CYBER RESILIENCE ARCHITECTURE – AIR-GAP: CÁCH LY ĐỂ SỐNG SÓT: Air-gap trong OT

***

Trong kiến trúc Cyber Resilience, Air-gap không phải là một giải pháp mà là một triết lý thiết kế. Nó đại diện cho ranh giới tuyệt đối cuối cùng giữa sự sống và cái chết của hệ thống, đặc biệt khi các lớp bảo mật phía trước (Security Layers) đã thất bại hoàn toàn trước một cuộc tấn công tác động sâu.

Tuy nhiên, khi áp dụng triết lý này vào môi trường Operational Technology (OT) – nơi điều khiển các quy trình vật lý, sản xuất, và hạ tầng quan trọng – khái niệm Air-gap đơn thuần về mặt vật lý (rút dây mạng) trở nên không khả thi, thậm chí nguy hiểm.

Làm thế nào để đạt được sự cô lập tuyệt đối, trong khi vẫn đảm bảo tính vận hành liên tục, trao đổi dữ liệu an toàn, và khả năng phục hồi gần như tức thì khi một sự cố an ninh mạng xảy ra tại tầng IT?

Câu trả lời nằm ở việc chuyển đổi Air-gap từ một trạng thái vật lý tĩnh sang một kiến trúc cô lập có kiểm soát (Controlled Isolation Architecture) được thiết kế dựa trên ngữ cảnh rủi ro cụ thể của môi trường OT. Đây là lát cắt sâu nhất của Cyber Resilience Architecture, nơi các quyết định kiến trúc không chỉ ảnh hưởng đến chi phí và hiệu suất, mà còn quyết định sự an toàn vật lý và sinh mạng của doanh nghiệp.

***

MỤC LỤC

PHẦN I: KHÁC BIỆT GỐC – TẠI SAO BẢO MẬT OT KHÔNG THỂ LÀ BẢO MẬT IT CỘNG THÊM

• 1.1. Bản chất của Cyber Resilience Architecture: Vượt qua ranh giới Security
• 1.2. Môi trường OT và ba yêu cầu sống còn (Safety, Availability, Integrity)
• 1.3. RTO và RPO trong OT: Áp lực của thời gian thực (Real-time Pressure)

PHẦN II: AIR-GAP HIỂU SAI VÀ SỰ PHÂN CẤP CỦA KIẾN TRÚC OT

• 2.1. Phá vỡ lầm tưởng về Air-gap vật lý
• 2.2. Mô hình Purdue Enterprise Reference Architecture: Khung xương sống của sự cô lập
• 2.3. Sự phá vỡ Layer 3.5 (Demilitarized Zone) và hệ quả của kết nối IT-OT không kiểm soát

PHẦN III: THIẾT KẾ AIR-GAP TÁC CHIẾN (OPERATIONAL AIR-GAP)

• 3.1. Air-gap trong OT là gì? Cô lập logic và kiểm soát luồng dữ liệu một chiều (Unidirectional Data Flow)
• 3.2. Vai trò tối thượng của Data Diode (Bộ Diod Dữ Liệu)
• 3.3. Sai lầm phổ biến: Phụ thuộc vào Firewall và Jump Server

PHẦN IV: CÁC LỚP BẢO VỆ TẦNG LỚP VÀ KHẢ NĂNG PHỤC HỒI

• 4.1. Bảo vệ Nguồn Vàng (Golden Images) và Cấu hình PLC/SCADA
• 4.2. Kiến trúc Immutable Backup và Air-gap trong OT
• 4.3. Từ Air-gap đến Zero Trust (ZTNA) trong OT

PHẦN V: CASE STUDY VÀ PHÂN TÍCH THỰC TIỄN (E-E-A-T)

• 5.1. Ví dụ 1: Nhà máy sản xuất có tích hợp IIoT – Tối ưu hóa vận hành nhưng mất kiểm soát rủi ro
• 5.2. Ví dụ 2: Hạ tầng Critical Infrastructure – Bảo vệ Air-gap trước sự cố nội bộ và bên ngoài

PHẦN VI: GOVERNANCE VÀ CON NGƯỜI: KHOẢNG TRỐNG AIR-GAP VÔ HÌNH

• 6.1. Quản trị phân quyền (Access Control) trong môi trường phân cấp OT
• 6.2. Văn hóa vận hành và Quy trình phục hồi (Playbook)
• 6.3. Hệ quả dài hạn của sự đầu tư kiến trúc nửa vời

***

PHẦN I: KHÁC BIỆT GỐC – TẠI SAO BẢO MẬT OT KHÔNG THỂ LÀ BẢO MẬT IT CỘNG THÊM

1.1. Bản chất của Cyber Resilience Architecture: Vượt qua ranh giới Security

Cyber Security tập trung vào việc ngăn chặn. Nó xây dựng các bức tường, lắp đặt cảm biến, và cố gắng loại bỏ mọi vectơ tấn công ngay từ đầu. Tuy nhiên, dù bức tường có cao đến đâu, kinh nghiệm thực tế cho thấy sự thất bại là không thể tránh khỏi. Các cuộc tấn công dai dẳng (APT), ransomware, hoặc đơn giản là lỗi cấu hình từ nội bộ, đều có thể làm sụp đổ lớp phòng thủ này.

