Mô hình hạ tầng IT cho SME sản xuất: Kiến trúc tham khảo cho đội IT

Hung Pham
1 giờ trước
13 phút đọc

Một mô hình hạ tầng IT phù hợp với SME sản xuất thường không thuần on-premise hoặc cloud. Hướng triển khai thực tế hơn là kiến trúc hybrid: giữ tại nhà máy những workload cần độ trễ thấp, phải hoạt động khi Internet gián đoạn hoặc liên quan trực tiếp đến dây chuyền; đồng thời sử dụng cloud cho email, cộng tác, backup ngoài cơ sở, quản trị thiết bị và các ứng dụng SaaS.

Tuy nhiên, lựa chọn on-premise, cloud hay hybrid chỉ là một phần của bài toán. Đội IT còn phải thiết kế vùng mạng, kiểm soát kết nối giữa IT và OT, loại bỏ các điểm lỗi đơn, xác định thứ tự phục hồi hệ thống và duy trì khả năng giám sát sau khi đưa vào vận hành.

Bài viết này trình bày một mô hình kiến trúc tham khảo để IT Manager, System Administrator và Network Administrator có thể dùng khi thiết kế mới hoặc nâng cấp hạ tầng cho nhà máy vừa và nhỏ tại Việt Nam.

1. Hạ tầng IT nhà máy khác gì hạ tầng văn phòng?

Trong doanh nghiệp văn phòng, sự cố mạng thường khiến người dùng không truy cập được email, file hoặc phần mềm nghiệp vụ. Trong nhà máy, cùng một sự cố có thể ảnh hưởng đến nhập nguyên liệu, phát hành lệnh sản xuất, in tem, ghi nhận sản lượng, kiểm soát chất lượng hoặc xuất kho.

mo-hinh-ha-tang-it-cho-sme-nganh-san-xuat — *Mô hình hạ tầng IT cho SME ngành sản xuất khác với hạ tầng văn phòng*

Hạ tầng IT sản xuất thường tồn tại đồng thời 3 nhóm hệ thống:

Hệ thống phục vụ người dùng như máy tính, Wi-Fi, email và máy in.
Hệ thống nghiệp vụ như ERP, kế toán, kho, HRM và cơ sở dữ liệu.
Hệ thống liên quan đến sản xuất như MES, HMI, SCADA, PLC, máy trạm kỹ thuật, camera và thiết bị IoT.

Các hệ thống OT thường có vòng đời dài, sử dụng hệ điều hành hoặc giao thức cũ và không phải lúc nào cũng có thể cài agent bảo mật. Một số máy sản xuất chỉ được phép dừng trong thời gian bảo trì đã lên lịch. Do đó, không thể áp dụng nguyên trạng mô hình quản trị endpoint văn phòng cho toàn bộ nhà máy.

NIST xác định các mục tiêu an ninh trong môi trường sản xuất không chỉ bao gồm bảo vệ dữ liệu mà còn phải duy trì an toàn con người, an toàn môi trường, chất lượng sản phẩm, mục tiêu sản xuất và bí mật thương mại.

Vì vậy, bước đầu tiên không nên là lập danh sách thiết bị cần mua. Đội IT cần xác định:

Hệ thống nào ảnh hưởng trực tiếp đến sản xuất?
Hệ thống nào phải tiếp tục chạy khi mất Internet?
Thiết bị hoặc ứng dụng nào không thể vá thường xuyên?
Luồng dữ liệu nào phải đi giữa IT và OT?
Mức downtime chấp nhận được của từng workload là bao nhiêu?

Để rà soát đầy đủ các thành phần nền tảng, đội IT có thể đối chiếu thêm hướng dẫn về xây dựng hạ tầng công nghệ thông tin cho doanh nghiệp.

