เราใช้คุกกี้เพื่อทำให้ประสบการณ์ของคุณดีขึ้น เพื่อให้สอดคล้องกับคำสั่งใหม่ของ e-Privacy เราจำเป็นต้องขอความยินยอมจากคุณในการตั้งค่าคุกกี้ เรียนรู้เพิ่มเติม
กล้องวงจรปิดสมัยใหม่เชื่อมต่ออินเทอร์เน็ตตลอด 24 ชั่วโมงเพื่อให้ดูภาพผ่านมือถือได้ทุกที่ แต่การ "ออนไลน์ตลอดเวลา" นี้หมายความว่ากล้องแต่ละตัวคือจุดเชื่อมต่อ (Endpoint) หนึ่งบนเครือข่ายองค์กร ที่ต้องบริหารความปลอดภัยเหมือนอุปกรณ์ IT ทั่วไป ไม่ใช่แค่อุปกรณ์รักษาความปลอดภัยทางกายภาพอีกต่อไป
ลองนึกภาพเมื่อ 10 ปีก่อน กล้องวงจรปิดคือกล่องเหล็กที่ต่อสายกับเครื่องบันทึกในห้องคุม ใครจะดูภาพต้องเดินไปเปิดจอที่ห้องนั้นเท่านั้น แต่ทุกวันนี้ คุณหยิบมือถือขึ้นมา เปิดแอป แล้วเห็นภาพหน้าโรงงานที่จังหวัดระยองได้ทั้งที่นั่งทำงานอยู่กรุงเทพฯ นี่คือความสะดวกที่ทุกคนหลงรัก แต่น้อยคนจะถามต่อว่า "แล้วสัญญาณมันวิ่งผ่านอะไรมาบ้าง?"
คำตอบคือ กล้องตัวนั้นได้กลายเป็นคอมพิวเตอร์ตัวเล็กๆ ที่มี IP Address ของตัวเอง เปิดพอร์ตสื่อสารตลอดเวลา และรอรับ-ส่งข้อมูลกับอินเทอร์เน็ตอยู่ทุกวินาที ไม่ต่างจาก Laptop หรือ Server ในองค์กรเลย
กล้องอนาล็อกรุ่นเก่าส่งสัญญาณผ่านสายโคแอกเชียลตรงเข้าเครื่องบันทึกเท่านั้น จบในตัว ไม่มีทางออกไปไหน แต่กล้อง IP Camera ยุคนี้มีชิปประมวลผล มีระบบปฏิบัติการ (มักเป็น Linux ตัวเล็กๆ) และเชื่อมต่อผ่าน Ethernet หรือ Wi-Fi เข้าสู่ Router ขององค์กรโดยตรง เพื่อให้ NVR ส่งภาพขึ้น Cloud หรือส่งตรงไปที่แอปมือถือได้แบบ Real-time
นี่คือจุดที่ต่างจากอดีตโดยสิ้นเชิง: กล้องไม่ได้เป็นแค่ "ตา" ที่มองเห็นอย่างเดียวอีกต่อไป แต่เป็น "อุปกรณ์เครือข่าย" ที่มีช่องโหว่ได้เหมือนคอมพิวเตอร์ทุกเครื่อง
ฝ่ายจัดซื้อมักตั้งโจทย์ง่ายๆ ว่า "อยากดูกล้องผ่านมือถือได้จากทุกที่" ซึ่งเป็นความต้องการที่สมเหตุสมผลมาก โดยเฉพาะผู้บริหารที่ต้องดูแลหลายไซต์งานพร้อมกันแต่สิ่งที่มักถูกข้ามไปคือคำถามต่อ: กล้องตัวนั้นเปิด Port Forwarding ตรงออกอินเทอร์เน็ตเลยหรือเปล่า? ผ่าน VPN ที่เข้ารหัสหรือไม่? อยู่ใน Network เดียวกับระบบ ERP หรือเครื่องจักรการผลิตหรือเปล่า?
คำถามเหล่านี้แหละคือสิ่งที่แยก "องค์กรที่ปลอดภัย" ออกจาก "องค์กรที่เสี่ยง" — ไม่ใช่ยี่ห้อกล้อง แต่เป็นการออกแบบเครือข่ายรอบๆ กล้อง
หลายคนคิดว่าความเสี่ยงของกล้องออนไลน์คือ "คนร้ายแอบดูภาพในบ้านเรา" ซึ่งก็จริง แต่ความเสี่ยงที่อันตรายกว่านั้นคือ กล้องที่ถูกเจาะเข้าไปสามารถถูกใช้เป็น "ฐานปฏิบัติการ" โจมตีเป้าหมายอื่นได้ทั่วโลก
เคสที่ชัดที่สุดในประวัติศาสตร์อินเทอร์เน็ตคือเหตุการณ์ Mirai Botnet เมื่อเดือนตุลาคม ปี 2016 มัลแวร์ตัวนี้สร้างเครือข่ายบอตจากกล้องวงจรปิดและเครื่องบันทึก DVR กว่า 150,000 เครื่องทั่วโลก ที่ยังใช้รหัสผ่านตั้งต้นจากโรงงาน จากนั้นแฮกเกอร์สั่งให้กองทัพอุปกรณ์เหล่านี้ยิง Traffic มหาศาลเข้าใส่ Dyn บริษัทผู้ให้บริการ DNS รายใหญ่ ล่มพร้อมกันเป็นวงกว้าง New Jersey Cybersecurity + 2
สิ่งที่น่าตกใจที่สุดคือ เจ้าของกล้องเหล่านั้นแทบไม่มีใครรู้ตัวเลยว่าอุปกรณ์รักษาความปลอดภัยของตัวเองกำลังถูกใช้เป็นเครื่องมือโจมตีคนอื่นอยู่ นี่คือบทเรียนสำคัญ: กล้องวงจรปิดที่ "ออนไลน์ตลอดเวลา" โดยไม่มีการป้องกันที่ดีพอ ไม่ได้เป็นแค่จุดอ่อนของตัวเอง แต่กลายเป็นความเสี่ยงต่อทั้งอินเทอร์เน็ตได้
