blog.ckdoctor.comทบทวนเนื้อหา 16 ตุลาคม 2569
เมื่อเกิดคำถามว่าใครเปิดเวชระเบียนหรือส่งข้อมูลออกไป โรงพยาบาลต้องมีทั้งคนที่ประเมินหน้าที่ด้านข้อมูล คนที่สืบหาข้อเท็จจริง และคนที่ตัดสินใจแก้ไข การแบ่งบทบาทให้ชัดช่วยให้ตรวจสอบได้โดยไม่ให้คนคนเดียวกำหนดสิทธิ์ อนุมัติ และตรวจงานของตนเองทั้งหมด
DPO กับผู้ดูแลความปลอดภัยมีหน้าที่ต่างกัน
มาตรา 42 ของ PDPA กำหนดบทบาท DPO ด้านให้คำแนะนำ ตรวจสอบการปฏิบัติ และประสานงาน ส่วนการบริหารระบบและการตัดสินใจด้านการประมวลผลต้องกำหนดเจ้าของงานให้ชัด อ่านตัวบท PDPA
ตารางต่อไปนี้เป็นข้อเสนอในการแบ่งงานภายในองค์กร ต้องปรับตามโครงสร้างและตรวจความขัดแย้งทางผลประโยชน์ โดยไม่กำหนดให้ DPO เป็นผู้อนุมัติสิทธิ์หรือผู้ดูแลระบบทุกอย่างโดยอัตโนมัติ
| บทบาท | งานหลักที่เสนอ | หลักฐานที่ควรมี |
|---|---|---|
| เจ้าของกระบวนการ / ผู้บริหารที่ได้รับมอบหมาย | กำหนดความจำเป็นและอนุมัติสิทธิ์ตามนโยบาย | รายการอนุมัติ ขอบเขต และวันสิ้นสุด |
| IT / Security Officer | ตั้งค่ามาตรการ เฝ้าระวัง และรับมือเหตุ | ผลทดสอบ การเปลี่ยนแปลง และบันทึกเหตุ |
| DPO | ให้คำแนะนำ ติดตามการปฏิบัติ และประสานเรื่องข้อมูลส่วนบุคคล | ความเห็น ข้อเสนอ และการติดตามแก้ไข |
| ผู้ตรวจสอบที่ได้รับมอบหมาย | ทบทวนหลักฐานตามขอบเขตและความเป็นอิสระ | แผนตรวจ ข้อค้นพบ และผลติดตาม |
ชุดข้อมูลที่ต้องมีเพื่อให้ตรวจสอบได้
- ทะเบียนกิจกรรมและข้อมูลที่แต่ละฝ่ายรับผิดชอบ
- รายการบทบาท สิทธิ์ ผู้อนุมัติ และผลทบทวน
- Audit Log การอ่าน แก้ไข ส่งออก และเปลี่ยนสิทธิ์
- รายการระบบภายนอก ผู้ให้บริการ และการส่งข้อมูล
- ประวัติข้อร้องเรียน เหตุผิดปกติ และมาตรการแก้ไข
ผู้ตรวจสอบควรได้รับข้อมูลเท่าที่จำเป็น พร้อมบันทึกการเปิดดูหรือส่งออกหลักฐานเองด้วย เริ่มจากรหัสเหตุการณ์และ Metadata แล้วจึงเปิดรายละเอียดผู้ป่วยเมื่อมีความจำเป็นและสิทธิ์รองรับ
ตัวอย่างสมมติ: พบการเปิดเวชระเบียนจำนวนมาก
เริ่มจากยืนยันว่า Log ครบและเวลาสอดคล้องกัน ตรวจบัญชี บทบาท ความสัมพันธ์กับผู้ป่วย และงานที่ได้รับมอบหมาย จากนั้นประสานเจ้าของกระบวนการเพื่ออธิบายบริบท ก่อนประเมินว่ามีการใช้ข้อมูลเกินสิทธิ์หรือไม่
สัญญาณผิดปกติเป็นจุดเริ่มต้นการตรวจ ไม่ใช่ข้อสรุปว่าผู้ใช้กระทำผิด กำหนดผู้รักษาหลักฐาน ผู้ประเมินผลกระทบ และผู้อนุมัติมาตรการตอบสนองให้ชัด แนวทางควบคุมและตรวจสอบอ้างอิงได้จาก NIST SP 800-53
เครื่องมือควรเลือกจากคำถามที่ต้องตอบ
แทนการเริ่มจากรายชื่อผลิตภัณฑ์ ให้ทดลองค้นเหตุการณ์จากผู้ใช้หนึ่งคนและเวชระเบียนตัวอย่างหนึ่งราย ต่อประวัติข้ามระบบ และส่งออกเฉพาะหลักฐานที่ได้รับอนุญาต ทดสอบกรณีข้อมูลไม่ครบหรือผู้ใช้เปลี่ยนบทบาทด้วย
- ค้นหาและเชื่อมเหตุการณ์ได้โดยใช้รหัสอ้างอิง
- แยกผู้ดูแล ผู้ตรวจ และผู้อนุมัติการส่งออก
- มีการแจ้งเตือนพร้อมผู้รับผิดชอบและขั้นตอนติดตาม
- เก็บหลักฐานการแก้ไขนโยบาย สิทธิ์ และตัวระบบ Log เอง
Checklist ก่อนเปิดกระบวนการตรวจสอบ
- ระบุหน้าที่และอำนาจตัดสินใจของแต่ละบทบาทเป็นลายลักษณ์อักษร
- ตรวจความขัดแย้งทางผลประโยชน์ของผู้ให้คำแนะนำและผู้ตรวจ
- กำหนดสิทธิ์เปิดหลักฐานและช่องทางประสานฝ่ายคลินิก
- มีกรณีทดสอบค้นเหตุการณ์และตรวจความครบถ้วนของ Log
- มีช่องทางรับเหตุและผู้มีอำนาจพิจารณาการแจ้งตามกฎหมาย
- ติดตามข้อค้นพบจนแก้ไขเสร็จและเก็บหลักฐานผลตรวจซ้ำ