2. Mô hình hạ tầng IT cho SME sản xuất nên có những vùng nào?

Một nhà máy nhỏ có thể chỉ dùng vài switch và một firewall, nhưng kiến trúc logic vẫn cần được phân vùng rõ ràng. Không nên để toàn bộ máy tính, server, camera, Wi-Fi khách và thiết bị sản xuất cùng nằm trong một mạng phẳng.

kien-truc-ha-tang-it-cho-nganh-san-xuat — *Mô hình kiến trúc 7 vùng cho ngành sản xuất*

Mô hình tham khảo có thể gồm các vùng sau.

2.1. User và Office Zone

Đây là vùng dành cho máy tính nhân viên, máy in, điện thoại IP và thiết bị văn phòng.

Người dùng tại vùng này chỉ nên được truy cập các ứng dụng cần thiết như ERP, file server, Internet và dịch vụ in. Máy trạm người dùng không nên được kết nối trực tiếp đến PLC, HMI hoặc giao diện quản trị thiết bị mạng.

2.2. Server và Application Zone

Vùng này có thể chứa:

Active Directory, DNS và DHCP.
ERP hoặc ứng dụng nghiệp vụ.
Database server.
File server.
License server.
Ứng dụng quản lý kho hoặc sản xuất.
Hệ thống backup và monitoring.

Luồng truy cập từ người dùng đến server cần được giới hạn theo đúng cổng, giao thức và nhóm người dùng. Không nên cho phép mọi VLAN truy cập tự do đến toàn bộ server.

2.3. Management Zone

Management Zone dành riêng cho quản trị:

Switch.
Firewall.
Hypervisor.
Storage.
UPS.
Wireless controller.
Hệ thống backup.
Giao diện quản trị server.

Chỉ máy quản trị hoặc jump server được phê duyệt mới nên truy cập vùng này. Tài khoản quản trị không nên được dùng cho email và công việc hằng ngày.

2.4. Camera và IoT Zone

Camera, NVR, máy chấm công, cảm biến và thiết bị IoT thường có chất lượng bảo mật không đồng đều. Các thiết bị này nên được tách khỏi mạng người dùng và server.

Camera chỉ cần kết nối đến NVR, máy chủ quản lý hoặc một số dịch vụ thời gian và DNS đã xác định. Chúng không cần quyền truy cập rộng vào ERP, domain controller hoặc máy tính nhân viên.

2.5. OT hoặc Production Zone

Vùng OT có thể bao gồm:

PLC.
HMI.
SCADA.
Engineering workstation.
Industrial gateway.
MES connector.
Máy tính điều khiển máy móc.

OT Zone không nên kết nối trực tiếp với mạng văn phòng. Lưu lượng giữa IT và OT cần đi qua firewall, gateway hoặc vùng trung gian được kiểm soát.

Khi cần truy cập quản trị từ xa, nên dùng VPN, MFA và jump server. Quyền truy cập của nhà cung cấp máy móc cần giới hạn theo thời gian, thiết bị đích và mục đích công việc.

2.6. Guest Zone

Wi-Fi khách phải được cô lập khỏi mọi tài nguyên nội bộ. Vùng này chỉ cần truy cập Internet và không được định tuyến đến các mạng văn phòng, server, camera hoặc OT.

2.7. DMZ hoặc Industrial DMZ

Doanh nghiệp có thể bổ sung DMZ khi cần:

Công bố dịch vụ ra Internet.
Trao đổi file với đối tác.
Đồng bộ dữ liệu giữa IT và OT.
Đặt jump server hoặc proxy trung gian.
Kết nối hệ thống giám sát của nhà cung cấp.

Không phải nhà máy nhỏ nào cũng cần một Industrial DMZ phức tạp. Tuy nhiên, nếu IT và OT phải trao đổi dữ liệu thường xuyên, vùng trung gian sẽ an toàn hơn so với việc mở kết nối trực tiếp giữa hai mạng.

3. VLAN chỉ là bước đầu của network segmentation

VLAN giúp chia một mạng vật lý thành nhiều mạng logic, nhưng VLAN tự nó không tạo ra chính sách bảo mật đầy đủ.

