SRP Model

จริงๆ ผมเคยบ่นเรื่องการพยายามเอา CIA triad มา apply กับ OT security มาแล้วหลายครั้ง… ล่าสุดคือตามบล็อกด้านบน ส่วนปีก่อนๆ นู้นก็เคยบ่นเรื่องเดียวกันนี้ ในมุมของ พ.ร.บ. ไซเบอร์ กับระบบ OT (่ประเด็นที่ 2) ว่าถ้าจะประเมินความเสี่ยงให้เข้ากับบริบทของระบบ OT ควรพิจารณา impact ด้านอื่นที่ไม่ใช่ CIA (confidentiality, integrity, availability) ซึ่งเท่าที่พอหาข้อมูลได้ก็คือการพิจารณาในมุม SRP (safety, reliability, productivity) แทน

ประเด็นนี้เป็นสิ่งที่พูดถึงบ่อยๆ ในวงคนทำงานด้าน OT security แต่ก็เหมือนเป็นการบ่นกันเองในกลุ่มมากกว่าจะเป็นการพยายามสื่อสารให้คนกลุ่มอื่นๆ เกิดความเข้าใจ หรือเพื่อทำให้เกิดความเปลี่ยนแปลงด้าน mindset ของผู้เกี่ยวข้อง 🙄

จนเมื่อประมาณ 2 อาทิตย์ก่อน ได้อ่านบล็อกเรื่อง Introducing the SRP Model รู้สึกว่ามีความพยายามอธิบายแบบเป็นทางการ เลยมาแปะลิงก์ไว้เป็น reference หน่อย

(ชอบ phrase ที่บอกว่า “However, we strongly disagree.” ดูจริงจังดี 🥹)

คอนเซปต์ของ SRP Model คร่าวๆ ก็ตามรูปด้านล่างนี้

คิดว่าเป็นหัวข้อที่ยังคงต้องทะเลาะพูดคุยกันอีกนานระหว่างทีม IT/OT security 😆