When Smart Buildings Become Cyber Targets: บทเรียนจาก Binance สู่ความเสี่ยงที่เจ้าของอาคารไม่ควรมองข้าม

จักรพันธ์ ภวังคะรัตน์

Head of Property Management, JLL Thailand

1 November 2026

เหตุการณ์ที่ Binance แพลตฟอร์มซื้อขายสินทรัพย์ดิจิทัลรายใหญ่ที่สุดแห่งหนึ่งของโลก ถูกโจมตีทางไซเบอร์เมื่อวันที่ 29 ตุลาคม 2026 จนมีสินทรัพย์ดิจิทัลมูลค่าประมาณ 6,300 ล้านดอลลาร์สหรัฐถูกขโมยไป กลายเป็นข่าวใหญ่ที่สร้างความกังวลให้กับอุตสาหกรรมการเงินและเทคโนโลยีทั่วโลก

สิ่งที่น่าสนใจคือ การตรวจสอบเบื้องต้นของ Binance พบว่าการโจมตีอาจเกี่ยวข้องกับคอมพิวเตอร์ของวิศวกร DevOps ที่ถูกเจาะระบบ ก่อนที่ผู้โจมตีจะเข้าถึงระบบภายในและดำเนินธุรกรรมถอนเงินโดยไม่ได้รับอนุญาต อย่างไรก็ตาม บริษัทระบุภายหลังว่าพบช่องทางการบุกรุกเพิ่มเติม และยังอยู่ระหว่างการสอบสวนหาสาเหตุที่แท้จริง

เหตุการณ์นี้ทำให้เกิดคำถามสำคัญว่า หากองค์กรระดับโลกที่มีทรัพยากรและเทคโนโลยีด้าน Cybersecurity จำนวนมหาศาลยังถูกโจมตีได้ แล้วอาคารสำนักงาน ศูนย์การค้า โรงแรม โรงพยาบาล และโครงการอสังหาริมทรัพย์ขนาดใหญ่ที่กำลังพัฒนาเป็น Smart Building จะมีความพร้อมรับมือกับภัยคุกคามทางไซเบอร์มากน้อยเพียงใด

ที่ผ่านมา เมื่อพูดถึง Cybersecurity ผู้บริหารส่วนใหญ่มักนึกถึงการป้องกันข้อมูลรั่วไหล การถูกขโมยรหัสผ่าน หรือการถูก Ransomware เรียกค่าไถ่

แต่สำหรับอาคารสมัยใหม่ ความเสี่ยงอาจรุนแรงกว่านั้น เพราะระบบคอมพิวเตอร์ไม่ได้ทำหน้าที่เพียงจัดเก็บข้อมูลอีกต่อไป หากยังมีบทบาทในการควบคุมเครื่องจักร ระบบปรับอากาศ ระบบไฟฟ้า ระบบเข้าออกอาคาร และระบบสนับสนุนความปลอดภัยของผู้ใช้อาคาร

เมื่อเทคโนโลยีดิจิทัลสามารถควบคุมอุปกรณ์ทางกายภาพได้ Cybersecurity จึงไม่ใช่เพียงเรื่องของ IT แต่กลายเป็นเรื่องของความปลอดภัย ความต่อเนื่องทางธุรกิจ และความสามารถในการบริหารสินทรัพย์

นี่อาจเป็นความเสี่ยงด้านการบริหารอาคารที่เจ้าของอสังหาริมทรัพย์จำนวนไม่น้อยยังให้ความสำคัญไม่เพียงพอ

1. The Hidden Risk Behind Smart Buildings: ยิ่งอาคารฉลาดขึ้น ความเสี่ยงก็ยิ่งซับซ้อนขึ้น

ในช่วงหลายปีที่ผ่านมา อุตสาหกรรมอสังหาริมทรัพย์ลงทุนกับเทคโนโลยี Smart Building อย่างต่อเนื่อง

อาคารสมัยใหม่ใช้ Building Automation System (BAS) หรือ Building Management System (BMS) ในการควบคุมและติดตามระบบวิศวกรรม ตั้งแต่ Chiller Plant, Air Handling Unit, Lighting Control ไปจนถึงระบบจัดการพลังงาน