Nếu tất cả VLAN đều được định tuyến tự do tại core switch, mã độc hoặc tài khoản bị xâm nhập vẫn có thể di chuyển từ vùng người dùng sang server, camera hoặc OT. Do đó, đội IT cần đồng thời thiết kế:

VLAN theo chức năng.
Access Control List hoặc firewall policy.
Quy tắc inter-VLAN traffic.
Luồng DNS, NTP và authentication.
Quyền truy cập quản trị.
Logging và cảnh báo.

NIST cho biết network segmentation có thể được triển khai bằng switch vật lý riêng hoặc bằng VLAN. Khi được cấu hình đúng, segmentation giúp thực thi chính sách bảo mật, cô lập lưu lượng và giới hạn kết nối giữa các vùng. NIST cũng khuyến nghị lập bản đồ luồng dữ liệu trước khi quyết định kết nối nào được phép đi qua các vùng mạng.

Một cấu trúc VLAN tham khảo có thể gồm:

Vùng	Ví dụ VLAN	Quyền truy cập chính
Office users	VLAN 10	ERP, file, Internet
Server	VLAN 20	Chỉ dịch vụ được công bố
Management	VLAN 30	Chỉ từ jump server
Camera/IoT	VLAN 40	NVR và dịch vụ cần thiết
Guest	VLAN 50	Chỉ Internet
OT production	VLAN 60	Luồng sản xuất đã xác định
Backup	VLAN 70	Server và backup platform
DMZ	VLAN 80	Dịch vụ trung gian

Số VLAN không phải thước đo chất lượng kiến trúc. Một nhà máy có tám VLAN nhưng policy any-any vẫn có rủi ro gần tương đương mạng phẳng.

Đội IT có thể tham khảo hướng dẫn chi tiết hơn về thiết kế và phân chia VLAN doanh nghiệp.

4. Workload nào nên đặt on-premise, cloud hoặc hybrid?

Không nên quyết định vị trí workload chỉ dựa trên giá mua server hoặc phí thuê cloud. Các tiêu chí quan trọng hơn gồm:

Độ trễ.
Khả năng hoạt động khi mất Internet.
Dung lượng dữ liệu.
Mức độ tích hợp với máy móc.
Yêu cầu khôi phục.
Khả năng quản trị nội bộ.
Điều kiện cấp phép phần mềm.

Workload	Hướng triển khai thường phù hợp	Lý do
AD, DNS, DHCP	On-premise hoặc hybrid	Cần xác thực và phân giải tên nội bộ ổn định
ERP	Cloud, on-premise hoặc hybrid	Phụ thuộc kiến trúc ứng dụng và tích hợp
MES	On-premise hoặc edge kết hợp cloud	Thường cần độ trễ thấp và hoạt động cục bộ
Database sản xuất	On-premise hoặc hybrid	Có thể phụ thuộc trực tiếp vào dây chuyền
File kỹ thuật	On-premise kết hợp đồng bộ	Dữ liệu lớn, cần truy cập LAN nhanh
Email và collaboration	Cloud	Dễ mở rộng và giảm hạ tầng tại chỗ
Backup ngoài cơ sở	Cloud hoặc site thứ hai	Bảo vệ khi nhà máy chính gặp sự cố
Monitoring	Hybrid	Thu thập cục bộ, quản trị tập trung
Camera	On-premise	Dung lượng lớn và yêu cầu lưu trữ cục bộ
Vendor portal	Cloud hoặc DMZ	Dễ kiểm soát kết nối từ bên ngoài

Đối với SME sản xuất, hybrid thường hợp lý vì không buộc đội IT đưa toàn bộ workload lên cloud trong một lần. Những hệ thống phụ thuộc dây chuyền có thể tiếp tục chạy tại nhà máy, trong khi email, backup ngoài cơ sở hoặc ứng dụng SaaS được đưa lên cloud.