Cyber Resilience (Năng lực Chịu đựng và Phục hồi mạng) chấp nhận thực tế đó. Nó không hỏi liệu hệ thống có bị tấn công hay không, mà hỏi khi hệ thống bị tấn công thì nó sẽ:

1. Duy trì được bao nhiêu phần trăm vận hành (Containment & Degraded Mode)?
2. Thời gian tối thiểu để khôi phục dịch vụ cốt lõi là bao lâu (RTO – Recovery Time Objective)?
3. Lượng dữ liệu tối đa bị mất là bao nhiêu (RPO – Recovery Point Objective)?

Air-gap, dù là vật lý hay logic, là công cụ then chốt để đảm bảo rằng khi một phần hệ thống bị lây nhiễm hoặc phá hủy (thường là tầng IT), thì phần cốt lõi và quan trọng nhất (thường là tầng OT) vẫn được cô lập hoàn toàn và có thể hoạt động độc lập hoặc phục hồi nhanh chóng từ bản sao sạch.

1.2. Môi trường OT và ba yêu cầu sống còn (Safety, Availability, Integrity)

IT (Information Technology) ưu tiên Bảo mật (Confidentiality) – đảm bảo dữ liệu không bị lộ.
OT (Operational Technology) ưu tiên An toàn (Safety) và Tính sẵn sàng (Availability).

Trong OT, một giây gián đoạn có thể dẫn đến thiệt hại vật chất, hỏng hóc thiết bị đắt tiền, mất mát sản lượng hàng triệu đô la, hoặc tệ hơn là gây nguy hiểm cho nhân viên và môi trường (ví dụ: nhà máy điện, lọc dầu, sản xuất hóa chất).

Việc áp dụng các giải pháp bảo mật IT truyền thống (như quét virus liên tục, cập nhật vá lỗi thường xuyên, hoặc dừng hệ thống để backup) vào OT là cực kỳ rủi ro:

• Tính ổn định: Hệ thống OT thường là các phần mềm độc quyền, được thiết kế để chạy liên tục trong hàng thập kỷ trên phần cứng chuyên dụng. Một bản vá lỗi IT có thể làm hỏng tính tương thích và gây sập toàn bộ quy trình.
• Thời gian chết (Downtime): IT có thể chấp nhận vài giờ downtime để phục hồi. OT không có lựa chọn đó. Downtime là thất bại.
• Giao thức độc quyền: OT sử dụng các giao thức khác biệt (Modbus, Profibus, DNP3, v.v.) mà các công cụ bảo mật IT thông thường không hiểu hoặc không thể kiểm soát.

Điều này tạo ra nhu cầu bức thiết phải xây dựng một kiến trúc cô lập ngay từ đầu, thay vì cố gắng "vá" lỗ hổng an ninh.

1.3. RTO và RPO trong OT: Áp lực của thời gian thực (Real-time Pressure)

Khi chúng ta thảo luận về RTO và RPO trong IT, chúng ta thường nói về giờ hoặc phút (ví dụ: RTO 4 giờ, RPO 15 phút).

Trong OT, các con số này được đo bằng giây hoặc mili giây.

• RTO: Nếu hệ thống SCADA (Supervisory Control and Data Acquisition) bị tê liệt, thời gian để chuyển sang chế độ thủ công hoặc khôi phục hoàn toàn phải cực kỳ ngắn để tránh gián đoạn quy trình vật lý.
• RPO: Dữ liệu cảm biến, trạng thái van, áp suất, hoặc nhiệt độ là dữ liệu thời gian thực. Mất vài phút dữ liệu này có thể làm mất khả năng chẩn đoán nguyên nhân gốc (Root Cause Analysis) sau sự cố hoặc làm mất các điều kiện cần thiết để khởi động lại quy trình một cách an toàn.

Do đó, kiến trúc Air-gap trong OT không chỉ là nơi để cất giữ bản sao sạch (Backup), mà còn phải là một hệ thống sẵn sàng vận hành độc lập (Isolation for Continuity) để duy trì luồng dữ liệu kiểm soát cần thiết trong thời gian khôi phục tầng IT.

***

PHẦN II: AIR-GAP HIỂU SAI VÀ SỰ PHÂN CẤP CỦA KIẾN TRÚC OT

2.1. Phá vỡ lầm tưởng về Air-gap vật lý

Lầm tưởng phổ biến nhất trong các doanh nghiệp vận hành OT lâu năm là niềm tin rằng "mạng OT của chúng tôi đã Air-gap rồi."

Thực tế, rất ít mạng OT hiện đại còn giữ được Air-gap vật lý tuyệt đối. Nguyên nhân là do áp lực về hiệu suất kinh doanh:

• Cần dữ liệu: Ban lãnh đạo cần dữ liệu sản xuất thời gian thực (MES) để ra quyết định kinh doanh (ERP), dẫn đến nhu cầu kết nối dữ liệu từ Level 1/2 (kiểm soát) lên Level 4/5 (kinh doanh).
• Bảo trì từ xa: Nhu cầu cập nhật firmware, bảo trì hệ thống PLC/DCS từ xa của nhà cung cấp hoặc đội ngũ IT.
• IIoT và Cảm biến thông minh: Sự xuất hiện của các thiết bị IoT công nghiệp làm tăng số lượng điểm kết nối và giao tiếp hai chiều.

