แนวทางการประเมิน
ความปลอดภัยและความพร้อมใช้งานของการผลิตมาก่อนเสมอ
- เริ่มด้วยเทคนิค passive และใช้ active เฉพาะจุดที่ตกลงร่วมกันว่าปลอดภัย ขณะระบบยังเดินเครื่องใน production
- กระทบการเดินเครื่องให้น้อยที่สุดและรักษาความพร้อมใช้งานไว้
- ประเมินความปลอดภัยเทียบกับมาตรฐานและกรอบงานของอุตสาหกรรม: NIST CSF, IEC 62443 และ NERC CIP
Scoping
Operational technology ควบคุมปั๊ม วาล์ว กังหัน และไลน์การผลิตที่ทำให้โรงงาน พลังงาน และสาธารณูปโภคเดินหน้าอยู่ได้ พอระบบพวกนี้ล้ม ความเสียหายคือเครื่องหยุดเดิน อุปกรณ์เสียหาย และความเสี่ยงต่อชีวิตคน ทีมที่ได้รับการรับรองของเราประเมินระบบ OT และระบบอุตสาหกรรม เราช่วยเจ้าของสินทรัพย์หาและอุดจุดอ่อนใน SCADA และ ICS ก่อนที่ผู้โจมตีหรืออุบัติเหตุจะเจอมัน
เราประเมินอะไรบ้าง
ระบบ OT อย่าง SCADA, ICS และ DCS คือแกนหลักของอุตสาหกรรมการผลิต พลังงาน และสาธารณูปโภค ระบบพวกนี้ควบคุมและเฝ้าดูกระบวนการทางกายภาพ จึงเป็นเป้าหมายของการโจมตีไซเบอร์ที่รบกวนการเดินเครื่อง สร้างความสูญเสียทางการเงิน และเป็นอันตรายต่อความปลอดภัยสาธารณะได้ ทีมของเราจะหาและจัดการช่องโหว่ทั่วทั้ง OT infrastructure ครอบคลุม
- Firewall
- DMZ
- Sensor
- เครือข่ายเครื่องมือวัด
- ระบบควบคุม
ขั้นตอนการทำงาน
ทุกงาน OT เดินตามกระบวนการห้าขั้นเหมือนกัน เพราะระบบพวกนี้เอาออฟไลน์มาทดสอบเฉย ๆ ไม่ได้
Scoping
เราทำแผนที่สภาพแวดล้อมร่วมกับคุณ ทั้ง Purdue level ที่เกี่ยวข้อง zone และ conduit ที่อยู่ใน scope ตัว PLC, RTU, HMI และ historian ที่เกี่ยวข้อง รวมถึงจุดที่ IT กับ OT มาบรรจบกัน
proposal ระบุชัดว่าจะประเมินอะไร ลึกแค่ไหน และไม่อนุญาตให้ทำกิจกรรมนอกขอบเขตที่ตกลงไว้ใกล้ระบบ safety-critical
Rules of engagement
ก่อนเริ่มทดสอบบนเครือข่าย เราตกลงกันเรื่อง maintenance window สินทรัพย์ที่ห้ามแตะ ช่องทางติดต่อฉุกเฉิน และขั้นตอน escalation ที่ชัดเจน กิจกรรมที่อาจกระทบกระบวนการผลิตจะนัดหมายกับทีม operation และวิศวกรรมก่อน
กิจกรรมแบบ intrusive ทุกอย่างต้องได้รับอนุมัติจากทีม operation และวิศวกรรมก่อน
Execution (passive ก่อน)
เราเริ่มด้วยเทคนิค passive ทั้งดักจับ traffic เครือข่าย ค้นหาสินทรัพย์ และรีวิวการตั้งค่า ปะติดปะต่อภาพที่แม่นได้โดยไม่ส่ง packet ที่ controller ไม่คาดคิดเข้าไป การทดสอบแบบ active จะเข้ามาเฉพาะจุดที่ปลอดภัย และทำในช่วงเวลาที่ตกลงไว้โดยมีทีม operation อยู่ด้วยเสมอ
เราไม่เอาความปลอดภัยของการผลิตไปแลกกับความครอบคลุม
Reporting
รายงานเขียนให้ใช้ได้ทั้งฝ่ายบริหารและทีมเทคนิค มี executive summary ที่อธิบายความเสี่ยงต่อการเดินเครื่องและความปลอดภัย และ technical findings ที่วิศวกรระบบควบคุมกับ integrator นำไปแก้ไขได้ โดยระบุกรอบงานที่เกี่ยวข้องกับแต่ละข้อ
