OT Cybersecurity Is Now Part of Building Safety

จักรพันธ์ ภวังคะรัตน์

Head of Property Management, JLL Thailand

เลขาธิการ สมาคมบริหารทรัพย์สินแห่งประเทศไทย

14 December 2025

ทำไมความเสี่ยงทางไซเบอร์จึงกลายเป็นประเด็นหลักในการปกป้องสินทรัพย์อสังหาริมทรัพย์ในปี 2026

ตลอดหลายทศวรรษที่ผ่านมา เมื่อพูดถึง “ความปลอดภัยของอาคาร” ภาพที่คนส่วนใหญ่นึกถึงคือความเสี่ยงทางกายภาพที่จับต้องได้ เช่น อัคคีภัย ความมั่นคงของโครงสร้าง ไฟฟ้าดับ หรือระบบความปลอดภัยในชีวิต (Life Safety) ในขณะที่ “Cybersecurity” หากถูกพูดถึง ก็จะถูกจัดให้อยู่ในวงสนทนาอีกโลกหนึ่ง — เป็นเรื่องของฝ่าย IT และแทบไม่เกี่ยวข้องกับการตัดสินใจหลักด้านอสังหาริมทรัพย์

การแยกโลกแบบนั้น… ใช้ไม่ได้อีกต่อไปแล้ว

เมื่อระบบอาคารเริ่มเชื่อมต่อกัน ใช้ข้อมูลเป็นตัวขับเคลื่อน และสามารถควบคุมจากระยะไกลได้ ความปลอดภัยทางไซเบอร์ของระบบ OT (Operational Technology) จึงกลายเป็นประเด็นด้าน “ความปลอดภัยของอาคาร” อย่างแท้จริง เทียบเท่ากับระบบป้องกันอัคคีภัย ความมั่นคงของระบบไฟฟ้า และการเตรียมความพร้อมภาวะฉุกเฉิน

ภายในปี 2026 นักลงทุนและผู้พัฒนาโครงการชั้นนำไม่ได้ตั้งคำถามอีกต่อไปว่า “ควรทำ OT Cybersecurity หรือไม่” แต่กำลังถามว่า“ควรฝังมันเข้าไปในอาคารให้ลึกแค่ไหน”

และการเปลี่ยนมุมมองนี้ ส่งผลโดยตรงต่อมูลค่าสินทรัพย์ ความสามารถในการทำประกัน ความยืดหยุ่นในการดำเนินงาน และความสามารถในการแข่งขันระยะยาวของอาคาร

1. ฉากหลัง: จากระบบแยกส่วน สู่โครงสร้างพื้นฐานดิจิทัล

ในอดีต ระบบอาคารถูกออกแบบให้เป็น ระบบปิดและแยกจากกัน:

• ระบบปรับอากาศ แสงสว่าง การควบคุมการเข้าออก ลิฟต์ และระบบไฟทำงานแยกจากกันอย่างอิสระ

• เครือข่ายควบคุมเป็นระบบเฉพาะภายใน

• ความเสี่ยงทางไซเบอร์แทบไม่มี เพราะไม่มีการเชื่อมต่อภายนอก

ในโลกแบบนั้น Cybersecurity แทบไม่เกี่ยวข้องกับงาน MEP หรือ BMS

แต่โลกใบนั้นได้หายไปแล้ว

อาคารยุคใหม่พึ่งพา:

• BMS และ IoT ที่ทำงานบนระบบ IP

• แพลตฟอร์ม Cloud และการควบคุมจากระยะไกล

• AI สำหรับการวิเคราะห์และเพิ่มประสิทธิภาพ

• การเชื่อมต่อกับระบบ ESG, แอปผู้เช่า และระบบองค์กร

สิ่งที่เคยเป็น “ระบบควบคุมอาคาร” ได้พัฒนาเป็น โครงสร้างพื้นฐานดิจิทัลที่มีความสำคัญระดับวิกฤต

และเมื่อความสำคัญเพิ่มขึ้น ความเสี่ยงก็เพิ่มขึ้นตามไปด้วย

2. ประวัติย่อ: ทำไมความเสี่ยง OT Cyber ถูกมองข้าม

ระยะที่ 1: ระบบอัตโนมัติที่ยังไม่เชื่อมต่อ

ยุคแรกของระบบอัตโนมัติ เน้นประสิทธิภาพ ลดคน ลดพลังงานระบบเป็น Local มี Manual Override และความล้มเหลวส่วนใหญ่เป็นเชิงกล