Hệ thống OT được tin là Air-gap, nhưng trên thực tế, nó đang được kết nối qua:

1. Jump Server/Laptop: Máy tính xách tay của kỹ sư vận hành/bảo trì được dùng để kết nối vào IT, sau đó cắm vào OT. Đây là con đường lây nhiễm ransomware dễ dàng nhất.
2. USB Drive: Phương tiện truyền tải cấu hình, bản vá, hoặc log file.
3. Firewall thông thường: Chỉ chặn cổng và giao thức, không kiểm soát ngữ cảnh dữ liệu OT (chẳng hạn, có thể chặn một cổng, nhưng không thể biết liệu lệnh Modbus truyền qua đó là hợp lệ hay là lệnh phá hủy).
4. Kết nối ẩn: Modem 3G/4G/Wi-Fi được lắp đặt trái phép hoặc quên chưa tháo dỡ sau khi thử nghiệm.

Sự cô lập thực sự không nằm ở việc rút dây mạng (điều này chỉ làm tê liệt vận hành), mà nằm ở việc kiểm soát mọi điểm tiếp xúc và mọi luồng dữ liệu giữa IT và OT.

2.2. Mô hình Purdue Enterprise Reference Architecture: Khung xương sống của sự cô lập

Kiến trúc Cyber Resilience trong OT bắt buộc phải dựa trên mô hình phân cấp Purdue (IEC 62443/ISA-99). Đây là nền tảng để xác định ranh giới rủi ro và thiết kế Air-gap logic.

Air-gap không phải là một bức tường đơn lẻ. Nó là sự kết hợp của nhiều lớp cô lập và kiểm soát được thiết lập theo chiều dọc, với Level 3.5 đóng vai trò là "Cổng Kiểm Soát Biên Giới" (Border Control Gate).

2.3. Sự phá vỡ Layer 3.5 (Demilitarized Zone) và hệ quả của kết nối IT-OT không kiểm soát

Level 3.5 (Industrial DMZ) được thiết kế để chứa các thành phần cần giao tiếp dữ liệu giữa IT và OT, nhưng không được phép có bất kỳ kết nối trực tiếp hai chiều nào giữa Level 4 (IT) và Level 3/2 (OT).

Sai lầm phổ biến: Sử dụng DMZ như một "vùng quá cảnh" với Firewall cho phép kết nối hai chiều (bi-directional communication) để thuận tiện cho việc thu thập dữ liệu hoặc bảo trì.

• Hệ quả: Một máy chủ đặt tại DMZ có thể là điểm lây nhiễm kép. Nếu máy chủ này bị mã hóa hoặc chiếm quyền từ tầng IT, kẻ tấn công có thể sử dụng chính kết nối hai chiều đó để di chuyển laterally (di chuyển ngang) vào Level 3/2, nơi chứa các HMI (Human-Machine Interface) và SCADA Servers. Khi đó, thay vì chỉ mất dữ liệu kinh doanh, doanh nghiệp mất khả năng kiểm soát quy trình vật lý.

Kiến trúc Cyber Resilience đòi hỏi Level 3.5 phải được thiết kế để chỉ cho phép thông tin đi một chiều hoặc chỉ cho phép kết nối được khởi tạo từ Level thấp hơn lên Level cao hơn (Passive Communication). Đây là nơi triết lý Air-gap logic bắt đầu được định hình.

***

PHẦN III: THIẾT KẾ AIR-GAP TÁC CHIẾN (OPERATIONAL AIR-GAP)

Để đạt được khả năng chịu đựng trước tấn công mạng, đặc biệt là ransomware nhắm vào OT (ví dụ: phá hủy cấu hình, ngừng sản xuất), Air-gap phải được thiết kế một cách tác chiến, có nghĩa là nó phải phục vụ mục tiêu tính sẵn sàng song song với mục tiêu cô lập.

3.1. Air-gap trong OT là gì? Cô lập logic và kiểm soát luồng dữ liệu một chiều

Air-gap tác chiến (Operational Air-gap) là một kiến trúc đảm bảo:

1. Chuyển động Hướng ra (Outbound Movement): Dữ liệu giám sát (log, telemetry, dữ liệu sản xuất) có thể đi từ OT lên IT (hoặc Cloud) để phân tích, nhưng không có đường phản hồi trực tiếp.
2. Chuyển động Hướng vào (Inbound Movement): Mọi dữ liệu đi từ IT xuống OT (ví dụ: cập nhật công thức sản xuất, bản vá firmware) phải đi qua một quy trình kiểm tra nghiêm ngặt, bao gồm kiểm tra mã độc, dịch giao thức, và được kích hoạt bằng tay hoặc thông qua quy trình tự động hóa đã được phê duyệt.
3. Bảo vệ Nguồn Vàng: Đảm bảo rằng các bản sao cấu hình (Golden Configs) của PLC/DCS, các khóa cấp phép, và các máy chủ hình ảnh hệ điều hành sạch nằm trong một môi trường được cô lập tuyệt đối.

Công nghệ chủ đạo giúp hiện thực hóa nguyên tắc 1 và 2 chính là Data Diode.

3.2. Vai trò tối thượng của Data Diode (Bộ Diod Dữ Liệu)

Data Diode là một thiết bị an ninh mạng chuyên dụng. Đúng như tên gọi (Diode trong điện tử học chỉ cho phép dòng điện chạy một chiều), Data Diode chỉ cho phép dữ liệu truyền theo một hướng vật lý, được đảm bảo bằng phần cứng.

