúng thiết kế vùng ngay từ đầu, chi phí tăng thêm là không đáng kể.

Nguyên tắc khi đưa công nghệ mới vào

Những năm gần đây, các tình huống kết nối dữ liệu nhà máy với dịch vụ bên ngoài và đám mây ngày càng nhiều, chẳng hạn như ứng dụng AI agent trong sản xuất. Việc IEC 62443 tính đến năm 2026 đã đưa IIoT và phân tích trên đám mây vào phạm vi áp dụng một cách tường minh cũng phản ánh xu hướng này.

Nguyên tắc khi đưa cơ chế mới vào khá đơn giản:

• Mặc định dữ liệu chỉ đi một chiều ra ngoài: cấu hình sao cho chỉ thu thập thông tin từ phía OT ra; còn đường trả lệnh điều khiển từ bên ngoài vào phía OT phải được thẩm định nhu cầu thật nghiêm ngặt và đặt dưới cơ chế kiểm soát độc lập.
• Luôn có lớp trung gian: tránh cấu hình cho phép hệ thống đám mây hoặc phía IT giao tiếp trực tiếp với thiết bị điều khiển. Hãy đặt một cổng thu thập dữ liệu hoặc DMZ ở giữa.
• Xác định vùng ngay khi triển khai: quyết định thiết bị hoặc dịch vụ mới thuộc vùng nào ngay tại thời điểm đưa vào. Để sau mới quyết thì sẽ không bao giờ quyết được.
• Đưa tài khoản và nhật ký vào thiết kế: xác định “ai được truy cập” và “cái gì được ghi lại” cùng lúc với yêu cầu chức năng. Bổ sung sau khi đã vận hành là rất khó.

Chỉ cần đưa bốn điểm này vào yêu cầu ngay từ đầu, doanh nghiệp có thể kiểm soát rủi ro mà không làm chậm tốc độ chuyển đổi số. Ngược lại, các dự án trì hoãn bốn điểm này thường bị nêu vấn đề trong đợt kiểm toán hoặc đợt rà soát của tập đoàn sau khi đã vận hành, và cuối cùng phải làm lại.

Câu hỏi thường gặp

An ninh mạng OT nhà máy là gì và khác gì với bảo mật IT?

An ninh mạng OT nhà máy là các hoạt động bảo vệ thiết bị sản xuất và hệ thống điều khiển của nhà máy — gồm PLC, SCADA, HMI, robot công nghiệp, các thiết bị đo lường điều khiển và mạng kết nối chúng — khỏi tấn công mạng và thao tác trái phép.

Khác với bảo mật IT vốn đặt việc bảo vệ thông tin lên hàng đầu, an ninh mạng OT đặt tính liên tục của vận hành và bảo đảm an toàn lên trước. Ngoài ra, vòng đời thiết bị dài 15–30 năm, việc vá lỗi và khởi động lại không thể thực hiện tùy ý, nên không thể áp nguyên phương pháp của IT sang.

Đã có biện pháp bảo mật của bộ phận IT thì có cần bảo mật hệ thống điều khiển công nghiệp nữa không?

Vẫn cần. Tuy nhiên, xét về thứ tự ưu tiên thì các biện pháp phía IT là nền móng.

Trong báo cáo quý 1/2026, Dragos cho biết chưa ghi nhận biến thể ransomware nào được thiết kế để thao tác trực tiếp giao thức điều khiển công nghiệp hoặc môi trường quá trình; phần lớn các vụ dừng sản xuất xảy ra như hệ quả lan truyền từ thiệt hại của hệ thống IT. Nghĩa là biện pháp phía IT cũng quan trọng đối với việc bảo vệ nhà máy.

Mặt khác, nếu chỉ củng cố phía IT thì vẫn còn lại những đường mà bộ phận IT không nắm được: đường bảo trì của nhà cung cấp, router di động gắn thêm sau này. Ngoài ra, nếu không có khả năng quan sát phía OT, khi bị xâm nhập ta sẽ không chứng minh được rằng nhà máy chưa bị lây nhiễm và buộc phải dừng sản xuất để phòng ngừa. Vì vậy, ngoài biện pháp phía IT, cần tiến hành kiểm soát ranh giới IT/OT và trực quan hóa phía OT.