Retest & debrief
พอทีมคุณและเวนเดอร์แก้เสร็จ เราตรวจว่าแก้จริง เท่าที่ทำได้ก็ตรวจแบบ passive แล้วอัปเดตสถานะของทุก finding
ปิดงานด้วย debrief ที่มีทั้งฝ่ายความปลอดภัยและฝ่าย operation อยู่ด้วย
สิ่งที่คุณได้รับ
ทุกการประเมินมีเอกสารทั้งสำหรับห้องประชุมบอร์ดและหน้างานในโรงงาน
Executive summary
ภาพความเสี่ยงในแง่การเดินเครื่อง อะไรที่รบกวนการผลิต ทำอุปกรณ์เสียหาย หรือเป็นอันตรายต่อความปลอดภัยได้ และโอกาสเกิดมากแค่ไหน
Findings พร้อมระดับความรุนแรง
ทุกข้อให้คะแนนด้วย CVSS และที่สำคัญคือถ่วงน้ำหนักด้วยผลกระทบจริงต่อการเดินเครื่องและความปลอดภัย จัดลำดับการแก้ตรงจุดที่สำคัญได้
หลักฐานและการทำซ้ำ
เอกสารของแต่ละ finding ชัดเจนพร้อมหลักฐานประกอบ เก็บมาด้วยวิธีที่เคารพความอ่อนไหวของสภาพแวดล้อมควบคุมที่ยังเดินเครื่องอยู่
คำแนะนำการแก้ไข
วิธีแก้ที่ทำได้จริงและเข้าใจบริบท OT คำนึงถึงอุปกรณ์เก่า ข้อจำกัดของเวนเดอร์ และการ patch ใน OT ที่ไม่ง่ายเหมือนฝั่ง IT
การ retest ยืนยันผล
เราตรวจซ้ำหลังการแก้ไข แล้วอัปเดตรายงานให้สะท้อนรายการที่ปิดแล้ว
ทุกงานที่ผ่านมาเจอ finding จริงที่ผ่านการยืนยันแล้ว
ใครเป็นผู้ลงมือ
ทีมภายในของเราเป็นคนลงมือประเมินเอง ถือใบรับรองในวงการดังนี้
- OSCP
- OSCE
- CREST CRT
- CREST CPSA
- GIAC GREM
ใบรับรองเหล่านี้ได้มาจากการสอบภาคปฏิบัติที่เข้มข้น ทีมผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ของเรามีความรู้ความสามารถและประสบการณ์ในการทดสอบเจาะระบบ OT ทีมเดียวกันนี้ขึ้นนำเสนองานวิจัยในเวทีระดับนานาชาติ และดูแลลูกค้ามาแล้วกว่า 180 รายทั้งสายการเงิน องค์กรขนาดใหญ่ และภาคส่วนสำคัญ พื้นฐานแบบคนลงมือทำจริงทำให้เราทำงานอย่างปลอดภัยในสภาพแวดล้อมอุตสาหกรรมที่อ่อนไหวได้ โดยเข้าใจว่าระบบ OT ต่างจากเครือข่าย IT ดูใบรับรองทั้งหมดที่ทีมถือ
การประเมิน OT ของเราวัดสภาพแวดล้อมของคุณเทียบกับกรอบงานที่สำคัญต่ออุตสาหกรรมและโครงสร้างพื้นฐานสำคัญ
- NIST CSF
- IEC 62443
- NERC CIP
แต่ละ finding แมปกลับไปที่มาตรฐานพวกนี้ คุณจึงแสดงให้ผู้ตรวจสอบและหน่วยกำกับเห็นได้ว่ายืนอยู่ตรงไหน และวัดความคืบหน้าระหว่างงานแต่ละรอบได้ ถ้าการประเมินต้องออกหลักฐานในรูปแบบเฉพาะ ไม่ว่าเพื่อ audit ภายในหรือข้อกำหนดของภาคอุตสาหกรรม บอกเราตอน scoping เลย เราจัดรายงานให้ตรงตามความต้องการที่ตกลงกันตอนวาง scope
ครอบคลุมฝั่ง IT ด้วย
Penetration test
สำหรับระบบฝั่ง IT สภาพแวดล้อม cloud และแอปพลิเคชันที่อยู่ข้าง ๆ OT ให้จับคู่กับ penetration test ทั่วไป ครอบคลุมพื้นผิวการโจมตีทั้งหมด ตั้งแต่เครือข่ายองค์กรลงไปถึงหน้างานในโรงงาน
ตรวจทานล่าสุด: 14 Oct 2026
OT SECURITY