Khác với Firewall (dùng phần mềm để quyết định cho phép hay chặn kết nối, và có thể bị cấu hình sai hoặc bị khai thác), Data Diode không có đường truyền vật lý ngược lại. Nó có hai bộ giao diện mạng, nhưng cơ chế truyền thông nội bộ chỉ hoạt động theo một hướng cố định.

• Tác dụng trong OT:
  • Giám sát an toàn: Cho phép thu thập dữ liệu cảm biến, log sự kiện, và thông tin trạng thái quy trình từ Level 2/3 lên Level 4/5/Cloud (để phân tích bảo mật, vận hành, và kinh doanh) mà không lo lắng về việc bất kỳ mã độc nào từ IT có thể len lỏi ngược lại để tấn công các thiết bị điều khiển.
  • Phòng thủ tuyệt đối: Nếu ransomware quét tầng IT và tìm kiếm các kết nối hai chiều để lây lan, nó sẽ không bao giờ vượt qua được Data Diode để tiếp cận mạng OT. Data Diode tạo ra Air-gap logic không thể vượt qua bằng phần mềm.

Việc thiết kế Air-gap bằng Data Diode thường đặt chúng tại ranh giới Level 3.5, đảm bảo rằng mọi giao tiếp giữa IT và OT đều phải tuân thủ triết lý một chiều, trừ khi có một quy trình khẩn cấp được kích hoạt.

3.3. Sai lầm phổ biến: Phụ thuộc vào Firewall và Jump Server

Nhiều doanh nghiệp tin rằng họ đã có Air-gap vì họ sử dụng Firewall để phân tách IT và OT.

Firewall (Tường lửa):
Firewall là cần thiết, nhưng không phải là Air-gap. Firewall dựa trên phần mềm, cần được cập nhật liên tục, và cấu hình của nó dễ dàng bị sai sót (misconfiguration). Một lỗi nhỏ trong quy tắc NAT/ACL có thể mở ra một cổng hai chiều cho phép kẻ tấn công vượt qua. Thậm chí các Firewall thế hệ mới (NGFW) có thể bị khai thác zero-day. Trong một dự án Cyber Resilience thực chiến, Firewall là lớp phòng thủ, Data Diode là lớp phục hồi cuối cùng.

Jump Server (Máy chủ nhảy):
Đây là một điểm yếu kiến trúc cổ điển. Jump Server được thiết kế để giảm số lượng kết nối trực tiếp vào OT, nhưng nó lại trở thành "người mang mầm bệnh" hoàn hảo.

• Sai lầm: Khi một Jump Server bị chiếm quyền quản trị (compromised) trong tầng IT, kẻ tấn công đã có được điểm khởi phát tấn công vào OT với quyền truy cập hợp lệ (valid credentials) và hiểu rõ cấu trúc mạng nội bộ (lateral movement).
• Giải pháp kiến trúc đúng: Nếu bắt buộc phải có luồng vào (Inbound flow) cho bảo trì, nó phải tuân thủ kiến trúc Zero Trust (Zero Trust Network Access – ZTNA) chuyên biệt cho OT. Nghĩa là, mọi kết nối phải được xác thực lại nhiều lần, chỉ cấp quyền truy cập tối thiểu (least privilege), và kết nối phải tự động ngắt sau khi hoàn thành nhiệm vụ cụ thể. Quan trọng hơn, không có bất kỳ công cụ nào trên Jump Server có thể di chuyển ngang vào OT mà không qua một lớp kiểm tra giao thức và ngữ cảnh dữ liệu.

***

PHẦN IV: CÁC LỚP BẢO VỆ TẦNG LỚP VÀ KHẢ NĂNG PHỤC HỒI

Kiến trúc Air-gap trong OT không chỉ là vấn đề về cách ly mạng mà còn là việc bảo vệ các tài sản kỹ thuật số quan trọng nhất giúp khôi phục quy trình vật lý.

4.1. Bảo vệ Nguồn Vàng (Golden Images) và Cấu hình PLC/SCADA

Khi tấn công ransomware xảy ra, mục tiêu của kẻ tấn công không chỉ là mã hóa file mà còn là phá hủy khả năng phục hồi của doanh nghiệp. Trong OT, điều này đồng nghĩa với việc:

1. Mã hóa/Xóa các bản sao lưu cấu hình PLC/DCS.
2. Phá hủy các tập tin "Golden Images" (hình ảnh hệ điều hành sạch) của các HMI và Workstations trong OT.
3. Vô hiệu hóa các License Server cần thiết để chạy phần mềm điều khiển.

Nếu những tài sản này bị mất, RTO sẽ tăng từ vài giờ lên vài tuần hoặc vài tháng, vì việc tái tạo cấu hình điều khiển từ đầu (Reverse Engineering) là công việc cực kỳ phức tạp và tốn thời gian.

