ลองนึกถึงโรงงานที่สายพานหลักหยุดทำงานกลางกะ ทีมซ่อมรู้จักเครื่องจักร แต่ไม่แน่ใจว่าอุปกรณ์ควบคุมตัวไหนเชื่อมกับระบบอื่น ฝ่ายไอทีมีรายการเครื่องในเครือข่าย แต่ไม่รู้ว่าการหยุดอุปกรณ์ตัวใดจะกระทบความปลอดภัยหรือกำหนดส่งของ ส่วนการเงินเห็นใบเสนอราคาซ่อม แต่ยังเทียบไม่ได้ว่าเครื่องไหนควรได้งบก่อน
ทะเบียนอุปกรณ์ Operational Technology (OT) ที่ดีช่วยให้คนเหล่านี้เริ่มจากข้อมูลชุดเดียวกันได้ มันไม่ได้ทำให้เหตุขัดข้องหายไป และไม่ได้รับประกันว่าจะกู้ระบบได้ตามเวลา แต่ช่วยให้ทีมมองเห็นว่าอุปกรณ์ทำหน้าที่อะไร พึ่งพาอะไร และใครต้องเข้ามาตัดสินใจเมื่อเกิดปัญหา
วันที่ 21 กันยายน 2569 NIST เผยแพร่ร่างสาธารณะฉบับแรกของ SP 800-82 Revision 4 เพื่อรับความเห็น โดยเปิดรับความเห็นถึงวันที่ 30 พฤศจิกายน 2569 ร่างนี้ยังไม่ใช่ฉบับสุดท้าย แนวทางของ NIST ระบุชัดว่าการรักษาความปลอดภัย OT ต้องคำนึงถึงประสิทธิภาพ ความเชื่อถือได้ และความปลอดภัยของกระบวนการด้วย หน้าเผยแพร่ของ NIST สรุปว่าฉบับปรับปรุงเพิ่มประเด็นการจัดการสินทรัพย์ และเชื่อมการบริหารความเสี่ยง OT เข้ากับความเสี่ยงระดับองค์กร
ประเด็นนี้เป็นแนวทางอ้างอิงจากสหรัฐฯ ไม่ใช่ข้อบังคับของไทย และร่าง Rev. 4 ยังอยู่ระหว่างรับความเห็น โรงงานไทยจึงใช้เป็นจุดตั้งต้นเพื่อทบทวนการทำงานได้ โดยไม่ควรเรียกตัวเองว่าปฏิบัติตามกฎหรือมาตรฐานเพียงเพราะทำทะเบียนขึ้นมา
ทะเบียนที่ใช้ได้ต้องบอกผลกระทบทางธุรกิจด้วย
การจดชื่อ PLC, HMI, เซิร์ฟเวอร์ หรืออุปกรณ์เครือข่ายไว้เฉย ๆ ยังตอบคำถามในวันที่เกิดเหตุไม่ได้ ทีมต้องเห็นความสัมพันธ์ระหว่างอุปกรณ์กับกระบวนการผลิต เช่น ถ้าอุปกรณ์นี้หยุด จะหยุดเครื่องเดียวหรือทั้งสายการผลิต มีผลต่อความปลอดภัย คุณภาพสินค้า หรือการส่งมอบอย่างไร และมีระบบใดที่ต้องฟื้นก่อนจึงจะเดินเครื่องต่อได้
แนวทาง CISA และหน่วยงานพันธมิตรเรื่อง การจัดทำทะเบียนสินทรัพย์ OT วางการทำ inventory เป็นงานต่อเนื่อง ตั้งแต่กำหนดขอบเขตและเป้าหมาย ระบุอุปกรณ์และข้อมูลประกอบ จัดกลุ่มความสำคัญ ไปจนถึงการดูแลตลอดอายุสินทรัพย์ ประโยชน์จึงไม่ได้อยู่ที่จำนวนแถวในสเปรดชีต แต่อยู่ที่ข้อมูลช่วยให้ทีมจัดลำดับความเสี่ยงและการดูแลได้หรือไม่
โรงงานอาจเริ่มด้วยรายการอุปกรณ์ที่จำเป็นต่อกระบวนการสำคัญ แล้วเพิ่มข้อมูลที่ช่วยให้คนทำงานตัดสินใจร่วมกันได้ เช่น:
- ฝ่ายผลิตและซ่อมบำรุง ระบุหน้าที่ของอุปกรณ์ ผลกระทบเมื่อหยุด ผู้รับผิดชอบ และขั้นตอนที่ต้องตรวจสอบก่อนเดินเครื่องอีกครั้ง
- ทีม IT/OT บันทึกตำแหน่งและเจ้าของระบบ รุ่นซอฟต์แวร์หรือ firmware ผู้ขาย สถานะการสนับสนุน ช่องทาง remote access และระบบที่เชื่อมโยงกัน
- ฝ่ายการเงินและผู้บริหาร มองเห็นอายุการใช้งาน ค่าใช้จ่ายบำรุงรักษาที่มีหลักฐาน ความเสี่ยงจากอุปกรณ์ที่ใกล้หมดการสนับสนุน และเหตุผลที่ใช้จัดลำดับงบฟื้นฟูหรือทดแทน
ตัวอย่างนี้เป็นวิธีจัดบทสนทนาข้ามฝ่าย ไม่ใช่รายการบังคับที่ NIST หรือ CISA รับรองให้เหมาะกับทุกโรงงาน แต่ละแห่งควรเลือกข้อมูลตามกระบวนการ ความเสี่ยง และข้อกำหนดของตน
