SEI ETF Reference Architectures

เมื่อประมาณ 2 สัปดาห์ที่แล้ว ผมได้ทำเอกสารสรุปให้ผู้บริหาร เป็นเนื้อหาจาก “Reference Architectures as a Means of Influencing Electric Energy Operational Technology/Industrial Control Systems Security Outcomes” เลยถือโอกาสเอามาแปะไว้ในบล็อกด้วย 😁

เอกสารนี้จัดทำโดย Securing Energy Infrastructure Executive Task Force (SEI ETF) โดยมีวัตถุประสงค์เพื่อจัดการกับความท้าทายด้าน Cybersecurity ที่เพิ่มขึ้นเรื่อยๆ ของระบบ Operational Technology (OT) และ Industrial Control Systems (ICS) ของหน่วยงานภาคพลังงานไฟฟ้า

จากการศึกษาของ SEI ETF พบว่ามาตรฐานด้าน Cybersecurity ในปัจจุบันที่ออกโดยหน่วยงานต่างๆ เช่น NIST, IEEE, และ IEC มีความทับซ้อน ไม่สอดคล้อง และไม่ครอบคลุม โดยบางมาตรฐานอาจพูดถึงระบบ ICS แบบรวมๆ ในขณะที่บางมาตรฐานก็เฉพาะเจาะจงไปที่ส่วนย่อยๆ เช่น สถานีไฟฟ้า หรือระบบควบคุม (Automation Systems)

SEI ETF จึงได้นำเสนอ Reference Architecture Framework เพื่อเป็นแนวทางในการออกแบบด้าน Cybersecurity สำหรับระบบไฟฟ้า โดยมีลักษณะเป็น Blueprint ที่กำหนด System Layers, องค์ประกอบต่างๆ ในแต่ละ Layer, และความสัมพันธ์ระหว่างองค์ประกอบเหล่านั้น ซึ่งถ้านำมาดัดแปลงให้เป็น Profile สำหรับระบบต่างๆ จะช่วยให้

• มี Design Language ที่ตรงกันระหว่าง Architects, Operators, OEMs, และ System Integrators
• สามารถระบุ Gap ที่มีอยู่ของมาตรฐานที่ใช้ ว่าครอบคลุมทุกส่วนใน System Design หรือไม่
• ทำให้การออกแบบระบบมีความปลอดภัยตั้งแต่เริ่มต้น ช่วยลดเวลาในการออกแบบ และทำให้ระบบที่ได้เป็นไปในทิศทางเดียวกัน
• เพิ่มความร่วมมือระหว่างทีม IT, OT, และ Cybersecurity ผ่านกระบวนการออกแบบระบบ โดยพิจารณาจากความเสี่ยงเป็นหลัก

Reference Architecture Framework เป็นการออกแบบต่อยอดจาก Purdue Model โดยเพิ่มรายละเอียดเรื่อง Function, Security Features, และ Participating Parties เข้าไปในแต่ละ Layer โดย SEI ETF เริ่มจากการทำ Initial Reference Architecture เพียงภาพเดียว แล้วนำมาประยุกต์ทำเป็น Profile แยกตามลักษณะของระบบ OT/ICS ในภาคพลังงานไฟฟ้า โดยปัจจุบันมี 5 Profiles คือ

• Generation
• Substation
• Distributed Energy Resources (DER)
• Regional Utility-Scale DER
• Control Center

เริ่มจาก Initial Reference Architecture จะเป็นแนวคิดกว้างๆ และยังไม่มีการใส่รายละเอียดของ Security Features และ Participating Parties ตามภาพด้านล่าง

จากนั้นเมื่อนำมาทำเป็น Profile จะระบุเฉพาะ Devices ที่เกี่ยวข้อง โดยมี Security Features และ Participating Parties กำกับในแต่ละ Layer ยกตัวอย่างเช่น Profile สำหรับ Substation จะมีรูปแบบดังนี้

โซนสีฟ้าจะเป็นระบบควบคุมในสถานีไฟฟ้า โซนสีเขียวคือระบบ SCADA โซนสีส้มคือ Enterprise Network และโซนสีชมพูคือ Internet และ Cloud โดยในแต่ละโซนจะระบุว่าควรมี Security Features อะไรบ้าง และใครเป็นผู้เกี่ยวข้อง

ถ้าซูมเข้ามาดูเฉพาะในส่วน Security Features และ Participating Parties จะเห็นว่า ระบบควบคุมในสถานีไฟฟ้าควรมีการทำ Access Control, Device Hardening, Security Logging, Malware Protection, ฯลฯ และมีผู้เกี่ยวข้องได้แก่ OT Manager, Engineer/Designer, Relay Technician, Field Device Technician เป็นต้น

ที่น่าสนใจคือ Profile เหล่านี้ไม่ได้กำหนดไว้ตายตัว แต่เราสามารถจับแต่ละ Layer แยกออกเป็นส่วนๆ แล้วมาเชื่อมต่อกันได้ตามโครงสร้างของระบบที่แต่ละองค์กรมีอยู่ เช่น การใช้ Profile ของ Control Center ตั้งแต่ Layer 3–5 เพียงตัวเดียว แต่ใช้ Profile ในส่วนของ Physical Assets Zone ใน Layer 0–2 หลายตัว (จากภาพตัวอย่างเป็น Generation Profile และ Substation Profile) เพื่อให้สอดคล้องกับระบบ OT/ICS ที่มีการใช้งานอยู่จริง ตามภาพด้านล่าง

นอกจากนี้ในเอกสารยังกล่าวถึงการ Mapping มาตรฐานด้าน Cybersecurity ต่างๆ เข้ากับแต่ละ Layer ของ Reference Architecture ดังนี้

จากภาพจะเห็นว่ามีบางมาตรฐานที่ครอบคลุมทั้ง 5 Layer เช่น NISTIR 7628 หรือบางมาตรฐานจะเน้นเฉพาะระบบ OT/ICS โดยครอบคลุมในเฉพาะส่วน Layer 0, 1, 2 ได้แก่ NERC CIP, NIST SP 800-82, และ ISA/IEC 62443 เป็นต้น

ทั้งนี้เราสามารถนำ Reference Architecture ดังกล่าวมาใช้ในการออกแบบด้าน Cybersecurity ของระบบ OT/ICS ต่างๆ ภายในองค์กร เพื่อให้เกิดกระบวนการออกแบบด้าน Cybersecurity ที่เป็นแบบแผน มีการประเมินความเสี่ยง และมีการหารือกับ Stakeholders ที่เกี่ยวข้องทั้งหมดก่อนลงมือ Implement ตามแนวคิด Engineered Cybersecurity Process Flow ต่อไป

ปล. ถ้าอยากเห็นภาพ Diagram ทั้งหมดแบบชัดๆ สามารถดูได้จากเอกสาร Reference Architecture for Electric Energy OT and Accompanying Profiles ครับ