อาคารบางแห่งพัฒนาไปไกลกว่านั้น โดยเชื่อมโยงระบบต่าง ๆ เข้ากับ Centralized Command Center ใช้ IoT Sensors เก็บข้อมูลแบบ Real Time นำ Artificial Intelligence มาวิเคราะห์การใช้พลังงาน และให้ผู้เชี่ยวชาญสามารถควบคุมระบบจากระยะไกล

การพัฒนาเหล่านี้สร้างประโยชน์อย่างมาก ทั้งด้าน Energy Efficiency, Operational Productivity, Occupant Comfort และการลดต้นทุนในการบริหารอาคาร

อย่างไรก็ตาม ความสะดวกในการเชื่อมต่อระบบต่าง ๆ อาจทำให้เกิดความเสี่ยงรูปแบบใหม่ที่ผู้บริหารยังไม่ได้ประเมินอย่างรอบด้าน

ลองนึกถึงอาคารสำนักงานแห่งหนึ่งที่เชื่อมระบบ BMS เข้ากับเครือข่าย IT ขององค์กร และเปิดให้บริษัทผู้รับเหมาสามารถ Remote Access เข้ามาตรวจสอบหรือปรับตั้งค่าระบบได้จากภายนอก

หากคอมพิวเตอร์ของผู้รับเหมาถูกโจมตี หรือผู้ไม่หวังดีได้รหัสผ่านสำหรับเข้าระบบ BMS ก็อาจกลายเป็นช่องทางที่ทำให้ผู้โจมตีเข้าถึงระบบควบคุมอาคารได้ ทั้งนี้ขึ้นอยู่กับการออกแบบเครือข่ายและมาตรการป้องกันที่มีอยู่

เมื่อเข้าถึงระบบได้แล้ว ผู้โจมตีอาจพยายามเปลี่ยนค่าการทำงานของเครื่องจักร ปิดระบบบางส่วน หรือรบกวนการแสดงผลของระบบควบคุมส่วนกลาง

สิ่งที่น่ากังวลคือ ผู้บริหารอาคารอาจไม่ทราบด้วยซ้ำว่ามีช่องทางการเข้าถึงจากภายนอกอยู่กี่ช่องทาง ใครบ้างที่มีรหัสผ่าน และบัญชีผู้ใช้งานของผู้รับเหมารายเก่าถูกยกเลิกไปแล้วหรือยัง

ประเด็นนี้สะท้อนความแตกต่างระหว่างการลงทุนในเทคโนโลยีกับการบริหารความเสี่ยงของเทคโนโลยี

การมีระบบ Automation ที่ทันสมัยไม่ได้หมายความว่าอาคารมีความปลอดภัยทางไซเบอร์ในระดับเดียวกัน

ยิ่งระบบต่าง ๆ เชื่อมต่อกันมากขึ้น เจ้าของอาคารยิ่งจำเป็นต้องเข้าใจว่าแต่ละระบบพึ่งพากันอย่างไร และหากระบบหนึ่งถูกโจมตี จะสามารถจำกัดผลกระทบไม่ให้ลุกลามไปยังระบบอื่นได้หรือไม่

2. When Cyber Risks Become Physical Risks: เมื่อภัยคุกคามทางไซเบอร์ส่งผลต่อโลกแห่งความเป็นจริง

ความแตกต่างสำคัญระหว่าง Cybersecurity ในสำนักงานทั่วไปกับ Cybersecurity ในอาคาร คือผลกระทบของระบบที่ถูกโจมตี

หากคอมพิวเตอร์สำนักงานถูก Ransomware โจมตี พนักงานอาจไม่สามารถเปิดไฟล์ ส่งอีเมล หรือเข้าถึงฐานข้อมูลได้

แต่หากระบบควบคุมอาคารถูกโจมตี ผลกระทบอาจเกิดขึ้นกับการทำงานของเครื่องจักรและสภาพแวดล้อมที่ผู้คนใช้งานจริง

ลองพิจารณาสถานการณ์สมมติในศูนย์การค้าขนาดใหญ่แห่งหนึ่ง

ในช่วงบ่ายวันหยุดที่มีลูกค้าหลายหมื่นคน ผู้โจมตีสามารถเข้าถึงระบบควบคุมส่วนกลางและทำให้ระบบปรับอากาศบางส่วนหยุดทำงาน