Chi phí lấy chứng nhận IEC 62443 là bao nhiêu?

Theo mặt bằng giá tại Nhật Bản, năm đầu tiên vào khoảng 3 – trên 15 triệu JPY (tương đương khoảng 19.400 – trên 96.800 USD theo mức quy đổi xấp xỉ 1 USD ≈ 155 JPY). Chi tiết gồm CSMS cấp tổ chức 3 – 7 triệu JPY, yêu cầu thiết kế hệ thống 4 – 8 triệu JPY, quy trình phát triển 5 – 10 triệu JPY, và đánh giá duy trì hằng năm 1 – 3 triệu JPY/năm. Khi thực hiện tại các khu vực có mặt bằng nhân công khác như Việt Nam hay Thái Lan, chi phí có thể thấp hơn.

Tuy vậy, với phần lớn nhà máy, thứ cần trước tiên không phải là chứng nhận. Nếu chỉ dùng tư duy của IEC 62443 — vùng và kênh dẫn, thiết lập mức an ninh — làm thước đo thiết kế thì không phát sinh chi phí chứng nhận. Cách thực tế là cân nhắc lấy chứng nhận khi khách hàng hoặc quy định pháp lý thực sự yêu cầu.

Phòng chống ransomware nhà máy nên bắt đầu từ đâu?

Chúng tôi khuyến nghị ba việc theo đúng thứ tự sau:

1. Ước tính thiệt hại khi dừng máy: tính xem một ngày dừng sản xuất tương đương bao nhiêu tổn thất. Đây là chuẩn tham chiếu cho mọi quyết định đầu tư về sau.
2. Nắm được có gì đang kết nối vào mạng OT: đặc biệt liệt kê đầy đủ các đường truyền thông ra bên ngoài — đường bảo trì của nhà cung cấp, router di động, kết nối không dây. Lưu ý tuyệt đối không quét chủ động lên thiết bị đang vận hành.
3. Tách ranh giới IT/OT: đặt cơ chế kiểm soát tại ranh giới để thiệt hại phía IT không lan sang phía OT. Đồng thời sao lưu chương trình cùng tham số của hệ điều khiển và thực hiện kiểm tra khôi phục.

Việc triển khai hệ thống phát hiện nâng cao hoàn toàn có thể để sau khi ba việc trên hoàn tất.

Nhà máy tại Việt Nam và Thái Lan có chịu sự điều chỉnh của quy định nào không?

Cần xác nhận theo từng quốc gia. Trường hợp Thái Lan đã rõ: nước này có Luật An ninh mạng, và NCSA (Cơ quan An ninh mạng Quốc gia) yêu cầu các đơn vị thuộc nhóm CII (hạ tầng thông tin trọng yếu) báo cáo sự cố và tuân thủ tiêu chuẩn. Tháng 9/2025, Ủy ban An ninh mạng Quốc gia đã ban hành thông báo mới sửa đổi danh sách tổ chức CII, thay thế cách phân loại năm 2023 và mở rộng phạm vi đối tượng. Ngoài ra, PDPA (Luật Bảo vệ Dữ liệu Cá nhân B.E. 2562 / 2019) được áp dụng song song, nên khi xảy ra vi phạm cần có thủ tục thông báo và quản lý rủi ro nhất quán với yêu cầu của cả PDPC lẫn NCSA.

Ở phạm vi rộng hơn, các nước ASEAN đang dần siết chặt quy định về bảo vệ hạ tầng trọng yếu và bảo vệ dữ liệu, nhưng khung pháp lý cùng tiến độ ở mỗi nước là khác nhau. Vì vậy, thay vì suy diễn từ quy định của nước láng giềng, hãy xác nhận yêu cầu áp dụng cho từng địa bàn cùng bộ phận pháp chế hoặc tư vấn pháp lý tại chỗ. Phần chuẩn bị không phụ thuộc vào chi tiết pháp lý — lập trước danh sách nơi nhận báo cáo và thời hạn, nắm được dữ liệu cá nhân đang nằm ở đâu — thì nên làm ngay.