ระยะที่ 2: เชื่อมต่อเร็ว แต่ไม่มี Governance

เมื่อ IP Network เข้าสู่อาคาร การเชื่อมต่อเพิ่มขึ้นอย่างรวดเร็วแต่ไม่มีสถาปัตยกรรมด้านความปลอดภัยรหัสผ่านเริ่มต้น ระบบเครือข่ายแบบแบน และช่องทางลับของผู้ขาย กลายเป็นเรื่องปกติ

ระยะที่ 3: สัญญาณเตือนที่มองข้ามไม่ได้

เหตุการณ์จริงในหลายอุตสาหกรรม — สาธารณูปโภค ระบบขนส่ง โรงพยาบาล —พิสูจน์ชัดว่า ความล้มเหลวของ OT สามารถนำไปสู่ความเสียหายทางกายภาพ การหยุดชะงักของธุรกิจ และความเสียหายต่อชื่อเสียง

อสังหาริมทรัพย์ไม่ใช่ข้อยกเว้นแค่ยัง “ไม่พร้อม” เท่านั้น

3. ความจริงในปัจจุบัน (2025–2026): Cyber Risk = Operational Risk

วันนี้ ความเสี่ยงด้าน OT Cyber ไม่ใช่เรื่องสมมติอีกต่อไปแต่ส่งผลโดยตรงต่อ:

• ความปลอดภัยและระบบที่เกี่ยวข้องกับชีวิต

การถูกโจมตีระบบ HVAC ระบบควบคุมควัน ระบบเข้าออก หรือไฟฟ้าสามารถคุกคามความปลอดภัยของผู้ใช้อาคารได้จริง ไม่ใช่แค่ข้อมูล

• ความต่อเนื่องทางธุรกิจ

เหตุการณ์ไซเบอร์สามารถทำให้อาคารหยุดให้บริการกระทบผู้เช่า และทำให้ไม่สามารถรักษา SLA ได้

• มูลค่าสินทรัพย์และความเสี่ยงในการซื้อขาย

นักลงทุนเริ่มมองว่า OT Cyber Risk ที่ไม่ถูกจัดการคือ:

• ภาระความเสี่ยงที่ซ่อนอยู่

• ค่าใช้จ่าย CapEx หลังการเข้าซื้อ

• สัญญาณเตือนในกระบวนการ Due Diligence

• ประกันและการกำกับดูแล

บริษัทประกันและหน่วยงานกำกับเริ่มถามคำถามชัดเจนขึ้นเกี่ยวกับ:

• การแบ่งเครือข่าย (Segmentation)

• แนวคิดการควบคุมการเข้าถึง

• การเฝ้าระวังและการตอบสนองเหตุการณ์

กล่าวได้ว่า OT Cybersecurity ได้ถูกจัดอยู่ในกลุ่มความเสี่ยงเดียวกับ Fire / Life Safety แล้ว

4. สิ่งที่เปลี่ยนไปในขอบเขตงาน MEP และ BMS

ภายในปี 2026 โครงการชั้นนำเริ่มนิยามบทบาท MEP และ BMS ใหม่ Cybersecurity ไม่ใช่ “เรื่องของคนอื่น”

ขอบเขตงานสมัยใหม่เริ่มรวมหลักการ Secure-by-Design เช่น:

• การแบ่งเครือข่าย (Network Segmentation)

แยกชัดเจนระหว่าง:

• ระบบ OT

• เครือข่าย IT

• เครือข่ายผู้เช่าและผู้ใช้งาน

• ปรัชญาการควบคุมการเข้าถึง

กำหนดชัด:

• ใครเข้าถึงอะไรได้

• จากที่ไหน

• ภายใต้เงื่อนไขใด

ไม่ใช่การใช้รหัสผ่านเดียวกันทั้งระบบแล้วเก็บไว้ในคู่มือส่งมอบ

• การเฝ้าระวังอย่างต่อเนื่อง

มองเห็น:

• พฤติกรรมผิดปกติ

• ความพยายามเข้าถึงโดยไม่ได้รับอนุญาต

• ความสมบูรณ์ของระบบ

การ “ตรวจจับ” สำคัญพอ ๆ กับการ “ป้องกัน”