ในโรงงานทั่วไป กล้องวงจรปิดมักถูกติดตั้งโดยทีมช่างระบบไฟฟ้า ไม่ใช่ทีม IT Security ผลคือหลายแห่งเดินสาย LAN กล้องรวมอยู่ใน Switch ตัวเดียวกับระบบ SCADA, PLC หรือ ERP โดยไม่รู้ตัว เมื่อกล้องตัวเดียวมีช่องโหว่ แฮกเกอร์ไม่ได้แค่เห็นภาพในโรงงาน แต่อาจ "กระโดด" ข้ามไปแตะระบบควบคุมการผลิตได้เลย นี่คือเหตุผลที่มาตรฐานอย่าง IEC 62443 ซึ่งเป็นมาตรฐานสากลด้าน Cybersecurity สำหรับระบบควบคุมอุตสาหกรรม (ICS/OT) ถึงเน้นย้ำเรื่องการแบ่งโซนเครือข่าย (Network Segmentation) เป็นอันดับต้นๆ
โรงงานขนาดกลาง-ใหญ่มักมีกล้องหลายสิบถึงหลายร้อยตัว ถ้าเพียงตัวเดียวยังใช้รหัสผ่าน admin/admin หรือเปิด Remote Access แบบไม่เข้ารหัส นั่นคือช่องโหว่ที่แฮกเกอร์สแกนหาได้ภายในไม่กี่นาทีผ่านเครื่องมือสาธารณะ เพราะฉะนั้นการบริหารความปลอดภัยกล้องในระดับองค์กรจึงต้องคิดเป็น "ระบบ" ไม่ใช่ "ทีละตัว"
| ประเด็น | สถาปัตยกรรมเปิดโล่ง (เสี่ยง) | สถาปัตยกรรมแบ่งโซนมืออาชีพ (ปลอดภัย) |
|---|---|---|
| การเชื่อมต่อ Internet | Port Forwarding เปิดกล้องหรือ NVR ออกสู่ Internet | เข้าถึงผ่าน VPN หรือ Cloud Relay ที่เข้ารหัส (TLS) |
| ตำแหน่งบน Network | ใช้งานร่วมกับ ERP, PLC และเครื่องคอมพิวเตอร์สำนักงาน | แยก VLAN สำหรับระบบ CCTV โดยเฉพาะ ไม่ปะปนกับระบบอื่น |
| การยืนยันตัวตน | ใช้รหัสผ่านจากโรงงาน ไม่มี 2FA | เปลี่ยนรหัสผ่านเฉพาะองค์กร และเปิดใช้งาน 2FA |
| การจัดเก็บข้อมูล | ไม่เข้ารหัสข้อมูล เก็บใน NVR เครื่องเดียว ไม่มี Backup | Encrypted Storage รองรับมาตรฐานความปลอดภัย เช่น FIPS 140-3 |
| การอัปเดต Firmware | ติดตั้งแล้วไม่เคยอัปเดตอีก | มีรอบตรวจสอบและอัปเดต Firmware อย่างสม่ำเสมอ |
| การตรวจสอบย้อนหลัง | ไม่มี Audit Log ไม่ทราบว่าใครเข้าใช้งานเมื่อใด | มี Access Log พร้อมบันทึกและแจ้งเตือนเหตุการณ์ผิดปกติ |
| มาตรฐานที่รองรับ | ไม่ระบุ หรือไม่สามารถตรวจสอบได้ | ออกแบบตามแนวทาง ONVIF, IEC 62443 และ NDAA Section 889 |
ย้อนกลับไปเดือนตุลาคม ปี 2016 โลกไซเบอร์เจอเหตุการณ์ที่พลิกความเข้าใจเรื่องความปลอดภัยไปตลอดกาล เมื่อมัลแวร์ชื่อ Mirai เข้ายึดกล้องวงจรปิดและเครื่องบันทึกกว่า 150,000 เครื่องทั่วโลกที่ยังใช้รหัสผ่านตั้งต้นจากโรงงาน แล้วสั่งให้กองทัพอุปกรณ์เหล่านั้นระดมยิง Traffic เข้าใส่ Dyn ผู้ให้บริการ DNS รายใหญ่ของโลกพร้อมกัน ผลลัพธ์คือเว็บไซต์ระดับโลกอย่าง Twitter, Netflix, Amazon และ PayPal ล่มเป็นวงกว้างในคราวเดียว
สิ่งที่น่าสนใจที่สุดคือ เจ้าของกล้องเหล่านี้ไม่มีใครรู้ตัวเลยว่าอุปกรณ์รักษาความปลอดภัยของตัวเองกำลังกลายเป็นอาวุธโจมตีคนอื่น เหตุการณ์นี้สอดคล้องกับหัวข้อของเราตรงที่ กล้องวงจรปิดที่ "ออนไลน์ตลอดเวลา" โดยไม่มีการป้องกันที่ดีพอ ไม่ได้เป็นแค่ความเสี่ยงต่อภาพในสถานที่ของตัวเอง แต่อาจกลายเป็นจุดเริ่มต้นของความเสียหายระดับโลกได้ และนี่คือเหตุผลที่การออกแบบเครือข่ายเบื้องหลังกล้องสำคัญไม่แพ้ตัวกล้องเอง
Login and Registration Form