ภายในเวลาไม่นาน อุณหภูมิภายในอาคารเริ่มสูงขึ้น ลูกค้าเริ่มรู้สึกไม่สบาย ร้านค้าบางแห่งได้รับผลกระทบ และฝ่ายบริหารอาคารต้องระดมทีมวิศวกรรมเพื่อแก้ไขปัญหา

หากไม่สามารถกู้คืนระบบได้อย่างรวดเร็ว เจ้าของอาคารอาจต้องพิจารณาปิดพื้นที่บางส่วนชั่วคราว

ความเสียหายจึงไม่ได้จำกัดอยู่ที่ค่าใช้จ่ายในการซ่อมระบบ BMS แต่รวมถึงผลกระทบต่อรายได้ของร้านค้า ประสบการณ์ของลูกค้า และความเชื่อมั่นต่อการบริหารศูนย์การค้า

สำหรับอาคารสำนักงาน การหยุดทำงานของระบบปรับอากาศอาจทำให้ผู้เช่าไม่สามารถดำเนินธุรกิจได้ตามปกติ

สำหรับโรงแรม ความผิดปกติของระบบควบคุมอาคารอาจส่งผลต่อคุณภาพการให้บริการและความพึงพอใจของผู้เข้าพัก

สำหรับโรงพยาบาล ความเสี่ยงอาจยิ่งมีความสำคัญ เพราะอุณหภูมิ ความชื้น และการระบายอากาศในพื้นที่บางประเภทเป็นเงื่อนไขสำคัญของการให้บริการทางการแพทย์

นอกจากนี้ หากการโจมตีส่งผลต่อระบบควบคุมการเข้าออก หรือระบบที่เชื่อมต่อกับอุปกรณ์ด้านความปลอดภัย ก็อาจเพิ่มความเสี่ยงต่อผู้ใช้อาคารได้

อย่างไรก็ตาม ระบบป้องกันอัคคีภัยและระบบความปลอดภัยที่สำคัญควรได้รับการออกแบบให้มีการทำงานที่เป็นอิสระและมีมาตรการป้องกันระดับอุปกรณ์ ไม่ควรพึ่งพา BMS ส่วนกลางเพียงระบบเดียว

จึงไม่อาจสรุปได้ว่าการถูกเจาะระบบ BMS จะทำให้ผู้โจมตีควบคุมระบบความปลอดภัยทุกประเภทได้ทันที

ประเด็นสำคัญอยู่ที่ว่า อาคารแต่ละแห่งได้ออกแบบระบบป้องกันไว้ดีเพียงใด และเคยทดสอบการทำงานเมื่อระบบควบคุมส่วนกลางขัดข้องจริงหรือไม่

ความเสียหายจาก Cyberattack จึงควรพิจารณาอย่างน้อยสามมิติ ได้แก่ Physical Safety, Business Continuity และ Financial & Reputational Impact

ความเสียหายที่มีมูลค่าสูงที่สุดอาจไม่ใช่เครื่องจักรที่ต้องซ่อม แต่เป็นธุรกิจที่ต้องหยุดดำเนินงาน และความเชื่อมั่นของผู้ใช้อาคารที่สูญเสียไป

3. Cybersecurity Is an Asset Management Responsibility: เหตุใดเรื่องนี้จึงต้องเริ่มจากเจ้าของอาคาร

เมื่อพูดถึงการป้องกัน Cyberattack คำตอบที่ได้ยินบ่อยคือให้ฝ่าย IT หรือผู้ให้บริการระบบ BMS เป็นผู้รับผิดชอบ

แนวคิดนี้อาจทำให้เจ้าของอาคารมองข้ามความรับผิดชอบที่สำคัญของตนเอง

เพราะแม้การดูแลความปลอดภัยของระบบคอมพิวเตอร์จะต้องอาศัยผู้เชี่ยวชาญด้านเทคนิค แต่การตัดสินใจว่าจะยอมรับความเสี่ยงได้มากน้อยเพียงใด เป็นหน้าที่ของผู้บริหารและเจ้าของสินทรัพย์

ลองเปรียบเทียบกับระบบป้องกันอัคคีภัย

เจ้าของอาคารไม่จำเป็นต้องมีความรู้ในการออกแบบ Fire Alarm Control Panel หรือ Fire Pump ทุกขั้นตอน แต่ต้องมั่นใจว่าอาคารมีระบบป้องกันที่เหมาะสม มีผู้รับผิดชอบในการบำรุงรักษา มีการตรวจสอบตามมาตรฐาน และมีการฝึกซ้อมรับมือเหตุฉุกเฉิน

