Cybersecurity hệ thống OT nhà máy dược GMP: IEC 62443 & IDMZ

OT Cybersecurity for GMP Pharmaceutical Plants explains how IEC 62443 protects validated state, data integrity and production continuity.

• Cybersecurity incidents can invalidate GMP evidence when accounts, backups, network segmentation or change control are weak.
• IEC 62443 zone and conduit design should align with SCADA, EMS, BMS, MES, historian and vendor remote-access boundaries.
• The article helps QA, IT and Automation treat cybersecurity as a quality-system control, not only an IT concern.

Cybersecurity hệ thống OT nhà máy dược GMP là lớp phòng thủ bắt buộc cho cả dây chuyền lẫn bằng chứng chất lượng.

Đọc theo cụm: Pharma 4.0 dược phẩm: lộ trình chuyển đổi số từ dữ liệu GMP đến AI và cybersecurity

Cybersecurity hệ thống OT nhà máy dược GMP bảo vệ đồng thời dây chuyền sản xuất và bằng chứng chất lượng. Phạm vi trực tiếp gồm SCADA, historian, PLC, batch record và audit trail.

NotPetya tại Merck cho thấy ransomware không chỉ làm dừng máy. Khi dữ liệu GxP, audit trail hoặc historian bị phá hủy, lô đang sản xuất có thể không releaseable. Sản phẩm vật lý có thể vẫn còn, nhưng bằng chứng GMP đã mất.

Bài này dùng IEC 62443, IDMZ, Defense-in-Depth, patch management và incident response để biến OT cybersecurity thành một phần của Data Integrity và GMP governance.

Phần này tóm tắt thông điệp chính để người đọc nắm nhanh trước khi vào chi tiết.

IT và OT: Hai thế giới ưu tiên đảo ngược

Phần này giúp đội QA/OT nhìn rõ rủi ro vận hành và evidence cần giữ.

Regulatory baseline: Các nhận định GMP trong bài được đối chiếu trực tiếp theo 21 CFR Part 11, 21 CFR 211.192, 21 CFR 211.68, EU GMP Annex 11.

Sự khác biệt cốt lõi giữa bảo mật IT và OT nằm ở thứ tự ưu tiên CIA — Confidentiality, Integrity, Availability. Trong môi trường IT văn phòng, Confidentiality (bảo mật thông tin) đứng đầu. Trong OT (PLC, SCADA, DCS kiểm soát dây chuyền sản xuất), Availability — tính sẵn sàng của hệ thống — là ưu tiên số một không thể thương lượng.

Dừng PLC đang kiểm soát nhiệt độ lò sấy giữa chu kỳ sản xuất có thể gây hỏng toàn bộ lô. Khi đó nhà máy phải mở deviation investigation tốn kém.

Hậu quả thực tiễn của sự đảo ngược ưu tiên

Sự đảo ngược này tạo ra loạt hệ quả mà đội IT thường không dự đoán được khi can thiệp vào môi trường OT. Phần mềm antivirus quét sâu theo thời gian thực có thể gây độ trễ không thể chấp nhận cho hệ thống điều khiển real-time.

Reboot máy tính sau khi áp dụng security patch — thao tác bình thường trong IT — là hành động nguy hiểm khi máy đó đang chạy SCADA giám sát batch sản xuất 8 tiếng.

Security patch không thể được áp dụng tự động như trong IT: mỗi bản vá cho hệ thống GxP phải trải qua Change Control (đánh giá impact, test trên staging environment, update tài liệu CSV) trước khi triển khai lên production.

Khoảng cách giữa IT và OT là attack surface lớn nhất

Nghịch lý của Pharma 4.0 là: càng kết nối OT với IT để đạt được lợi ích data analytics và MES integration, khoảng cách bảo mật giữa hai tầng càng trở thành attack surface nguy hiểm. Kết nối SCADA historian trực tiếp với ERP cloud mà không qua bất kỳ kiểm soát nào là cách ngắn nhất để mã độc từ tầng office network xâm nhập vào hệ thống điều khiển sản xuất.