Nhà máy có nhiều thiết bị cũ, không thể vá lỗi thì phải làm sao?

Thiết kế trên giả định không thể vá lỗi chính là tư duy nền tảng của an ninh mạng OT.

Cụ thể, hãy cô lập các thiết bị không thể vá vào một vùng riêng và giới hạn nghiêm ngặt các kênh dẫn tới vùng đó. Đây là cách tiếp cận gọi là kiểm soát bù trừ (compensating control): thay vì loại bỏ bản thân lỗ hổng, ta làm cho lỗ hổng đó không thể bị tiếp cận. Song song, cần sao lưu chắc chắn cấu hình và chương trình của thiết bị để khôi phục nhanh khi có sự cố.

Nếu doanh nghiệp đã có kế hoạch thay mới thiết bị, việc đưa yêu cầu bảo mật vào quy cách mua sắm nhân dịp đó rất hiệu quả. Chi phí đưa yêu cầu vào lúc mua mới thấp hơn đáng kể so với cải tạo thiết bị đang có.

Thúc đẩy tự động hóa nhà máy và giám sát thiết bị IoT có mâu thuẫn với bảo mật không?

Không mâu thuẫn. Ngược lại, xét về thứ tự thì đây là hai công việc bổ trợ nhau rất tốt.

Để triển khai giám sát thiết bị bằng IoT, doanh nghiệp buộc phải xác định lấy dữ liệu từ thiết bị nào bằng giao thức gì — công việc này gần như trùng với thiết kế vùng và kênh dẫn theo IEC 62443. Sổ tài sản và sơ đồ mạng lập ra vì mục đích bảo mật có thể dùng luôn làm nền tảng cho khai thác dữ liệu. Định hướng lồng ghép bảo mật ngay ở giai đoạn thiết kế của quá trình thông minh hóa cũng chính là điều mà phụ lục năm 2024 trong hướng dẫn của METI Nhật Bản nêu ra.

Điều cần chú ý là thứ tự. Nếu tăng số thiết bị IoT một cách không có kế hoạch rồi mới phân vùng lại, chi phí sẽ đội lên nhiều lần. Chúng tôi khuyến nghị xác định thiết kế vùng trước khi mở rộng.

Nhà máy quy mô vừa và nhỏ có thể triển khai thực tế được không?

Có thể. Theo mặt bằng giá tại Nhật Bản, ngân sách năm đầu tiên của doanh nghiệp sản xuất quy mô nhỏ vào khoảng 1,6 – 3,8 triệu JPY (khoảng 10.300 – 24.500 USD) cho khảo sát, phân vùng mạng và đào tạo; từ năm thứ hai, khi bổ sung giám sát SOC, con số là 5,3 – 10,6 triệu JPY/năm (khoảng 34.200 – 68.400 USD). Khi triển khai tại Việt Nam hay Thái Lan, chi phí có thể thấp hơn do chênh lệch mặt bằng nhân công.

Quy mô nhỏ thậm chí có mặt thuận lợi. Số thiết bị ít thì việc nắm bắt tài sản kết thúc nhanh; các tầng ra quyết định ít thì việc thống nhất với hiện trường cũng nhanh hơn. Đúng như hướng dẫn của METI đã ghi rõ — “bất kỳ nhà máy nào cũng có khả năng bị tấn công mạng” — quy mô nhỏ không phải là lý do để không bị nhắm tới. Chúng tôi khuyến nghị bắt đầu bằng một chuyền thí điểm.