Cybersecurity ของ Building Automation System ก็ควรได้รับการบริหารด้วยหลักคิดเดียวกัน

เจ้าของอาคารควรกำหนดนโยบาย OT Cybersecurity และมอบหมายผู้รับผิดชอบอย่างชัดเจน พร้อมจัดสรรงบประมาณในการตรวจสอบและปรับปรุงระบบตามระดับความเสี่ยง

ที่สำคัญ ควรมีการประเมินความปลอดภัยโดยผู้เชี่ยวชาญที่มีความเข้าใจระบบ Operational Technology ซึ่งแตกต่างจาก IT ทั่วไป เพราะการเปลี่ยนแปลงหรือทดสอบระบบบางอย่างอาจส่งผลต่อการทำงานของเครื่องจักรจริง

ในเดือนสิงหาคม 2026 สถาบัน National Institute of Standards and Technology หรือ NIST ของสหรัฐอเมริกา ได้เผยแพร่แนวทาง Cybersecurity สำหรับ Building Automation and Control Systems โดยเฉพาะ

NIST ให้ความสำคัญกับความเสี่ยงที่เกิดจากการเชื่อมต่อระบบควบคุมอาคารเข้ากับเครือข่ายองค์กรและ Cloud รวมถึงแนะนำให้เจ้าของและผู้ดูแลอาคารเริ่มต้นจากมาตรการพื้นฐานที่สามารถดำเนินการได้จริง

ประเด็นที่น่าสนใจคือ NIST ไม่ได้มอง Cybersecurity เป็นเรื่องของอุปกรณ์ป้องกันเพียงอย่างเดียว แต่เชื่อมโยงกับการบริหารความเสี่ยง ความปลอดภัย และความต่อเนื่องของระบบปฏิบัติการ

สำหรับเจ้าของอาคาร นี่คือการเปลี่ยนมุมมองจาก IT Maintenance ไปสู่ Asset Risk Management

Cybersecurity จึงควรเป็นหนึ่งในหัวข้อที่ผู้บริหารได้รับรายงาน เช่นเดียวกับความพร้อมของระบบวิศวกรรม ความปลอดภัย อัตราการเช่าพื้นที่ และผลประกอบการของอาคาร

4. The Weakest Link May Be Outside Your Organization: ความเสี่ยงที่อาจไม่ได้อยู่ในอาคารของเรา

การบริหารอาคารสมัยใหม่ต้องพึ่งพาผู้ให้บริการภายนอกจำนวนมาก

ผู้ผลิตเครื่องจักร บริษัทติดตั้งระบบ BMS ผู้รับเหมาบำรุงรักษา ผู้ให้บริการ Smart Building Platform และบริษัทที่ดูแลระบบ Cloud ต่างมีบทบาทสำคัญในการทำให้อาคารสามารถดำเนินงานได้อย่างมีประสิทธิภาพ

หลายบริษัทจำเป็นต้องได้รับสิทธิ Remote Access เพื่อเข้ามาตรวจสอบหรือแก้ไขปัญหาของระบบ

ในทางปฏิบัติ การเปิดให้ผู้เชี่ยวชาญเข้าถึงระบบจากระยะไกลช่วยลดเวลารอคอย ลดค่าใช้จ่าย และทำให้สามารถแก้ไขปัญหาได้รวดเร็วขึ้น

แต่ในอีกด้านหนึ่ง หากระบบของผู้รับเหมาถูกโจมตี สิทธิในการเข้าถึงที่ได้รับอนุญาตไว้อาจกลายเป็นช่องทางให้ผู้โจมตีเข้าสู่ระบบของอาคาร

นี่คือความเสี่ยงที่เรียกว่า Third-Party Cyber Risk

บทเรียนจากเหตุการณ์ Binance ชวนให้เห็นความสำคัญของจุดเชื่อมต่อระหว่างบุคลากร ระบบภายใน และสิทธิการเข้าถึง แม้สาเหตุที่แท้จริงของการโจมตียังอยู่ระหว่างการตรวจสอบ