Bài toán này nên được phân tích theo workload thay vì tranh luận chung giữa server và cloud. Đội IT có thể tham khảo thêm phần so sánh xây dựng Data Center hay thuê Cloud.

Khi doanh nghiệp cần thiết kế hoặc di chuyển workload, dịch vụ điện toán đám mây có thể được cân nhắc cho các hạng mục như đánh giá hiện trạng, thiết kế kiến trúc hybrid và lập kế hoạch migration.

Dịch vụ Điện toán Đám mây | Tối ưu vận hành & Bảo mật | IPSIP

5. Cần loại bỏ single point of failure ở đâu trước?

SME thường không đủ ngân sách để triển khai high availability cho tất cả thành phần. Cách hợp lý hơn là xếp hạng điểm lỗi đơn theo mức ảnh hưởng.

5.1. Internet và WAN

Nếu ERP, email, cloud backup hoặc kết nối giữa các nhà máy phụ thuộc Internet, cần xem xét:

Hai đường truyền từ hai nhà mạng.
Thiết bị hỗ trợ failover.
Tuyến cáp đi theo hai hướng vật lý nếu có thể.
Kết nối 4G/5G dự phòng cho nghiệp vụ tối thiểu.

Hai đường truyền cùng đi qua một tuyến cáp hoặc một tủ cáp bên ngoài vẫn có thể hỏng đồng thời.

5.2. Firewall

Một firewall duy nhất có thể trở thành điểm lỗi của toàn bộ Internet, VPN và kết nối liên vùng. Không phải nhà máy nào cũng cần cluster ngay lập tức, nhưng IT phải có:

File backup cấu hình.
Thiết bị thay thế hoặc SLA rõ ràng.
Tài liệu port mapping và policy.
Quy trình phục hồi đã thử nghiệm.

5.3. Core switch

Nếu toàn bộ server, access switch và OT đều đi qua một core switch, sự cố thiết bị có thể ảnh hưởng toàn nhà máy. Tùy ngân sách, có thể dùng stack, cặp core hoặc ít nhất chuẩn bị thiết bị và cấu hình dự phòng.

5.4. Virtualization host và storage

Việc chạy toàn bộ ERP, database, AD và file server trên một host giúp tiết kiệm chi phí nhưng tạo ra điểm lỗi lớn.

Các lựa chọn có thể gồm:

Hai virtualization host.
Replication giữa host.
Storage có RAID và linh kiện dự phòng.
Backup image có thể phục hồi sang phần cứng khác.
Dịch vụ cloud DR cho workload trọng yếu.

5.5. Nguồn điện và UPS

UPS cần được giám sát, kiểm tra pin và cấu hình shutdown có kiểm soát. UPS có mặt trong tủ rack nhưng pin đã hỏng không tạo ra khả năng dự phòng thực tế.

5.6. Authentication và DNS

Nếu chỉ có một domain controller hoặc DNS server, lỗi máy chủ có thể khiến người dùng không đăng nhập hoặc ứng dụng không kết nối được dù mạng vẫn hoạt động.

Mức đầu tư nên được ưu tiên theo tác động đến sản xuất, không theo mức độ “quan trọng” cảm tính của từng thiết bị.

6. Backup phải được thiết kế từ RPO và RTO

Có backup không đồng nghĩa với có khả năng phục hồi.

Đội IT cần xác định cho từng workload:

RPO: Doanh nghiệp chấp nhận mất tối đa bao nhiêu dữ liệu?
RTO: Hệ thống phải được phục hồi trong bao lâu?
Thứ tự phục hồi: Dịch vụ nào phải chạy trước?
Dependency: Ứng dụng phụ thuộc DNS, AD, database hoặc license server nào?

Ví dụ, khôi phục máy chủ ERP sẽ không có giá trị nếu domain controller, database hoặc hệ thống lưu trữ chưa hoạt động.

