Thiết bị Internet of Things (IoT) và công nghệ vận hành (OT) đang xuất hiện dày đặc tại các nhà máy, kho bãi, văn phòng thông minh và cả chuỗi cung ứng của doanh nghiệp vừa và nhỏ (SME). Tuy nhiên, đa số thiết bị này được triển khai mà không có quy trình bảo mật hệ thống, tạo ra bề mặt tấn công rộng lớn mà kẻ xấu có thể khai thác để xâm nhập mạng nội bộ, đánh cắp dữ liệu hoặc gây gián đoạn sản xuất. Dưới đây là khung làm việc thực tế, có thể áp dụng ngay mà không cần ngân sách lớn: 1. Danh mục tài sản tự động - Sử dụng công cụ quét mạng nhẹ (ví dụ: Nmap, Fing, hoặc các agent nhẹ trên gateway) để liệt kê mọi địa chỉ MAC, cổng mở, firmware version. - Gán nhãn theo chức năng: camera, cảm biến nhiệt độ, PLC, máy in, router công nghiệp. 2. Phân đoạn mạng chuyên biệt - Tách VLAN cho nhóm IoT/OT, chặn truy cập trực tiếp từ VLAN người dùng hoặc internet. - Triển khai firewall nội bộ với quy tắc "deny all, allow list" chỉ cho phép giao thức cần thiết (Modbus/TCP, MQTT, OPC UA) đến máy chủ quản lý. 3. Quản trị الهوية và truy cập thiết bị - Thay đổi mật khẩu mặc định ngay khi lắp đặt; sử dụng quản lý bí mật (password vault) để lưu trữ. - Bật xác thực dựa trên chứng chỉ (mutual TLS) cho các thiết bị hỗ trợ; đối với thiết bị cũ, áp dụng MAC‑binding và port‑security trên switch. 4. Cập nhật firmware và vá lỗ hổng liên tục - Thiết lập lịch quét CVE hàng tuần (sử dụng nguồn NVD hoặc feed của nhà cung cấp). - Tạo quy trình staged rollout: test trên môi trường mô phỏng → triển khai nhóm nhỏ → toàn bộ. 5. Giám sát hành vi bất thường - Thu thập log syslog/NetFlow từ gateway IoT vào SIEM nhẹ (Graylog, Wazuh). - Xây dựng rule đơn giản: phát hiện kết nối ra ngoài nước, lượng traffic bất ngờ, hoặc thiết bị gửi gói tin đến cổng không mong đợi. 6. Kế hoạch ứng phó sự cố IoT/OT - Viết playbook riêng: cách cách ly VLAN, thu hồi chứng chỉ, khôi phục firmware từ bản backup đã ký số. - Thực tập bàn tay (tabletop) hàng quý với đội IT, OT và quản lý sản xuất. 7. Đào tạo nhận thức cho nhân viên vận hành - Nhấn mạnh không cắm thiết bị cá nhân vào cổng mạng OT, không tải firmware từ nguồn không chính thức. - Phát triển checklist "trước khi bật thiết bị mới" in ấn dán tại rack. Áp dụng các bước trên theo vòng lặp PDCA (Plan‑Do‑Check‑Act) sẽ giúp SME kiểm soát rủi ro IoT/OT mà không cần đầu tư giải pháp đắt tiền. Bắt đầu từ danh mục tài sản, sau đó phân đoạn mạng, cuối cùng là giám sát và ứng phó – mỗi giai đoạn đều mang lại giá trị bảo mật ngay lập tức.