• Governance และความรับผิดชอบ

มีเจ้าของชัดเจนสำหรับ:

• การเปลี่ยน Configuration

• การอัปเดต Patch

• การรับมือเหตุการณ์

Cybersecurity กลายเป็นส่วนหนึ่งของ การกำกับการปฏิบัติงานอาคาร

5. ทำไมเรื่องนี้สำคัญต่อ นักลงทุน และผู้พัฒนาโครงการ

สำหรับผู้ลงทุนและเจ้าของสินทรัพย์ OT Cybersecurity ไม่ใช่รายละเอียดทางเทคนิคอีกต่อไปแต่คือ กลไกการปกป้องและสร้างมูลค่า

อาคารที่:

• ปลอดภัยตั้งแต่การออกแบบ

• มีความยืดหยุ่นในการดำเนินงาน

• มีโครงสร้าง Governance ชัดเจน

มีแนวโน้มที่จะ:

• รักษาผู้เช่าคุณภาพสูง

• ลด Downtime ที่ไม่คาดคิด

• ผ่านการตรวจ Due Diligence ได้ง่าย

• ดึงดูดเงินทุนสถาบัน

ในทางกลับกัน อาคารที่ไม่จัดการ OT Cyber Risk จะเผชิญ:

• ความผันผวนในการดำเนินงาน

• ค่า Retrofit ที่สูงขึ้นในอนาคต

• ตัวเลือกการ Exit ที่จำกัด

6. แนวโน้มอนาคต: จาก “Cyber-Safe” สู่ “Cyber-Resilient”

อนาคตไม่ได้หยุดแค่การ “ป้องกัน”แต่กำลังมุ่งสู่ ความยืดหยุ่น (Resilience)

อาคารยุคใหม่จะถูกออกแบบโดย:

• สมมติว่าการโจมตีต้องเกิดขึ้น

• แยกระบบได้รวดเร็ว

• ฟื้นตัวได้โดยไม่ล้มเหลวทั้งอาคาร

OT Cybersecurity จะถูกปฏิบัติเหมือน Fire Engineering:

• ถูกฝังตั้งแต่ต้น

• มีการทดสอบสม่ำเสมอ

• มีการกำกับดูแลต่อเนื่อง

ไม่ใช่อุปกรณ์เสริมแต่เป็นส่วนหนึ่งของ Operating System ของอาคาร

7. Call to Action: สิ่งที่แต่ละฝ่ายต้องเริ่มทำ “ตอนนี้”

สำหรับนักลงทุน

• มอง OT Cybersecurity เป็นความเสี่ยงหลักของสินทรัพย์

• ตั้งคำถามชัดเจนในขั้นตอนเข้าซื้อและรีไฟแนนซ์

• เชื่อมโยง Cyber Resilience กับกลยุทธ์มูลค่าระยะยาว

สำหรับผู้พัฒนาโครงการ

• ฝัง Secure-by-Design ตั้งแต่ Concept

• อย่าลดต้นทุนระยะสั้นเพื่อสร้างภาระระยะยาว

• เรียกร้องความชัดเจนจากที่ปรึกษาและผู้ขาย

สำหรับที่ปรึกษา MEP และ BMS

• ขยายบทบาทจาก “ระบบใช้งานได้”

• ผสานสถาปัตยกรรม Cybersecurity เข้ากับ Design Intent

• วางตำแหน่งตัวเองเป็น “ที่ปรึกษาการบริหารความเสี่ยง” ไม่ใช่แค่ผู้ออกแบบระบบ

บทส่งท้าย

ในปี 2026 อาคารที่เชื่อมต่อดิจิทัล แต่เปราะบางทางไซเบอร์ไม่ใช่อาคารสมัยใหม่ — แต่คืออาคารที่ไม่ปลอดภัย

OT Cybersecurity ได้ข้ามจุดเปลี่ยนสำคัญแล้วมันไม่ใช่เรื่องของ IT ไม่ใช่เรื่องเสริมและไม่ใช่ทางเลือกอีกต่อไป

มันคือส่วนหนึ่งของ “ความปลอดภัยอาคาร”

คำถามจึงไม่ใช่ว่าการเปลี่ยนแปลงนี้จะเกิดขึ้นหรือไม่

แต่คือใครจะเป็นผู้นำ — และใครจะต้องเร่งตามให้ทัน