Mô hình backup tham khảo có thể gồm:

Bản backup cục bộ để phục hồi nhanh.
Bản sao ngoài nhà máy hoặc trên cloud.
Bản sao immutable hoặc offline cho dữ liệu trọng yếu.
Tài khoản backup tách khỏi tài khoản quản trị thông thường.
Kiểm tra restore định kỳ.
Ghi nhận thời gian và kết quả mỗi lần kiểm tra.

Báo cáo ransomware ngành sản xuất năm 2025 của Sophos cho biết 40% cuộc tấn công được khảo sát vẫn dẫn đến mã hóa dữ liệu, dù tỷ lệ này đã giảm đáng kể so với năm trước. Điều đó cho thấy khả năng ngăn chặn đã cải thiện nhưng backup và recovery vẫn phải được xem là lớp kiểm soát độc lập.

Disaster Recovery còn rộng hơn backup. DR phải xác định địa điểm phục hồi, quyền quyết định, người phụ trách, phương thức liên lạc, thứ tự khởi động và cách vận hành tạm thời. Đội IT có thể tham khảo quy trình xây dựng kế hoạch phục hồi sau thảm họa.

Xây dựng kế hoạch phục hồi sau thảm họa (Disaster Recovery Plan) cùng đối tác IT

7. Phân tách IT và OT cần dựa trên luồng dữ liệu

Không nên bắt đầu dự án IT/OT segmentation bằng cách chặn toàn bộ kết nối. Cách làm đó dễ khiến bộ phận sản xuất phản đối vì ảnh hưởng đến ứng dụng đang vận hành.

Trước tiên, IT cần lập danh sách:

Thiết bị nguồn và thiết bị đích.
Cổng và giao thức.
Chiều kết nối.
Tần suất giao tiếp.
Người sở hữu hệ thống.
Mức độ ảnh hưởng nếu kết nối bị chặn.
Cơ chế truy cập khi bảo trì.

Sau khi có data flow, đội IT mới xây firewall policy theo nguyên tắc chỉ cho phép kết nối cần thiết.

Một số nguyên tắc nên áp dụng:

Không cho PLC và HMI truy cập Internet trực tiếp.
Không cho máy người dùng truy cập trực tiếp vào OT.
Vendor remote access phải qua VPN và MFA.
Sử dụng jump server cho quản trị OT.
Ghi log truy cập đặc quyền.
Tắt tài khoản vendor khi không sử dụng.
Không dùng chung tài khoản quản trị.
Quét và kiểm soát USB theo quy trình phù hợp.
Thử nghiệm bản vá trước khi áp dụng cho hệ thống sản xuất.

NIST Cybersecurity Framework 2.0 Manufacturing Profile tiếp tục nhấn mạnh việc xác định các kết nối giữa thành phần hệ thống và áp dụng network segmentation hoặc segregation khi phù hợp.

Phần thiết kế OT chuyên sâu nên được tách khỏi bài kiến trúc tổng thể. Đội IT có thể đọc thêm về các giải pháp bảo vệ hạ tầng OT.

8. Monitoring và tài liệu vận hành tối thiểu

Hạ tầng không kết thúc sau khi nghiệm thu. Nếu không có monitoring và tài liệu, đội IT thường chỉ phát hiện sự cố khi người dùng gọi báo.

Các hạng mục cần giám sát tối thiểu gồm:

Trạng thái Internet và WAN.
CPU, RAM và storage của server.
Tình trạng hypervisor.
Nhiệt độ và nguồn điện thiết bị.
Port uplink và lỗi interface.
Dung lượng database và file server.
Trạng thái backup.
Thời hạn chứng thư số và license.
Sự kiện firewall và VPN.
Availability của ERP, MES và dịch vụ quan trọng.

Bên cạnh dashboard, đội IT cần duy trì:

Network diagram.
IP và VLAN plan.
Asset inventory.
Danh sách tài khoản quản trị.
Danh sách nhà cung cấp.
Backup matrix.
Firmware và patch register.
Change log.
Quy trình escalation.
Runbook cho sự cố phổ biến.