สำหรับธุรกิจ Property Management ความเสี่ยงนี้มีความซับซ้อนเพิ่มขึ้น เพราะอาจไม่มีหน่วยงานใดมองเห็นภาพรวมของสิทธิการเข้าถึงทั้งหมด

ฝ่ายวิศวกรรมอาจทราบว่าผู้รับเหมารายใดดูแลระบบ BMS แต่ไม่ได้ตรวจสอบมาตรการ Cybersecurity ของบริษัทนั้น

ฝ่าย IT อาจดูแลเครือข่ายสำนักงาน แต่ไม่ได้รับผิดชอบระบบ OT ของอาคารโดยตรง

ขณะที่ผู้บริหารอาคารอาจมุ่งเน้นให้เครื่องจักรทำงานได้ตามปกติ โดยไม่ทราบว่ามีบัญชีผู้ใช้งานจากภายนอกที่ยังเปิดอยู่

นี่คือตัวอย่างของความเสี่ยงที่เกิดจากช่องว่างระหว่างความรับผิดชอบของแต่ละฝ่าย

การแก้ไขจึงต้องเริ่มจากการกำหนด Governance ที่ชัดเจน

ใครเป็นผู้อนุมัติ Remote Access? ใครตรวจสอบสิทธิของผู้รับเหมา? ใครยกเลิกสิทธิเมื่อสิ้นสุดสัญญา? และใครมีอำนาจระงับการเชื่อมต่อเมื่อพบเหตุผิดปกติ?

สัญญาจ้างผู้ดูแลระบบ BMS ในอนาคตควรมีข้อกำหนดด้าน Cybersecurity เช่น การใช้ Multi-Factor Authentication การบันทึกกิจกรรม Remote Access การแจ้งเหตุผิดปกติ และการแก้ไขช่องโหว่ภายในระยะเวลาที่เหมาะสม

ความปลอดภัยของอาคารไม่สามารถพิจารณาเฉพาะระบบที่เจ้าของอาคารเป็นผู้ดูแลโดยตรง แต่ต้องครอบคลุมทุกองค์กรที่มีสิทธิเข้าถึงระบบสำคัญด้วย

5. From Cybersecurity to Cyber Resilience: ป้องกันอย่างเดียวไม่พอ ต้องพร้อมรับมือเมื่อระบบล้มเหลว

องค์กรจำนวนมากลงทุนด้าน Cybersecurity โดยให้ความสำคัญกับการป้องกันไม่ให้ผู้โจมตีเข้าสู่ระบบ

การใช้ Firewall, Network Segmentation, Multi-Factor Authentication และการปรับปรุง Software เป็นมาตรการพื้นฐานที่จำเป็น

แต่ไม่มีมาตรการใดสามารถรับประกันได้ว่าจะป้องกัน Cyberattack ได้ทั้งหมด

คำถามที่ผู้บริหารอาคารควรให้ความสำคัญจึงไม่ใช่เพียงว่าจะป้องกันการโจมตีได้อย่างไร

แต่ต้องถามด้วยว่า

หากวันหนึ่ง Building Management System ถูกโจมตีจนไม่สามารถใช้งานได้ อาคารของเราจะยังสามารถให้บริการอย่างปลอดภัยต่อไปได้หรือไม่?

แนวคิดนี้เรียกว่า Cyber Resilience หรือความสามารถขององค์กรในการรับมือ ปรับตัว และฟื้นตัวจากเหตุการณ์ทางไซเบอร์

ลองนึกถึงอาคารที่มีระบบควบคุม Chiller Plant ผ่าน BMS ส่วนกลาง

หาก Server ไม่สามารถใช้งานได้ ทีมวิศวกรรมยังสามารถควบคุมเครื่องจักรผ่าน Local Controller ได้หรือไม่?

หากระบบแสดง Alarm ส่วนกลางหยุดทำงาน ยังมีวิธีใดในการตรวจสอบสถานะของอุปกรณ์สำคัญ?

หากระบบฐานข้อมูลของ BMS ถูกเข้ารหัสโดย Ransomware บริษัทสามารถกู้คืน Database และ Controller Configuration จากข้อมูลสำรองได้รวดเร็วเพียงใด?