Đây chính là vector tấn công mà NotPetya đã khai thác để lây lan từ module kế toán sang hệ thống OT của Merck. Xem thêm kiến trúc IT-OT theo ISA-95 trong chuyển đổi số nhà máy dược để hiểu ranh giới kỹ thuật cần thiết lập.

Bức tranh rủi ro thực tế: Số liệu 2025

Phần này biến khái niệm thành tình huống thực tế để đội vận hành tự soi gap.

Sophos State of Ransomware in Manufacturing 2025

Sophos khảo sát 332 tổ chức sản xuất tại 17 quốc gia (tháng 1–3/2025) — báo cáo toàn diện nhất về ransomware trong ngành sản xuất hiện có. Kết quả đáng lo ngại: exploited vulnerabilities là nguyên nhân hàng đầu của 32% cuộc tấn công ransomware vào ngành sản xuất. Thiếu chuyên môn nhận biết tấn công (lack of expertise) là yếu tố tổ chức góp phần vào 42,5% các vụ ransomware, theo sát là unknown security gaps (41,6%).

Chi phí phục hồi trung bình (không tính tiền chuộc) là 1,3 triệu USD vào năm 2025, giảm 24% so với 1,7 triệu USD năm 2024 — cho thấy ngành đang cải thiện khả năng phục hồi, nhưng con số tuyệt đối vẫn rất cao. Hơn nữa, 51% tổ chức sản xuất bị tấn công vẫn phải trả tiền chuộc để lấy lại dữ liệu.

Manufacturing là sector bị tấn công nhiều nhất

KELA data ghi nhận cuộc tấn công ransomware nhắm vào ngành sản xuất tăng 61% year-over-year vào năm 2025, từ 520 lên 838 incidents — mức tăng cao nhất trong tất cả các ngành. Dragos Industrial Ransomware Analysis Q2 2025 cho thấy manufacturing chiếm khoảng 65% tổng hoạt động ransomware trong quý.

Trong ngành dược và chăm sóc sức khỏe, chi phí vi phạm luôn cao hơn mức trung bình vì phải cộng thêm chi phí điều tra GMP, hủy lô và remediation plan nộp cho cơ quan quản lý.

Khung IEC 62443: Defense-in-Depth cho môi trường GxP

Phần này tóm tắt chuẩn tham chiếu để QA biết khung kiểm tra chi phối nội dung phía dưới.

IEC 62443 (ISA/IEC 62443) là bộ tiêu chuẩn quốc tế về an toàn mạng cho Industrial Automation and Control Systems (IACS). FDA Cybersecurity Guidance (June 2025) đề xuất kiến trúc zone-and-conduit phù hợp với IEC 62443 cho các cơ sở sản xuất dược phẩm và thiết bị y tế. Nguyên tắc cốt lõi là Defense-in-Depth: tạo nhiều lớp bảo vệ độc lập để kẻ tấn công phải vượt qua nhiều rào cản.

Network Segmentation — Nền tảng bắt buộc

Không bao giờ kết nối trực tiếp hệ thống điều khiển sản xuất vào mạng văn phòng hoặc Internet. Các zone sản xuất khác nhau — khu vực pha chế vô khuẩn, khu vực đóng gói, khu vực kho — cần được tách biệt bằng VLAN và industrial firewall. Điều này ngăn chặn mã độc lây lan theo chiều ngang (lateral movement) giữa các khu vực, giới hạn blast radius khi có incident xảy ra.

Industrial DMZ (IDMZ) — Ranh giới bắt buộc giữa OT và IT

IDMZ (Industrial Demilitarized Zone) là vùng đệm trung gian bắt buộc giữa mạng OT và mạng IT. Mọi luồng dữ liệu từ SCADA historian muốn đi lên MES hoặc ERP đều phải dừng lại tại IDMZ để kiểm tra và xác thực — không có kết nối trực tiếp nào được phép xuyên qua ranh giới OT-IT.