Thiết kế Air-gap cho Nguồn Vàng:

• Các kho lưu trữ cấu hình cốt lõi phải được đặt trong một Mạng Cô Lập (Isolated Network) cấp độ thấp hơn (Level 2.5 hoặc 3.0), hoàn toàn tách biệt với mạng IT và mạng vận hành thông thường.
• Việc cập nhật các cấu hình này phải được thực hiện thông qua quy trình ngoại tuyến (Offline procedure) nghiêm ngặt (ví dụ: dùng thiết bị lưu trữ đã được quét virus và kiểm tra toàn vẹn dữ liệu).
• Chỉ các tài khoản quản trị viên được chỉ định và theo nguyên tắc kiểm soát kép (Dual Control) mới có quyền truy cập vật lý và logic vào kho này.

4.2. Kiến trúc Immutable Backup và Air-gap trong OT

Air-gap là lớp phòng thủ cuối cùng, nhưng để nó hoạt động hiệu quả, chúng ta cần đảm bảo rằng dữ liệu phục hồi (Backup) là bất biến (Immutable).

Immutable Backup (Sao lưu Bất biến): Là cơ chế kỹ thuật đảm bảo rằng sau khi dữ liệu được ghi vào kho lưu trữ, nó không thể bị sửa đổi, xóa, hoặc mã hóa bởi bất kỳ ai, kể cả tài khoản quản trị viên hệ thống, trong một khoảng thời gian xác định (Retention Period).

Sự kết hợp giữa Immutable và Air-gap trong OT:

1. OT Data Flow: Dữ liệu cấu hình và HMI Images được đẩy (Push) một chiều từ mạng OT (Level 3/2) vào một hệ thống lưu trữ Immutable trong vùng Air-gap logic (Level 3.5 hoặc kho dự phòng riêng).
2. Logic Cô lập: Air-gap logic (sử dụng Data Diode hoặc cơ chế cách ly tương đương) đảm bảo rằng bất kỳ kết nối bị chiếm quyền nào từ Level 4/5 (IT) đều không thể tiếp cận và phá hủy kho Immutable này.
3. Phục hồi: Khi sự cố xảy ra, các bản sao sạch, bất biến này được sử dụng để khôi phục máy chủ OT, các máy trạm HMI, và quan trọng nhất là, nạp lại cấu hình sạch vào các PLC/DCS.

Đây là sự khác biệt then chốt: Air-gap không chỉ là một ổ đĩa cứng được rút dây mạng, mà nó là một hệ thống bảo vệ dữ liệu được kiến tạo kỹ thuật (Engineered Data Protection System) đảm bảo tính toàn vẹn (Integrity) và tính khả dụng (Availability) của dữ liệu phục hồi.

4.3. Từ Air-gap đến Zero Trust (ZTNA) trong OT

Mặc dù Air-gap hướng tới sự cô lập tối đa, nhu cầu vận hành hiện đại vẫn yêu cầu khả năng truy cập an toàn và có kiểm soát. Đây là lúc triết lý Zero Trust Network Access (ZTNA) phải được áp dụng một cách nghiêm ngặt cho các kết nối IT-OT.

Trong OT, Zero Trust không chỉ là về danh tính người dùng, mà còn về ngữ cảnh của thiết bị và giao thức.

• Không tin tưởng tuyệt đối: Không bao giờ tin tưởng một thiết bị chỉ vì nó đã vượt qua DMZ hoặc nằm trong mạng OT. Mọi thiết bị (bao gồm cả các PLC và HMI) phải được xác thực liên tục.
• Micro-segmentation: Sử dụng tường lửa nội bộ (Internal Firewalls) hoặc thiết bị công nghiệp chuyên dụng để chia nhỏ mạng OT thành các vùng bảo mật nhỏ (Security Zones). Sự cố ở Level 2 của Phân xưởng A không được phép lây lan sang Level 2 của Phân xưởng B. Đây là "Air-gap nhỏ" nội bộ.
• Contextual Access: Truy cập vào một PLC cụ thể chỉ được phép nếu người dùng, thiết bị, và giao thức được sử dụng phù hợp với ngữ cảnh (ví dụ: chỉ cho phép kỹ sư A truy cập PLC B để đọc cấu hình vào ngày thứ Ba).

ZTNA, khi được triển khai đúng cách, sẽ tăng cường độ bền của Air-gap logic, biến nó thành một "cổng khóa điện tử" thay vì chỉ là một bức tường tĩnh.

***

PHẦN V: CASE STUDY VÀ PHÂN TÍCH THỰC TIỄN (E-E-A-T)

Kinh nghiệm triển khai Cyber Resilience Architecture trong các môi trường OT phức tạp cho thấy rằng sự thất bại thường bắt nguồn từ sự tiện lợi trong vận hành và sự thiếu hiểu biết về bản chất giao tiếp IT-OT.

5.1. Ví dụ 1: Nhà máy sản xuất có tích hợp IIoT – Tối ưu hóa vận hành nhưng mất kiểm soát rủi ro

Bối cảnh doanh nghiệp: Một nhà máy sản xuất linh kiện điện tử lớn, vận hành theo dây chuyền tự động hóa cao (SCADA và MES).

Vấn đề trước khi xây dựng CRA:
Doanh nghiệp quyết định tích hợp IIoT (Industrial IoT) để thu thập dữ liệu sản xuất (OEE) và đẩy lên Cloud để phân tích. Để thuận tiện, họ thiết lập một kết nối VPN hai chiều xuyên qua DMZ (Level 3.5) cho phép các máy chủ thu thập dữ liệu (Data Acquisition Servers) ở tầng IT kéo dữ liệu trực tiếp từ các HMI và Historian Servers ở tầng OT.

