CISA và ACSC công bố hướng dẫn cô lập hệ thống OT: cần kiểm chứng gì?

CISA ghi nhận công bố ngày 28/07/2026 về hướng dẫn chung do các cơ quan an ninh mạng quốc tế phối hợp. Trang Cyber.gov.au cùng ngày mô tả mục tiêu là giúp tổ chức cô lập OT và enabling systems quan trọng khỏi các mạng khác, qua đó hạn chế đường đi của đối phương và hỗ trợ duy trì dịch vụ thiết yếu.

Đây là guidance phòng thủ, không phải thông báo một cuộc tấn công mới vào mọi hệ thống OT. NetVali xác minh nguồn lúc 05:29 ngày 29/07/2026 (UTC+7).

Điểm đáng chú ý là nhấn mạnh cả OT lẫn “enabling systems”: engineering workstation, historian, identity, remote access, backup hoặc dịch vụ hỗ trợ có thể tạo đường vào OT dù PLC/controller không trực tiếp kết nối Internet.

Nguyên tắc phù hợp với Australian ISM PRO-19: OT được cô lập logic/vật lý khỏi IT và external infrastructure, chỉ giữ các đường truyền được cho phép, kiểm soát và giám sát. Tuy nhiên cách triển khai cụ thể phải dựa trên safety, availability và operational requirements.

Kiến trúc cần lập inventory data flow: ai kết nối, từ zone nào, dùng protocol/port gì, trong maintenance window nào và log ở đâu. DMZ, jump host, unidirectional gateway hoặc firewall chỉ là cơ chế; bằng chứng là traffic ngoài allowlist bị chặn và luồng cần thiết vẫn hoạt động.

Test plan nên gồm positive/negative flow, rule shadowing, route bypass, alternate NIC/VPN, vendor remote access, failover và loss of dependency. Với OT đang chạy, ưu tiên passive discovery và lab/digital twin; không scan hoặc fault-inject tùy tiện.

• Chủ sở hữu hạ tầng trọng yếu và đội OT/ICS.
• Network/security architect quản lý segmentation.
• Đội vận hành remote access và vendor support.
• Lab/PoC team cần kiểm chứng thay đổi trước production.
• Incident response, backup và business continuity.

Guidance không chứng minh một thiết kế air gap tuyệt đối là phù hợp với mọi nhà máy. Không thể suy ra rằng chỉ cần chặn Internet là đã cô lập đầy đủ, vì lateral path, removable media, wireless, maintenance laptop và shared identity vẫn có thể tồn tại.

Nguồn cũng không thay thế risk assessment hoặc functional-safety process. Mức cô lập, fail-open/fail-close và recovery phải được chủ hệ thống phê duyệt theo quy trình.

• Hạng mục: Asset/flow inventory · Câu hỏi kiểm chứng: Đủ OT và enabling systems? · Bằng chứng: Inventory, flow map
• Hạng mục: Segmentation · Câu hỏi kiểm chứng: Có route/path ngoài thiết kế? · Bằng chứng: Route, policy, capture
• Hạng mục: Remote access · Câu hỏi kiểm chứng: MFA, approval, time-bound? · Bằng chứng: Session/audit log
• Hạng mục: Monitoring · Câu hỏi kiểm chứng: Thấy allow và deny event? · Bằng chứng: SIEM/NDR evidence
• Hạng mục: Dependency · Câu hỏi kiểm chứng: DNS/NTP/identity/backup hoạt động? · Bằng chứng: Service test
• Hạng mục: Isolation mode · Câu hỏi kiểm chứng: Dịch vụ thiết yếu duy trì? · Bằng chứng: Exercise timeline
• Hạng mục: Recovery · Câu hỏi kiểm chứng: Có restore và reconnect runbook? · Bằng chứng: Dry-run result
• Xác định crown-jewel OT và enabling systems.
• Đối chiếu topology thực với tài liệu.
• Kiểm tra mọi access path, kể cả đường dự phòng.
• Chạy negative test trong lab/maintenance window.
• Diễn tập isolate–operate–recover có người phê duyệt.

Giữ topology/version, firewall/ACL export, flow matrix, capture đối chứng, log remote access, dependency test và timeline diễn tập. Verdict cần nêu phần chưa kiểm thử, không dùng “đã air-gap” nếu vẫn có đường quản trị hoặc dữ liệu đi qua.