Điều này vừa bảo vệ hệ thống điều khiển khỏi mã độc từ tầng IT, vừa đảm bảo dữ liệu truyền lên MES là toàn vẹn và không bị can thiệp — yêu cầu trực tiếp của Data Integrity theo EU GMP Annex 11 Draft (July 2025) và ALCOA+ principles. Khi không có IDMZ, không thể đảm bảo rằng dữ liệu nhận được ở MES giống hệt dữ liệu tạo ra tại SCADA — phá vỡ “Original” trong ALCOA+.

Endpoint Protection trong OT — Application Whitelisting thay vì Antivirus

Trong môi trường OT với máy tính chạy Windows cũ ở trạng thái validated, antivirus truyền thống không phải giải pháp phù hợp vì có thể gây trễ và xung đột với phần mềm SCADA. Giải pháp được các vendor SCADA lớn như Siemens, Rockwell Automation và Emerson khuyến nghị là Application Whitelisting: chỉ những process đã được phê duyệt mới có quyền thực thi.

Bất kỳ tiến trình lạ nào — kể cả mã độc hoàn toàn mới chưa có trong cơ sở dữ liệu antivirus — đều bị chặn ngay lập tức.

Đây là lý do tại sao nhiều nhà máy có máy tính OT chạy Windows 7 hoặc Windows XP (đã hết hỗ trợ bản vá) vẫn được bảo vệ đủ mức qua Application Whitelisting.

Multi-Factor Authentication và Remote Access Control

Mọi kết nối từ xa vào hệ thống GxP — dù là kỹ sư vendor support hay QA xem báo cáo từ nhà — phải thông qua VPN bảo mật và MFA (Multi-Factor Authentication). Đây không chỉ là yêu cầu cybersecurity mà còn là yêu cầu của EU GMP Annex 11 về kiểm soát truy cập và audit trail đầy đủ cho remote access sessions.

Patch Management trong GMP — Quy trình, không phải lịch tự động

Mỗi security patch cho hệ thống OT-GxP cần: đánh giá impact theo GAMP 5 Second Edition; test trên staging environment trước khi áp dụng lên production; Change Control hoàn chỉnh với approval và update tài liệu CSV liên quan; và scheduling vào cửa sổ bảo trì đã được lên kế hoạch, không phải triển khai khẩn cấp giữa batch.

Xem thêm thẩm định hệ thống SCADA trong môi trường GMP để hiểu cách tích hợp patch management vào quy trình change control GxP.

Cybersecurity là lớp bảo vệ của Data Integrity

Giao thoa giữa cybersecurity và ALCOA+

QA lo về ALCOA+ và IT-OT lo về bảo mật mạng — sự phân chia này là nguyên nhân tại sao nhiều nhà máy có cả hai nhưng không phối hợp, tạo ra khoảng trống. Thực tế, hai lĩnh vực này giao thoa ở mức sâu. Nếu kẻ tấn công có thể xóa hoặc chỉnh sửa audit trail của SCADA mà không để lại dấu vết, tính “Attributable” và “Original” của toàn bộ dữ liệu sản xuất bị phá vỡ.

Nếu mã độc có thể thay đổi setpoint của PLC mà không qua Change Control, toàn bộ khái niệm “validated state” của thiết bị mất đi ý nghĩa.

Access Control — Điểm giao thoa rõ ràng nhất

Role-based access control (RBAC) — đúng người, đúng quyền, đúng thời điểm — là yêu cầu của cả IEC 62443 (security) lẫn EU GMP Annex 11 (compliance). Hệ thống không có RBAC nghiêm ngặt vừa vi phạm Annex 11 về quản lý quyền truy cập, vừa tạo ra lỗ hổng cho tấn công insider threat.