คำถามเหล่านี้เป็นเรื่องของความพร้อมในการปฏิบัติงาน มากกว่าจะเป็นเรื่องเทคโนโลยีเพียงอย่างเดียว

สำหรับระบบวิศวกรรมที่สำคัญ ควรกำหนด Recovery Time Objective หรือ RTO ซึ่งหมายถึงระยะเวลาสูงสุดที่ยอมรับได้ก่อนต้องกู้คืนระบบให้พร้อมใช้งาน

รวมถึง Recovery Point Objective หรือ RPO ที่กำหนดว่าการสูญเสียข้อมูลย้อนหลังมากที่สุดที่ยอมรับได้คือเท่าใด

ทั้งสองเรื่องต้องพิจารณาจากผลกระทบทางธุรกิจและความปลอดภัย ไม่ใช่กำหนดตัวเลขโดยฝ่าย IT เพียงฝ่ายเดียว

อีกเรื่องที่มีความสำคัญคือการฝึกซ้อม

อาคารส่วนใหญ่มีการซ้อมอพยพหนีไฟเป็นประจำ แต่มีอาคารมากน้อยเพียงใดที่เคยซ้อมสถานการณ์เมื่อ BMS ถูก Ransomware โจมตี หรือไม่สามารถใช้งานระบบควบคุมส่วนกลางได้?

• ทีมวิศวกรรมรู้หรือไม่ว่าควรดำเนินการอย่างไร?

• Property Manager รู้หรือไม่ว่าต้องแจ้งผู้เช่าเมื่อใด?

• ใครเป็นผู้ตัดสินใจว่าจะปิดระบบบางส่วนหรือหยุดให้บริการพื้นที่?

การฝึกซ้อมในรูปแบบ Tabletop Exercise สามารถช่วยให้แต่ละฝ่ายเข้าใจบทบาทและค้นพบช่องว่างของแผนรับมือ โดยไม่จำเป็นต้องรบกวนการทำงานจริงของอาคาร

สำหรับการทดสอบระบบจริง ต้องจัดทำแผนและได้รับอนุมัติจากผู้เกี่ยวข้อง เพื่อไม่ให้การทดสอบสร้างความเสี่ยงต่อเครื่องจักรหรือผู้ใช้อาคาร

Cyber Resilience ไม่ได้หมายความว่าระบบของเราจะไม่มีวันถูกโจมตี แต่หมายถึงความสามารถในการรักษาความปลอดภัย ลดความเสียหาย และกลับมาให้บริการได้อย่างมีประสิทธิภาพเมื่อเกิดเหตุการณ์ขึ้น

6. A 90-Day Agenda for Building Owners: เจ้าของอาคารควรเริ่มต้นอย่างไร

สำหรับอาคารที่ยังไม่มี OT Cybersecurity Program อย่างเป็นระบบ การเริ่มต้นไม่จำเป็นต้องลงทุนซื้อเทคโนโลยีราคาแพงทันที

สิ่งสำคัญกว่าคือการเข้าใจความเสี่ยงที่มีอยู่จริง

30 วันแรกควรเริ่มจากการทำความรู้จักระบบของตนเอง

ทีมบริหารอาคารควรจัดทำ OT Asset Inventory เพื่อให้ทราบว่าอาคารมีอุปกรณ์และระบบควบคุมประเภทใดบ้าง เชื่อมต่อกันอย่างไร และใครมีสิทธิในการเข้าถึง

ควรตรวจสอบ Remote Access ของผู้รับเหมา รหัสผ่านที่ใช้งาน บัญชีผู้ใช้งานที่ไม่จำเป็น และระบบที่อาจเปิดให้เข้าถึงจากอินเทอร์เน็ตโดยตรง

สำหรับความเสี่ยงร้ายแรงที่ตรวจพบ ควรดำเนินการแก้ไขทันทีอย่างปลอดภัย โดยไม่จำเป็นต้องรอให้ครบระยะเวลา 30 วัน

ช่วงวันที่ 31–60 ควรมุ่งเน้นการปรับปรุงมาตรการป้องกัน

เช่น การแยกเครือข่าย IT และ OT การควบคุม Remote Access การใช้ Multi-Factor Authentication และการปรับปรุงระบบที่มีช่องโหว่ตามแผนที่ผ่านการประเมินผลกระทบแล้ว

อีกเรื่องที่ต้องให้ความสำคัญคือการสำรองข้อมูลระบบควบคุมอาคาร

BMS Database และ Controller Configuration ควรมีข้อมูลสำรองที่ปลอดภัย และต้องสามารถนำกลับมาใช้งานได้จริงเมื่อเกิดเหตุการณ์