Tóm tắt

Những điểm cần nắm về an ninh mạng OT nhà máy:

• OT và IT khác nhau cả về mục tiêu lẫn ràng buộc. Trong OT, tính sẵn sàng và an toàn được ưu tiên cao nhất, vòng đời thiết bị dài, việc vá lỗi không thể thực hiện tùy ý. Bê nguyên cách làm của IT sang sẽ khiến hiện trường gặp trục trặc.
• Mối đe dọa tồn tại dưới dạng những con số thực tế. Quý 1/2026 ghi nhận 1.020 vụ ransomware nhắm vào tổ chức công nghiệp, trong đó 633 vụ (62%) thuộc ngành sản xuất. Châu Á tăng từ 113 vụ của quý trước lên 137 vụ.
• Nhưng OT không bị phá hoại trực tiếp. Chưa ghi nhận biến thể nào thao tác trực tiếp giao thức điều khiển công nghiệp; các vụ dừng sản xuất xảy ra như hệ quả lan truyền từ thiệt hại của hệ thống IT. Vì vậy, kiểm soát ranh giới IT/OT là biện pháp có hiệu quả chi phí cao nhất.
• Truy cập của nhà cung cấp và bên thứ ba là điểm mù lớn nhất. 42% doanh nghiệp sản xuất từng bị vi phạm qua đường truy cập của bên thứ ba, và 54% không kiểm chứng mức độ bảo mật của đối tác trước khi cấp quyền.
• IEC 62443 có thể dùng làm thước đo thiết kế. Phân vùng bằng vùng và kênh dẫn, thiết lập mức an ninh SL1–SL4, phòng thủ nhiều lớp. Việc lấy chứng nhận chỉ cần cân nhắc khi thực sự phát sinh nhu cầu.
• Quy định đang siết chặt dần trong khu vực. Thái Lan có Luật An ninh mạng cùng NCSA, danh sách CII sửa đổi tháng 9/2025, và nghĩa vụ kép với PDPA. Các nước ASEAN khác có khung riêng, cần xác nhận theo từng địa bàn. Với nhà máy thuộc tập đoàn Nhật Bản, hướng dẫn của METI và danh sách 10 mối đe dọa của IPA thường là nền của tiêu chuẩn nội bộ.
• Thứ tự quyết định thành bại. Xác định tổ chức và phạm vi, trực quan hóa tài sản, phân vùng mạng, rồi giám sát và vận hành. Đi theo thứ tự này và bắt đầu từ một chuyền thí điểm là cách khả thi.
• Không đối lập với chuyển đổi số. Trực quan hóa tài sản và sắp xếp lại mạng chính là nền tảng cho giám sát thiết bị IoT và nhà máy thông minh.

Không biện pháp nào bảo đảm ngăn chặn hoàn toàn tấn công mạng. Điều cần hướng tới là tạo ra trạng thái: khi bị xâm nhập thì thiệt hại được khoanh trong một vùng, được phát hiện trong thời gian ngắn, và có thể khôi phục một cách chắc chắn. Trạng thái đó không được xây trong một lần, mà được tích lũy theo từng giai đoạn.

TOMAS TECH CO., LTD. có trụ sở tại Bangkok, cung cấp hệ thống quản lý sản xuất PEGASUS và hệ thống quản lý năng lượng cho các nhà máy tại Thái Lan và khu vực ASEAN. Nếu quý vị cần trao đổi về việc rà soát hiện trạng mạng nhà máy hoặc thiết kế giám sát thiết bị bằng IoT, xin vui lòng liên hệ với chúng tôi.

Tài liệu tham khảo

• Dragos “Industrial Ransomware Analysis for the First Quarter of 2026”
• Manufacturing Cybersecurity Statistics 2026 (deepstrike.io)
• METI Nhật Bản “Hướng dẫn biện pháp an ninh mạng và an ninh vật lý cho hệ thống nhà máy”
• METI Nhật Bản “Phụ lục: Những điểm cần lưu ý khi triển khai thông minh hóa” (04/04/2024)
• Dragos “Understanding ISA/IEC 62443: A Guide for OT Security Teams”
• Silk Legal “Strengthening Thailand’s Cyber Resilience: New List of Critical Information Infrastructure Organizations”
• SOCRadar “Thailand Threat Landscape Report 2026”
• Chi phí biện pháp an ninh OT cho ngành sản xuất (bản 2026, AEVUS)