Sai lầm ban đầu:
Thiết kế kiến trúc bị chi phối bởi tính tiện lợi và tốc độ triển khai IIoT, bỏ qua nguyên tắc cơ bản của Purdue Model. Kết nối hai chiều không kiểm soát, sử dụng giao thức IT (TCP/IP) xuyên suốt, đã phá vỡ mọi lớp cô lập logic.

Điểm gãy hệ thống:
Một cuộc tấn công phishing nhắm vào tầng IT đã cài đặt ransomware. Khi ransomware quét mạng, nó dễ dàng phát hiện kết nối VPN hai chiều xuyên DMZ. Mặc dù các thiết bị điều khiển Level 1/2 không bị mã hóa trực tiếp, nhưng tất cả các HMI (Workstations), Historian Server (chứa dữ liệu sản xuất), và MES Servers đã bị mã hóa hoặc phá hủy.

• Hệ quả: Nhà máy phải dừng sản xuất hoàn toàn (downtime 7 ngày) vì không thể giám sát và ra lệnh vận hành. RPO là 2 ngày (mất toàn bộ dữ liệu sản xuất trong 48 giờ cuối).

Cách tiếp cận kiến trúc (Re-architecture):
Kiến trúc Cyber Resilience được thiết lập lại, tập trung vào Controlled Isolation (Cô lập có kiểm soát):

1. Thay thế VPN hai chiều: Triển khai Data Diode tại Level 3.5, thay thế kết nối hai chiều bằng luồng dữ liệu một chiều từ OT lên IT/Cloud. Dữ liệu giám sát không bao giờ có đường quay lại.
2. Proxy và Protocol Translation: Xây dựng Proxy Servers tại DMZ (Level 3.5) để tiếp nhận dữ liệu từ OT, làm sạch (sanitize) và chuyển đổi giao thức trước khi đẩy lên IT.
3. Hệ thống Immutable Backup OT riêng: Thiết lập một kho lưu trữ độc lập, sử dụng giải pháp immutable backup, được cô lập về mặt vật lý (Air-gap vật lý/logic) khỏi cả mạng IT và mạng OT vận hành chính, chỉ mở kết nối khi thực hiện backup. Kho này chỉ chứa các bản sao VÀNG của cấu hình PLC, HMI Images, và License Keys.

Kết quả định lượng:

• Rủi ro mất dữ liệu OT (RPO): Giảm xuống dưới 15 phút (do Historian Logs được đẩy liên tục qua Data Diode).
• Khả năng phục hồi (RTO): Giảm thời gian khôi phục máy chủ HMI/MES từ 7 ngày xuống còn 8 giờ (do có sẵn Immutable Images và cấu hình sạch được Air-gap bảo vệ).
• Kiểm soát: Tầng OT được bảo vệ tuyệt đối trước lateral movement từ tầng IT.

5.2. Ví dụ 2: Hạ tầng Critical Infrastructure – Bảo vệ Air-gap trước sự cố nội bộ và bên ngoài

Bối cảnh doanh nghiệp: Một công ty vận hành hạ tầng điện/nước quan trọng, với mạng OT chạy trên hệ thống DCS (Distributed Control System) cũ và phức tạp.

Vấn đề trước khi xây dựng CRA:
Doanh nghiệp có hệ thống backup truyền thống, nhưng kho lưu trữ backup nằm trong cùng một phân đoạn mạng với các máy chủ quản trị OT (Level 3). Họ tin rằng việc phân quyền (Access Control List) là đủ để bảo vệ.

Sai lầm ban đầu:
Đánh giá thấp rủi ro về lỗi quản trị hoặc tấn công nội bộ. Lớp bảo mật dựa hoàn toàn vào việc quản lý tài khoản và mật khẩu, chứ không dựa trên kiến trúc vật lý.

Điểm gãy hệ thống:
Sự cố không phải là ransomware từ bên ngoài, mà là lỗi cấu hình nghiêm trọng (misconfiguration) trong quá trình bảo trì định kỳ. Một kỹ sư đã vô tình chạy một script xóa file trên một máy chủ quản trị OT, và do quyền truy cập mở rộng, script này đã lan sang cả ổ đĩa backup truyền thống.

• Hệ quả: Mặc dù quy trình vật lý không bị dừng, nhưng công ty mất toàn bộ bản sao lưu (backup set) sạch của cấu hình DCS trong 3 tháng gần nhất, buộc họ phải dừng kế hoạch nâng cấp và đối mặt với rủi ro vận hành cao cho đến khi tái tạo được cấu hình đầy đủ.

Cách tiếp cận kiến trúc (Re-architecture):
Thiết kế tập trung vào sự bất khả xâm phạm của dữ liệu phục hồi, áp dụng Air-gap Vật lý và Logic song song.

