PDPA กับความปลอดภัยของ HIS: แปลงนโยบายให้เป็นมาตรการที่ตรวจสอบได้

ทบทวนเนื้อหา 16 ตุลาคม 2569

โรงพยาบาลต้องทำให้การใช้ข้อมูลตรงกับวัตถุประสงค์ คุมการเข้าถึง และรับมือเหตุผิดปกติได้ บทความนี้เน้นวิธีแปลงนโยบายเป็นงานของทีม IT และหลักฐานตรวจรับ ส่วนบทบาทผู้รับผิดชอบและทะเบียนข้อกฎหมายอ่านต่อได้ในบทความที่เชื่อมไว้ท้ายเรื่อง

รู้ก่อนว่ากำลังปกป้องข้อมูลและกระบวนการใด

เริ่มจากแผนที่ข้อมูล ตั้งแต่หน้าจอบันทึก ฐานข้อมูล เอกสารแนบ ไปจนถึงรายงานและระบบภายนอก ระบุเจ้าของกระบวนการ วัตถุประสงค์ ผู้ใช้ และระยะเวลาที่จำเป็น ทำให้ครอบคลุมสำเนาทดสอบและไฟล์ที่เจ้าหน้าที่ดาวน์โหลดด้วย

ให้สิทธิ์เท่าที่งานจำเป็นต้องใช้

ออกแบบสิทธิ์จากหน้าที่และความสัมพันธ์กับการดูแลผู้ป่วย ใช้บัญชีรายบุคคลและทบทวนเมื่อเปลี่ยนงาน ทดสอบการปฏิเสธสิทธิ์ที่ฝั่งระบบ รวมถึงการเข้าถึงเอกสารแนบและการส่งออก

เลือกการยืนยันตัวตนเพิ่มให้เหมาะกับความเสี่ยง พร้อมออกแบบการเข้าถึงฉุกเฉินและการตรวจภายหลัง การมีชื่อมาตรการหรือเครื่องมืออย่างเดียวไม่ยืนยันว่าทำงานถูกต้องในทุกเส้นทาง กรอบ Zero Trust ของ NIST

คุมการส่งข้อมูล กุญแจ และสำเนาสำรอง

• ใช้ช่องทางรับส่งที่ป้องกันการดักอ่านและตรวจตัวตนปลายทางตามความเสี่ยง
• กำหนดวิธีเข้ารหัสและผู้เข้าถึงกุญแจ แยกสิทธิ์จากผู้ที่อ่านข้อมูลได้
• ลดข้อมูลในรายงานและ Log ให้ตรงความจำเป็น ไม่บันทึกรหัสผ่านหรือ Token
• จำกัดผู้ส่งออก ผู้รับไฟล์ และอายุลิงก์ดาวน์โหลด
• แยกสำเนาสำรองและทดสอบการกู้คืนพร้อมตรวจสิทธิ์หลังฟื้นระบบ

รายการนี้เป็นข้อเสนอด้านการออกแบบ ต้องเลือกระดับมาตรการจากความเสี่ยงและตรวจผลจริง ดูกลุ่มมาตรการเพิ่มเติมใน NIST SP 800-53

รับคำร้องและเหตุละเมิดด้วยกระบวนการที่มีเจ้าของ

สิทธิขอลบข้อมูลมีเงื่อนไขและข้อยกเว้น จึงไม่ควรลบเวชระเบียนโดยอัตโนมัติเมื่อมีคำร้อง ส่วนเหตุละเมิดต้องประเมินความเสี่ยงและหน้าที่แจ้งตามกฎหมาย ให้มีผู้รับผิดชอบตรวจเรื่องเหล่านี้ตาม PDPA มาตรา 33 และ 37

ในทางปฏิบัติ ให้ทำแบบรับเรื่อง รหัสติดตาม ผู้ตรวจตัวตน ผู้พิจารณา และหลักฐานตอบกลับ สำหรับเหตุผิดปกติให้แยกการรักษาหลักฐาน การจำกัดผลกระทบ และการคืนบริการ พร้อมซ้อมการประสานฝ่ายคลินิกและผู้ให้บริการ

Checklist ตรวจรับมาตรการด้านข้อมูล

แหล่งอ้างอิงและแนวทางอ่านต่อ

• PDPA พ.ศ. 2562: ตัวบทกฎหมาย
• NIST SP 800-207: Zero Trust
• NIST SP 800-53: Security and Privacy Controls

อ่านเรื่องที่เกี่ยวข้อง

• กฎหมายกับระบบ HIS: แยกข้อกำหนด นโยบายข้อมูล และหลักฐานที่ต้องเตรียม
• DPO กับ Security Officer ในโรงพยาบาล: แบ่งหน้าที่และใช้หลักฐานจาก HIS อย่างไร
• Security Design สำหรับ HIS: คุมการเข้าถึงข้อมูลโดยให้โรงพยาบาลทำงานได้ต่อเนื่อง
• Audit Log ของ HIS: ออกแบบให้ตอบได้ว่าใครเปลี่ยนอะไรและเพราะอะไร