Audit trail của mọi thao tác trên hệ thống GxP — bao gồm cả thao tác từ tài khoản administrator — phải được ghi lại và không thể xóa, phục vụ cả mục đích GMP (bằng chứng) và cybersecurity (forensics khi có incident).

Ma trận rủi ro và ưu tiên triển khai

Phần này giúp đội QA/OT nhìn rõ rủi ro vận hành và evidence cần giữ.

Khuyến nghị thực tiễn cho nhà máy dược Việt Nam

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

Bắt đầu từ đâu khi ngân sách có hạn

Không cần triển khai tất cả biện pháp cùng lúc. Ưu tiên theo risk và compliance impact: trước tiên, thiết lập network segmentation cơ bản và IDMZ trước khi bất kỳ OT system nào được kết nối với IT network — đây là P0, không có lý do để trì hoãn. Tiếp theo, triển khai MFA cho tất cả remote access vào hệ thống GxP và ghi lại audit trail của mọi remote session.

Sau đó, xây dựng patch management SOP tích hợp vào quy trình Change Control hiện có — không cần thêm tool, chỉ cần quy trình rõ ràng. Cuối cùng, đưa cybersecurity awareness training vào annual training plan của nhân viên tiếp xúc với hệ thống điều khiển — biện pháp có chi phí thấp nhất nhưng giải quyết được 42,5% attack vector theo Sophos 2025.

Thiết bị standalone: Góc khuất thường bị bỏ quên

Theo kinh nghiệm triển khai và audit của tôi, các thiết bị standalone như pH meter, cân phân tích, hay máy thử độ hòa tan thường là góc khuất trong chiến lược cybersecurity. Vì lo ngại bảo mật, nhiều nhà máy chọn cách cô lập hoàn toàn các thiết bị này (không kết nối mạng). Tuy nhiên, điều này lại dẫn đến rủi ro time-sync (sai lệch thời gian cục bộ) và khó khăn khi backup audit trail thủ công.

Thực tế tốt nhất không phải là cô lập tuyệt đối, mà là sử dụng cấu trúc mạng một chiều hoặc thiết lập firewall policy chặt chẽ (qua IDMZ) để thiết bị chỉ có thể “kéo” NTP time và “đẩy” audit trail ra server backup an toàn, khóa chặn mọi luồng truy cập ngược (inbound). Checklist map về SOP thực tế của QA cần có mục xác nhận cấu hình time-sync và backup định kỳ cho nhóm thiết bị standalone này.

Tích hợp cybersecurity vào hệ thống GMP hiện có

Cybersecurity trong GMP không phải dự án standalone — nó cần được tích hợp vào ba hệ thống quản lý hiện có. Change Control: mọi thay đổi cấu hình mạng, firmware OT hoặc security patch đều phải qua Change Control với GMP impact assessment. Periodic Review: cybersecurity posture phải là một mục trong annual system review theo Annex 11, không phải chỉ review kỹ thuật IT.

Incident Response: quy trình xử lý security incident phải tích hợp cả GMP response — khi hệ thống bị tấn công, câu hỏi đầu tiên không phải “server nào bị nhiễm?” mà là “dữ liệu GxP nào có thể bị ảnh hưởng và lô hàng nào cần điều tra?” Xem thêm ROI cybersecurity và chi phí compliance trong số hóa dược phẩm để định lượng business case cho đầu tư cybersecurity OT.

Kết luận: Cybersecurity không phải chi phí — đây là đầu tư bảo vệ bằng chứng GMP

Phần này giúp đội QA/OT nhìn rõ rủi ro vận hành và evidence cần giữ.

Trong nhà máy dược, bằng chứng chất lượng là tài sản quan trọng nhất — quan trọng hơn cả thiết bị vật lý vì thiết bị có thể thay thế, còn audit trail của batch đã sản xuất thì không. Cybersecurity OT là lớp bảo vệ cuối cùng ngăn bằng chứng đó bị phá hủy, giả mạo hoặc mất đi tính xác thực.