1. Thiết lập Kho Hầm Dữ liệu (Data Vault): Xây dựng một kho lưu trữ vật lý riêng biệt (phòng máy chủ độc lập), được phân tách hoàn toàn khỏi mạng IT và OT vận hành.
2. Air-gap Kích hoạt: Sử dụng cơ chế Air-gap logic (Air-gap Automation) – kết nối mạng từ OT đến Kho Hầm chỉ được kích hoạt theo lịch trình backup nghiêm ngặt và chỉ trong thời gian tối thiểu. Sau khi dữ liệu được đẩy vào, kết nối vật lý/logic sẽ tự động bị cắt.
3. Ba lớp bất biến: Dữ liệu trong Kho Hầm được lưu trữ theo ba lớp: Immutable Storage (đảm bảo không xóa), Write Once Read Many (WORM), và Offline Tape Library (Air-gap vật lý thủ công cuối cùng).
4. Kiểm soát truy cập không liên tục: Tài khoản quản trị kho phục hồi (Recovery Admins) không bao giờ được phép có quyền truy cập vào mạng OT vận hành và ngược lại. Quản trị được phân tách hoàn toàn (Separation of Duties).

Kết quả định lượng:

• Rủi ro mất cấu hình phục hồi: Giảm gần như bằng 0, ngay cả khi toàn bộ đội ngũ IT/OT bị tấn công.
• Độ tin cậy của phục hồi: Đảm bảo 100% bản sao lưu cuối cùng nằm trong kho Air-gap là sạch và sẵn sàng.
• Cải thiện khả năng kiểm soát: Việc phục hồi trở thành một quy trình rõ ràng, ít phụ thuộc vào yếu tố con người trong quá trình lưu trữ.

***

PHẦN VI: GOVERNANCE VÀ CON NGƯỜI: KHOẢNG TRỐNG AIR-GAP VÔ HÌNH

Air-gap, dù được thiết kế bằng Data Diode hay mạng cô lập, cuối cùng vẫn có thể bị phá vỡ bởi yếu tố con người và quy trình quản trị lỏng lẻo. Đây là "khoảng trống Air-gap vô hình."

6.1. Quản trị phân quyền (Access Control) trong môi trường phân cấp OT

Trong OT, sự phân quyền (Privilege Management) không chỉ là vấn đề tài khoản, mà là vấn đề vai trò và phạm vi.

Sai lầm: Giao phó toàn bộ quyền quản trị (Domain Admin) cho một nhóm IT duy nhất, bao gồm cả quyền truy cập vào các máy chủ Level 3 và Jump Servers.

Hậu quả: Khi tài khoản Domain Admin bị chiếm đoạt (thường xảy ra trong các cuộc tấn công ransomware cấp cao), kẻ tấn công ngay lập tức có được chìa khóa vào các hệ thống OT.

Thiết kế Air-gap về mặt Quản trị:

• Phân vùng danh tính: Tạo ra các Vùng Danh Tính (Identity Zones) riêng biệt cho OT. Tài khoản quản trị OT không nên là thành viên của Domain IT (Level 4/5).
• Nguyên tắc Least Privilege: Kỹ sư chỉ được cấp quyền RDP vào một HMI cụ thể để giám sát, nhưng không được phép có quyền quản trị hệ thống (Local Admin) trên đó.
• Sử dụng PAM (Privileged Access Management) chuyên biệt cho OT: Buộc mọi kết nối đặc quyền phải đi qua một cổng PAM, nơi phiên làm việc được ghi lại (recorded) và xác thực đa yếu tố (MFA) là bắt buộc. Hệ thống PAM nên được đặt tại DMZ và phải tuân thủ luồng dữ liệu một chiều.

6.2. Văn hóa vận hành và Quy trình phục hồi (Playbook)

Air-gap chỉ có ý nghĩa khi nó được bổ sung bằng quy trình vận hành nghiêm ngặt, đặc biệt là quy trình phục hồi sau thảm họa (Disaster Recovery Playbook).

Nếu quy trình phục hồi yêu cầu kỹ sư phải cắm USB chứa cấu hình từ máy tính IT vào mạng OT, thì toàn bộ Air-gap đã vô nghĩa.

Yêu cầu về Quy trình:

1. Quy trình Xử lý phương tiện di động (Removable Media): Mọi thiết bị lưu trữ ngoại vi (USB, HDD di động) phải được kiểm tra qua một Kiosk quét chuyên dụng, cô lập hoàn toàn khỏi cả IT và OT, sử dụng nhiều công cụ quét và đảm bảo không có mã độc nào được chuyển qua biên giới Air-gap logic.
2. Quy trình Đóng/Mở Air-gap: Phải có một quy trình phê duyệt cấp cao (Change Management) để mở bất kỳ kết nối vật lý hoặc logic nào xuyên qua Air-gap (ví dụ: để áp dụng bản vá hoặc khôi phục dữ liệu). Việc mở kết nối phải được ghi nhật ký và giám sát chặt chẽ.
3. Kiểm tra Phục hồi Air-gap: Các bài kiểm tra DR (DR Drills) phải bao gồm kịch bản phục hồi từ kho Air-gap, đảm bảo rằng hệ thống có thể khởi động lại bằng các cấu hình Vàng đã được cách ly. Việc kiểm tra này cần được thực hiện định kỳ, không phải chỉ một lần.

6.3. Hệ quả dài hạn của sự đầu tư kiến trúc nửa vời

Nhiều doanh nghiệp, dưới áp lực chi phí, chọn cách triển khai các giải pháp nửa vời: mua Firewall mới, thêm một vài máy chủ ảo làm Jump Server, và gọi đó là "Air-gap".

