ความปลอดภัยและข้อมูลสุขภาพ

Security Design สำหรับ HIS: คุมการเข้าถึงข้อมูลโดยให้โรงพยาบาลทำงานได้ต่อเนื่อง

ทบทวนเนื้อหา 16 ตุลาคม 2569

ระบบ HIS ต้องคุ้มครองข้อมูลสุขภาพพร้อมรองรับการทำงานตลอดวันและเหตุฉุกเฉิน การออกแบบที่เหมาะจึงเริ่มจากบทบาทผู้ใช้ ความสัมพันธ์กับการดูแลผู้ป่วย และผลกระทบเมื่อบริการหยุด แล้วเลือกมาตรการที่ตรวจสอบได้และไม่ผลักให้เจ้าหน้าที่หาวิธีเลี่ยงระบบ

ยืนยันบุคคลและประเมินบริบทของการเข้าถึง

ใช้บัญชีรายบุคคล ควบคุมบัญชีสิทธิ์สูง และทบทวนสิทธิ์เมื่อย้ายงานหรือพ้นหน้าที่ การอยู่ในเครือข่ายภายในไม่ควรถูกใช้เป็นเหตุผลเดียวในการไว้วางใจ แนวคิดนี้สอดคล้องกับ Zero Trust Architecture ของ NIST

กำหนดการยืนยันเพิ่มตามความเสี่ยง เช่น เปลี่ยนอุปกรณ์ ส่งออกจำนวนมาก หรือแก้สิทธิ์ พร้อมทดสอบกับสถานการณ์ทำงานจริง ข้อมูล Device Fingerprint เป็นสัญญาณประกอบ ไม่ควรเป็นหลักฐานยืนยันตัวบุคคลเพียงอย่างเดียว

สิทธิ์ควรผูกกับงานและการดูแลผู้ป่วย

บทบาทช่วยกำหนดสิทธิ์พื้นฐาน แต่การอยู่แผนกเดียวกันไม่ได้แปลว่าต้องเห็นทุกข้อมูล และการอยู่ต่างแผนกก็อาจจำเป็นต่อการปรึกษาหรือส่งต่อ ควรคุมขอบเขตตามหน้าที่ ความสัมพันธ์การรักษา และวัตถุประสงค์

  • แยกสิทธิ์อ่าน แก้ไข รับรอง และส่งออก
  • กำหนดอายุสิทธิ์ชั่วคราวและให้ผู้รับผิดชอบทบทวน
  • ออกแบบการเข้าถึงฉุกเฉินพร้อมเหตุผล ขอบเขต และการตรวจภายหลัง
  • ทดสอบการปฏิเสธสิทธิ์ที่ฝั่งระบบ ไม่พึ่งการซ่อนปุ่มเพียงอย่างเดียว

แยก Audit Log ออกจากข้อมูลเพื่อวิเคราะห์ปัญหาระบบ

Audit Log ต้องมีบริบทพอตรวจการใช้งาน ส่วน System Log ควรมีข้อมูลสำหรับวิเคราะห์ปัญหาโดยลดข้อมูลผู้ป่วยและไม่บันทึกรหัสผ่านหรือ Token ใช้รหัสอ้างอิงเหตุการณ์เชื่อมข้อมูลเมื่อจำเป็น คุมการเข้าถึงและอายุการเก็บแยกกัน แนวทาง OWASP

การมี Hash หรือพื้นที่เก็บที่ตั้งค่าแก้ไขยากต้องประกอบกับการแยกสิทธิ์และการตรวจสอบ ไม่ควรรับประกันว่าหลักฐานแก้ไขไม่ได้จากชื่อเครื่องมือ ส่วนการ Debug ข้อมูลจริงต้องผ่านสิทธิ์และขั้นตอนอนุมัติ ไม่แนะนำให้เปิดฐานข้อมูลผู้ป่วยโดยตรงเป็นวิธีปกติ อ่านต่อ Audit Log ของ HIS

ป้องกันข้อมูลพร้อมเตรียมวันกู้คืน

เลือกการเข้ารหัสและการจัดการกุญแจตามความเสี่ยง คุมการส่งออกและช่องทางส่งข้อมูล แยกสำเนาสำรองจากสิทธิ์ผู้ดูแลระบบใช้งาน แล้วซ้อมกู้คืนข้อมูลและการเชื่อมต่อจริง

กำหนดอายุข้อมูลตามประเภทและวัตถุประสงค์ ไม่ใช้จำนวนปีเดียวกับ Log ทุกชนิด และต้องมีผู้รับเหตุเมื่อเก็บหลักฐานไม่สำเร็จ แนวทางจัดกลุ่มมาตรการตรวจสอบสิทธิ์ Audit และความต่อเนื่องดูได้จาก NIST SP 800-53

Checklist ที่ทดสอบร่วมกับหน้างานได้

  • ลองบัญชีที่ไม่มีสิทธิ์กับ API และเอกสารแนบ
  • ทดสอบล็อกหน้าจอ การสลับผู้ใช้ และการหมดอายุ Session บนเครื่องใช้ร่วมกัน
  • ทดสอบการเข้าถึงฉุกเฉินโดยไม่ใช้บัญชีร่วม
  • ส่งออกข้อมูลตัวอย่างแล้วตรวจสิทธิ์ ขอบเขต และหลักฐานที่เกิดขึ้น
  • จำลองระบบบันทึก Log หรือระบบยืนยันตัวตนขัดข้องและตรวจแผนทำงานต่อ
  • ซ้อมรับเหตุและกู้คืน พร้อมบันทึกช่องว่างที่ต้องแก้และผู้รับผิดชอบ

แหล่งอ้างอิงและแนวทางอ่านต่อ

Published by

CK Doctor

บทความจาก CK Doctor ว่าด้วยระบบสารสนเทศโรงพยาบาล กระบวนการทำงาน การเชื่อมต่อข้อมูล และการดูแลระบบสำหรับทีม IT และบุคลากรโรงพยาบาล