Doanh nghiệp có nhiều site hoặc không đủ người trực theo ca có thể cân nhắc mô hình NOC để giám sát hạ tầng mạng.

Trong trường hợp IT nội bộ phải đồng thời xử lý người dùng, server, network, security và nhà cung cấp, dịch vụ quản trị IT thuê ngoài cho SME có thể đảm nhiệm một phần monitoring, maintenance hoặc support mà không thay thế hoàn toàn vai trò của IT nội bộ.

9. Tham khảo mô hình hạ tầng IT cho SME sản xuất theo ba mức trưởng thành

Mức 1: Hạ tầng cơ bản có kiểm soát

Phù hợp với một nhà máy nhỏ:

Firewall doanh nghiệp.
Switch managed.
VLAN riêng cho user, server, camera, guest và OT.
Một hoặc hai server ảo hóa.
Email trên cloud.
Backup cục bộ và một bản sao ngoài cơ sở.
UPS cho thiết bị trọng yếu.
Tài liệu IP, VLAN và tài khoản quản trị.
Monitoring cơ bản.

Mục tiêu của mức này là loại bỏ mạng phẳng, backup thủ công và các tài khoản quản trị dùng chung.

Mức 2: Hạ tầng chuẩn hóa và có khả năng phục hồi

Phù hợp với nhà máy phụ thuộc ERP hoặc MES:

Hai đường Internet.
Firewall hoặc phương án thay thế có thời gian phục hồi rõ.
Hai host hoặc replication cho workload trọng yếu.
Phân tách IT/OT qua firewall.
Jump server cho quản trị.
Backup immutable hoặc offline.
Monitoring và log tập trung.
Kiểm tra restore định kỳ.
Endpoint và identity management.
Quy trình change management.

Mục tiêu của mức này là giảm downtime và kiểm soát được các luồng kết nối quan trọng.

Mức 3: Hạ tầng nhiều nhà máy hoặc nhiều site

Phù hợp với doanh nghiệp đang mở rộng:

Kiến trúc WAN hoặc SD-WAN chuẩn hóa.
Identity tập trung.
Mẫu VLAN và firewall policy thống nhất.
Centralized monitoring.
Centralized backup management.
Kết nối hybrid cloud.
DR cho workload quan trọng.
Quản lý truy cập vendor tập trung.
Asset inventory và configuration management.
Runbook dùng chung giữa các site.

Mục tiêu của mức này là có thể mở thêm nhà máy mà không phải thiết kế lại từ đầu.

Kết luận

Mô hình hạ tầng IT tốt cho SME sản xuất không phải là mô hình có nhiều server, VLAN hoặc sản phẩm bảo mật nhất. Kiến trúc phù hợp phải trả lời được bốn câu hỏi:

Hệ thống nào bắt buộc phải hoạt động để nhà máy tiếp tục sản xuất?
Một sự cố ở mạng văn phòng có thể lan sang server hoặc OT hay không?
Workload nào nên chạy tại nhà máy và workload nào nên đưa lên cloud?
Đội IT có thể phục hồi hệ thống trong thời gian doanh nghiệp chấp nhận hay không?

Đối với phần lớn SME sản xuất, hướng đi hợp lý là kiến trúc hybrid, phân vùng mạng theo chức năng, kiểm soát rõ luồng IT/OT, ưu tiên loại bỏ single point of failure và thiết kế backup theo RPO/RTO.

Trước khi mua thêm thiết bị, đội IT nên lập sơ đồ hiện trạng, inventory workload, data flow, dependency và danh sách điểm lỗi đơn. Đây là cơ sở để xây kiến trúc mục tiêu, chia dự án thành từng giai đoạn và bảo vệ ngân sách đầu tư trước ban quản lý.

-----------------------

Nguồn tham khảo