Hệ quả dài hạn:

• Tính giả mạo (False Sense of Security): Lãnh đạo tin rằng họ đã được bảo vệ, dẫn đến việc giảm đầu tư vào các lớp bảo mật phía trước. Khi sự cố xảy ra, thiệt hại lớn hơn nhiều vì doanh nghiệp không hề chuẩn bị cho việc thất bại.
• Nợ kỹ thuật (Technical Debt) gia tăng: Việc vá lỗi hoặc sửa chữa kiến trúc kém sẽ tốn kém hơn nhiều so với việc thiết kế đúng đắn ngay từ đầu, đặc biệt là khi các hệ thống OT đang ngày càng được kết nối sâu hơn vào Cloud (IIoT).
• Rủi ro uy tín và pháp lý: Đối với các ngành công nghiệp nhạy cảm, việc thiếu Air-gap đúng nghĩa không chỉ gây thiệt hại kinh tế mà còn có thể dẫn đến vi phạm quy định nghiêm trọng về an toàn và bảo mật hạ tầng quan trọng.

Cyber Resilience Architecture, đặc biệt là việc xây dựng Air-gap trong OT, là một quyết định chiến lược về quản trị rủi ro, không phải là một hạng mục chi tiêu kỹ thuật đơn thuần. Nó định vị khả năng tồn tại và cạnh tranh của doanh nghiệp trong môi trường rủi ro hiện tại.

***

TỔNG KẾT & ACTIONABLE TAKEAWAYS

Air-gap trong OT là phép thử cuối cùng của một kiến trúc Cyber Resilience trưởng thành. Nó không phải là sự rút dây mạng, mà là một hệ thống cô lập có kiểm soát, được thiết kế kỹ thuật (Engineering) để đảm bảo tính an toàn và khả năng phục hồi của các quy trình vật lý.

Cyber Resilience Architecture không đồng nghĩa với Cyber Security, và càng không thể giản lược thành Backup. Nó là sự kết hợp của Air-gap logic/vật lý, Immutable storage, phân cấp quyền lực (governance), và quy trình vận hành được thiết kế để duy trì RTO/RPO ở mức thấp nhất trong kịch bản thảm họa.

1. Hành động Cụ thể (Actionable Takeaways)

1. Đánh giá lại DMZ (Level 3.5): Kiểm tra tất cả các kết nối xuyên qua DMZ. Xác định xem có bao nhiêu kết nối là hai chiều (bi-directional). Lập tức lên kế hoạch thay thế các kết nối hai chiều không cần thiết bằng cơ chế truyền dữ liệu một chiều (Unidirectional Gateways/Data Diode).
2. Phân tách Tài khoản Quản trị: Tách biệt hoàn toàn các tài khoản quản trị OT (Level 3/2) khỏi các tài khoản quản trị IT (Level 4/5). Áp dụng PAM và ZTNA cho mọi kết nối đặc quyền vào OT.
3. Xác định Nguồn Vàng: Liệt kê tất cả các file cấu hình PLC/DCS, Historian Data, và Golden Images. Đảm bảo rằng các tài sản này được đẩy vào một kho lưu trữ Immutable riêng biệt, nằm trong vùng Air-gap logic/vật lý, và không thể bị sửa đổi bởi bất kỳ hệ thống nào trong mạng vận hành thông thường.
4. Kiểm tra Phục hồi từ Air-gap: Ngừng tin vào các bản sao lưu truyền thống. Bắt đầu các bài diễn tập DR định kỳ, nơi việc phục hồi hệ thống OT chỉ được phép sử dụng dữ liệu từ kho Air-gap/Immutable, kiểm tra xem RTO/RPO thực tế có đạt được mục tiêu kinh doanh đã đề ra hay không.

2. Rủi ro nếu tiếp tục hiểu sai hoặc trì hoãn

Nếu doanh nghiệp tiếp tục tin vào Air-gap vật lý giả định và không đầu tư vào kiến trúc cô lập có kiểm soát (Controlled Isolation Architecture) cho OT:

• Gián đoạn kéo dài: Một cuộc tấn công ransomware từ tầng IT sẽ dễ dàng lan xuống OT, làm tăng RTO lên mức không thể chấp nhận (từ vài giờ lên vài tuần).
• Thiệt hại vật chất và An toàn: Việc mất kiểm soát đối với hệ thống vật lý có thể dẫn đến tai nạn, hỏng hóc thiết bị, và các vấn đề về an toàn nghiêm trọng, vượt xa chi phí phục hồi IT.
• Mất khả năng cạnh tranh: Trong thế giới tích hợp IIoT, doanh nghiệp không thể vận hành hiệu quả nếu họ phải liên tục lo sợ về sự xâm nhập mạng làm tê liệt sản xuất.

Việc thiết kế Cyber Resilience Architecture, đặc biệt là triển khai Air-gap tác chiến trong môi trường OT, là khoản đầu tư bắt buộc để đảm bảo sự ổn định và khả năng phục hồi trong tương lai. Đó là việc mua bảo hiểm cho khả năng tồn tại của quy trình cốt lõi.

***

Ranh giới giữa IT và OT đang mờ dần, nhưng ranh giới giữa Bảo mật và Phục hồi (Resilience) phải được định nghĩa rõ ràng. Nếu quý vị đang đối mặt với thách thức trong việc thiết kế Air-gap cho môi trường OT hoặc muốn nâng cấp năng lực phục hồi trước các mối đe dọa như ransomware, hãy cùng trao đổi. Kiến trúc là nền tảng của mọi sự bền vững.