ก่อน traffic แตะเครือข่าย ตกลงกันเรื่อง maintenance window สินทรัพย์ที่ห้ามแตะ ช่องทางติดต่อฉุกเฉิน และเส้นทาง escalation ที่ชัด
คำถามที่พบบ่อย
การทดสอบจะกระทบระบบการผลิตหรือระบบความปลอดภัยของเราไหม
ความปลอดภัยและความพร้อมใช้งานของการผลิตมาก่อนเสมอ เราออกแบบงานโดยยึดข้อนี้เป็นหลัก เริ่มด้วยเทคนิค passive ทั้งดักจับ traffic ค้นหาสินทรัพย์ และรีวิวการตั้งค่า ที่ไม่ยิง packet ที่ controller ไม่คาดคิดออกไปแม้แต่ตัวเดียว การทดสอบแบบ active จะเข้ามาเฉพาะจุดที่ปลอดภัย ทำในช่วง maintenance window ที่ตกลงกันไว้ โดยมีทีม operation ของคุณอยู่ด้วย เราไม่เอาความปลอดภัยของการผลิตไปแลกกับความครอบคลุม
ทำไมทำ penetration test แบบทั่วไปกับระบบ OT ตรง ๆ ไม่ได้
การประเมิน OT ต้องใช้แนวทางคนละแบบ จะ fuzz PLC ใน production แบบที่ทำกับหน้า login ไม่ได้ ระบบพวกนี้เอาออฟไลน์มาทดสอบเฉย ๆ ไม่ได้ แนวทางของเราจึงใช้เทคนิคแบบ passive-first และแนวทางแก้ไขที่เข้าใจบริบท OT คำนึงถึงอุปกรณ์รุ่นเก่าและข้อจำกัดของเวนเดอร์
คุณประเมินเทียบกับมาตรฐานอะไรบ้าง
NIST CSF, IEC 62443 และ NERC CIP ในทางปฏิบัติสามตัวนี้ตอบคนละคำถาม IEC 62443 ลงลึกที่ zone กับ conduit ของระบบควบคุม NIST CSF ใช้คุยกับผู้บริหารเรื่องภาพรวม ส่วน NERC CIP เกี่ยวเฉพาะกิจการที่อยู่ในกำกับของภาคไฟฟ้า ตอนวาง scope เราจึงถามก่อนว่าคุณต้องใช้ผลไปตอบใคร แล้วค่อยเลือกว่าจะแมป finding เข้ากรอบไหนเป็นหลัก
กำหนด scope งาน OT อย่างไร
การวาง scope คือการขีดเส้นความปลอดภัยของงาน พอตกลงกันได้แล้วว่า Purdue level ไหน zone ไหน และรอยต่อ IT กับ OT อยู่ตรงไหน เราจะไล่ตัดสินทีละอุปกรณ์ว่าตัวไหนแตะได้ตอนเดินเครื่องอยู่ ตัวไหนดูอย่างเดียวแบบ passive ซึ่งเอาเข้าจริงขึ้นอยู่กับว่าหยุดอะไรได้บ้าง และเงื่อนไขการซัพพอร์ตของเวนเดอร์ยอมให้ทำแค่ไหน เส้นนี้ถูกเขียนลงใน proposal ล่วงหน้า จึงไม่ต้องตัดสินใจกันหน้างาน
บทความจากทีม OT
ARTICLES/19 Mar 2026
SCADA ยังรันได้อยู่ ทำไมต้องอัป OS
โรงงานจำนวนมากยังต้องใช้ Windows รุ่นเก่ากับ SCADA และ HMI เพราะซอฟต์แวร์ไม่รองรับ OS ใหม่ บทความอธิบายว่าทำไมเลิกใช้ไม่ได้ และลดความเสี่ยงด้วย compensating controls อย่างไร
ARTICLES/15 Jun 2024
Regulation, Standard, และ Guideline ที่ควรรู้ของ OT Security
OT Security ครอบคลุม ICS/SCADA ของโรงไฟฟ้า โรงงาน และระบบสาธารณูปโภค รวม regulation มาตรฐาน และ guideline ที่คนทำงานสายนี้ควรรู้
ARTICLES/19 Jan 2016
ICS คืออะไร ระบบควบคุมอุตสาหกรรมที่ต้องรู้จัก
ICS คือระบบ IT ที่ควบคุมเครื่องจักรตั้งแต่ระบบไฟฟ้า ประปา ไปจนถึงขนส่ง บทความพาดูองค์ประกอบหลักและเหตุผลที่ความปลอดภัยของมันต่างจากระบบ IT ทั่วไป
บอกเราว่าระบบไหนต้องเดินเครื่องต่อ
proposal ระบุชัดว่าจะประเมินอะไร ลึกแค่ไหน