ช่วงวันที่ 61–90 ควรมุ่งเน้นการเตรียมความพร้อมในการรับมือและฟื้นตัว

เริ่มจากการจัดทำ Cyber Incident Response Plan ที่เชื่อมโยงกับ Emergency Response Plan ของอาคาร

จากนั้นจึงฝึกซ้อมสถานการณ์สมมติร่วมกันระหว่าง Property Manager, Chief Engineer, IT Security, BMS Vendor และตัวแทนเจ้าของอาคาร

ผลลัพธ์ที่ต้องการจาก 90 วันแรกไม่ใช่รายงานจำนวนหลายร้อยหน้า แต่ควรเป็นความเข้าใจร่วมกันว่าอาคารมีความเสี่ยงอะไร ใครต้องรับผิดชอบ และมีแผนลดความเสี่ยงอย่างไร

หลังจากนั้นจึงพัฒนาเป็นแผนการบริหาร Cybersecurity ระยะยาว โดยจัดลำดับการลงทุนตามความสำคัญของระบบและผลกระทบที่อาจเกิดขึ้น

7. The New Performance Standard for Property Management: มาตรฐานใหม่ของการบริหารอาคารไม่ได้วัดเพียงประสิทธิภาพ

ที่ผ่านมา ผู้บริหารอาคารมักได้รับการประเมินผลผ่านตัวชี้วัดที่คุ้นเคย เช่น Equipment Availability, Preventive Maintenance Compliance, Energy Efficiency, Tenant Satisfaction และ Cost Management

ตัวชี้วัดเหล่านี้ยังคงมีความสำคัญ

แต่ในยุคที่อาคารพึ่งพาเทคโนโลยีดิจิทัลมากขึ้น ความสามารถในการป้องกันและรับมือกับภัยคุกคามทางไซเบอร์ควรได้รับการพิจารณาเป็นส่วนหนึ่งของ Service Performance ด้วย

ตัวอย่างเช่น อาคารมีการตรวจสอบสิทธิ Remote Access ครบถ้วนหรือไม่? มีการประเมินความเสี่ยงของระบบ OT อย่างสม่ำเสมอหรือไม่? มีการทดสอบ Backup และ Recovery หรือไม่? และทีมงานเคยฝึกซ้อมรับมือเหตุการณ์ Cyberattack หรือยัง?

อย่างไรก็ตาม การกำหนด KPI ไม่ควรหยุดอยู่ที่การนับจำนวนกิจกรรม

การมี Backup ไม่ได้แปลว่าสามารถกู้คืนระบบได้

การมี Incident Response Plan ไม่ได้แปลว่าทีมงานสามารถรับมือเหตุการณ์จริงได้

และการผ่าน Cybersecurity Assessment ก็ไม่ได้รับประกันว่าระบบจะปลอดภัยตลอดไป

สิ่งที่ผู้บริหารควรให้ความสำคัญคือความสามารถที่พิสูจน์ได้จริงในการลดความเสี่ยง ตรวจพบความผิดปกติ รักษาความปลอดภัย และกู้คืนระบบ

นี่คือการเปลี่ยนจากการวัด Compliance ไปสู่การวัด Resilience

สำหรับบริษัท Property Management การเปลี่ยนแปลงนี้ยังสร้างโอกาสในการยกระดับบทบาทจากผู้ให้บริการดูแลอาคาร ไปสู่การเป็นที่ปรึกษาด้าน Operational Risk และ Asset Resilience

บริษัทบริหารอาคารไม่จำเป็นต้องพัฒนาตนเองเป็นบริษัท Cybersecurity แต่ต้องมีความสามารถในการทำงานร่วมกับผู้เชี่ยวชาญด้าน IT และ OT เพื่อเชื่อมโยงความเสี่ยงทางเทคนิคเข้ากับผลกระทบต่อธุรกิจของลูกค้า

ผู้บริหารอาคารที่ดีจึงไม่ควรสนใจเพียงว่าเครื่องจักรวันนี้ทำงานได้ตามปกติหรือไม่ แต่ต้องมองไปข้างหน้าว่ามีความเสี่ยงใดที่อาจทำให้เครื่องจักรเหล่านั้นไม่สามารถทำงานได้ในวันพรุ่งนี้

