# An toàn thông tin cho hệ thống vận hành nhà máy

> Tách mạng vận hành khỏi mạng văn phòng, quản lý truy cập từ xa của nhà thầu, sao lưu chương trình PLC, và vì sao USB là đường lây nhiễm phổ biến nhất.

URL: https://ndtex.vn/an-toan-thong-tin-cho-he-thong-van-hanh-nha-may/
Cập nhật: 2026-09-09T11:39:57+07:00

Rủi ro lớn nhất với hệ điều khiển nhà máy không phải tấn công có chủ đích. Nó là một máy tính nhiễm mã độc trong văn phòng, chung mạng với PLC, và một cái USB đi vòng quanh xưởng.

## Tách mạng

Mạng vận hành và mạng văn phòng phải tách nhau. Mức tối thiểu là VLAN riêng có kiểm soát lưu lượng giữa hai vùng; mức tốt hơn là tường lửa với quy tắc chỉ cho phép đúng các kết nối cần thiết.

Lý do không chỉ là an ninh. Một máy tính văn phòng tải file lớn trên mạng phẳng chung có thể làm chậm phản hồi của thiết bị điều khiển, và triệu chứng đó rất khó chẩn đoán.

## Truy cập từ xa của nhà thầu

Nhà thầu cần vào từ xa để hỗ trợ, và cách thường làm là để sẵn một kết nối mở quanh năm. Đó là cửa vào thường trực mà không ai giám sát.

Truy cập từ xa của nhà thầu

Cách làm an toàn hơn mà vẫn tiện:

- Kết nối chỉ được bật khi có yêu cầu, và tắt sau khi xong.

- Mỗi nhà thầu một tài khoản riêng, không dùng chung.

- Ghi nhật ký ai vào lúc nào, làm gì.

- Có người của nhà máy theo dõi trong lúc họ thao tác.

Bốn việc này không tốn thiết bị gì thêm, chỉ là quy trình.

## USB: đường lây nhiễm phổ biến nhất

Máy tính lập trình PLC thường không nối mạng, nên cách duy nhất đưa dữ liệu vào là USB — và cũng là cách duy nhất mã độc vào được.

Biện phápThực hiện

USB chuyên dụngChỉ dùng trong khu vận hành, không mang ra ngoài

Quét trước khi dùngMột máy trạm riêng để quét

Khoá cổng USB không cần thiếtTrên các máy trạm vận hành

Cấm sạc điện thoại qua cổng USB máy trạmThói quen rất phổ biến và rất rủi ro

## Sao lưu chương trình

Đây là biện pháp có giá trị cao nhất trên mỗi đồng bỏ ra, và cũng hay bị bỏ nhất.

USB: đường lây nhiễm phổ biến nhất

- Sao lưu chương trình PLC, HMI, tham số biến tần và servo của mọi máy.

- Lưu ít nhất hai bản ở hai nơi khác nhau, một bản ngoại tuyến.

- Ghi rõ phiên bản và ngày; chương trình sửa mà không cập nhật bản sao là bản sao vô dụng.

- Thử khôi phục ít nhất một lần trên một máy dự phòng — bản sao chưa từng được thử không phải bản sao.

Mục cuối là mục phân biệt sao lưu thật với sao lưu trên giấy tờ.

## Tài khoản và mật khẩu

Nhiều PLC và HMI xuất xưởng với mật khẩu mặc định, và phần lớn không bao giờ được đổi. Đổi mật khẩu mặc định khi nghiệm thu, ghi vào hồ sơ máy ở nơi có kiểm soát, và thu hồi quyền truy cập khi nhân sự chuyển việc.