Đầu tư vào IDMZ, network segmentation và Application Whitelisting không phải chi phí IT — đây là chi phí bảo hiểm cho toàn bộ hệ thống Data Integrity của nhà máy. Phạm Đức Phương Nam Pharma Automation Engineer | OT Cybersecurity & GMP Specialist nampham.net

Decision Moment — 3 câu hỏi trước khi go-live

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.

1. IDMZ đã được thiết lập giữa mạng OT và mạng IT chưa — hay dữ liệu SCADA đang truyền thẳng lên MES/ERP không qua bất kỳ kiểm soát nào?
2. Patch management SOP cho hệ thống OT-GxP đã được tích hợp vào Change Control và đội GMP-IT đã được đào tạo để không tự ý apply patch mà không qua quy trình không?
3. Khi có security incident ảnh hưởng đến hệ thống OT, ai là owner chịu trách nhiệm đánh giá GMP impact và quyết định lô nào cần điều tra?

Để chuyển các khuyến nghị trong bài thành kế hoạch triển khai khả thi, xem thêm tại nampham.net.

FAQ

Phần này gom các câu hỏi giúp QA tự kiểm tra nhanh trước khi audit.

Production Readiness — Chuẩn hóa trước go-live

Phần này giúp người đọc chuyển từ khái niệm sang checklist evidence có thể kiểm tra ngay.

Để đưa chủ đề cybersecurity OT nhà máy dược GMP vào trạng thái production-ready, cần biến ba nguyên tắc thành hành động cụ thể có thể kiểm tra. Đối với công nghệ: network diagram phải được cập nhật để phản ánh đúng mọi kết nối OT-IT, và IDMZ phải xuất hiện trong diagram đó trước khi bất kỳ kết nối OT-IT mới nào được approved.

Đối với quy trình: patch management SOP và cybersecurity incident response procedure phải có tên người chịu trách nhiệm cụ thể, không phải “IT team” hay “QA team” mà là cá nhân cụ thể. Đối với con người: security awareness training phải nằm trong annual training matrix của mọi nhân viên tiếp xúc với hệ thống OT, với quiz để xác nhận hiểu biết.

Ghi Chú Minh Bạch

Phần này làm rõ nguồn tham chiếu và ranh giới áp dụng của bài viết.

Ví dụ TYPE 3: Nhà máy thuốc tiêm có SCADA, EMS và BMS dùng chung một VLAN với mạng văn phòng. Inspector hỏi: “Boundary nào ngăn malware IT đi vào hệ thống GxP-critical?” Gap phát hiện: sơ đồ mạng chỉ là bản IT, không có zone/conduit theo rủi ro GMP. Evidence đã đóng gap: network zoning diagram OT-ZC-2026, firewall rule review, risk assessment IEC62443-RA-04, QA/OT cùng ký và lưu theo vòng đời hệ thống.

Ví dụ TYPE 3: Server historian EMS bị chậm patch vì lo ngại downtime phòng sạch. Inspector hỏi: “Ai phê duyệt việc trì hoãn patch và compensating control là gì?” Gap phát hiện: IT ticket có lý do kỹ thuật nhưng không có change control GMP. Evidence đã đóng gap: patch deferral record PD-EMS-011, vulnerability assessment, backup-restore test OQ-RESTORE-02, QA phê duyệt trước kỳ vận hành tiếp theo.

Ví dụ TYPE 3: Tài khoản remote vendor đăng nhập ngoài giờ để xử lý alarm giả trên hệ thống HVAC. Inspector hỏi: “Làm sao chứng minh truy cập này được ủy quyền và không sửa dữ liệu GMP?” Gap phát hiện: VPN log rời rạc, không link với work order và audit trail. Evidence đã đóng gap: access request AR-VENDOR-07, session recording, audit trail review ATR-HVAC-07, QA xác nhận và lưu 5 năm.