คุณค่าของ Property Management ในอนาคตจะไม่ได้อยู่ที่ความสามารถในการแก้ไขปัญหาหลังเกิดเหตุเพียงอย่างเดียว แต่รวมถึงความสามารถในการมองเห็นและจัดการความเสี่ยงก่อนที่ปัญหาจะส่งผลกระทบต่ออาคารและผู้ใช้งาน

8. Smart. Secure. Resilient.: นิยามใหม่ของอาคารที่ดีในอนาคต

ตลอดหลายทศวรรษที่ผ่านมา อุตสาหกรรมอสังหาริมทรัพย์ให้ความสำคัญกับการพัฒนาอาคารให้มีประสิทธิภาพมากขึ้น

เราเริ่มจากการออกแบบอาคารให้ใช้พลังงานอย่างคุ้มค่า พัฒนาไปสู่ Green Building และต่อยอดด้วย Smart Building Technology

ปัจจุบันเรากำลังนำ AI, IoT, Cloud Computing และ Data Analytics เข้ามาช่วยเพิ่มประสิทธิภาพของระบบวิศวกรรมและการให้บริการ

ทั้งหมดนี้เป็นทิศทางที่มีประโยชน์และควรได้รับการพัฒนาต่อไป

แต่เหตุการณ์ Binance ทำให้เห็นว่า แม้องค์กรจะมีเทคโนโลยีที่ทันสมัยและมีทรัพยากรด้านความปลอดภัยจำนวนมาก ก็ยังอาจถูกโจมตีได้

สำหรับอุตสาหกรรมอสังหาริมทรัพย์ บทเรียนสำคัญจึงไม่ใช่การหลีกเลี่ยงเทคโนโลยี แต่เป็นการพัฒนาเทคโนโลยีควบคู่กับการบริหารความเสี่ยงอย่างเหมาะสม

อาคารที่ดีในอนาคตควรมีคุณสมบัติสำคัญสามประการ

Smart — สามารถใช้เทคโนโลยีและข้อมูลเพิ่มประสิทธิภาพการดำเนินงาน สร้างความสะดวกสบาย และลดต้นทุนตลอดอายุการใช้งานของอาคาร

Secure — มีการออกแบบระบบและมาตรการบริหารจัดการที่ช่วยป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต และลดความเสี่ยงจากภัยคุกคามทางไซเบอร์

Resilient — สามารถรักษาความปลอดภัยและการให้บริการที่จำเป็น รวมทั้งฟื้นฟูระบบให้กลับมาทำงานได้เมื่อเกิดเหตุการณ์ไม่คาดคิด

ทั้งสามคุณสมบัติต้องได้รับการพัฒนาควบคู่กัน

เพราะ Smart Building ที่ขาด Cybersecurity อาจสร้างความเสี่ยงใหม่ขึ้นมาพร้อมกับประสิทธิภาพที่เพิ่มขึ้น

และอาคารที่มีมาตรการ Cybersecurity ดีเพียงใด หากไม่สามารถรักษาการให้บริการเมื่อระบบล้มเหลว ก็ยังไม่อาจเรียกได้ว่ามีความพร้อมอย่างแท้จริง

สุดท้ายแล้ว เจ้าของอาคารควรตั้งคำถามกับทีมบริหารอาคารว่า

หากพรุ่งนี้ Building Management System ของเราถูกโจมตีจนไม่สามารถใช้งานได้ เราจะยังสามารถรักษาความปลอดภัยของผู้ใช้อาคาร และให้บริการที่จำเป็นต่อไปได้หรือไม่?

หากยังไม่มีคำตอบที่ชัดเจน ก็ถึงเวลาที่ควรเริ่มต้นประเมินความพร้อมของอาคารอย่างจริงจัง

เพราะความสำเร็จของการบริหารอาคารในยุคดิจิทัล ไม่ได้วัดจากความทันสมัยของเทคโนโลยีที่ติดตั้งไว้เท่านั้น

แต่ต้องวัดจากความสามารถในการทำให้อาคารยังคงปลอดภัย เชื่อถือได้ และดำเนินงานต่อเนื่อง แม้ในวันที่เทคโนโลยีไม่ได้ทำงานอย่างที่เราคาดหวัง