มาตรฐานการจัดการความปลอดภัยของข้อมูลผู้ป่วย

มาตรฐานการจดั การความปลอดภยั ของข้อมลู ผูป้ ว่ ย พ.ศ. ๒๕๕๙ สำนกั นโยบายและยทุ ธศาสตร์ สำนกั งานปลดั กระทรวงสาธารณสขุ กระทรวงสาธารณสขุ

มาตรฐานการจัดการความปลอดภัยของขอมูลผปู วย พ.ศ. ๒๕๕๙ คณะผูจัดทาํ ทป่ี รกึ ษา พอกเพิ่มดี ผูอาํ นวยการสาํ นกั นโยบายและยทุ ธศาสตร นพ.พงศธร พรรณวดี นายแพทยชาํ นาญการ พญ.มานติ า บรรณาธิการ เปาอนิ ทร หัวหนาหนวยวจิ ัยเฉพาะทางรหสั มาตรฐานทางการ รศ.ดร.นพ.วรรษา แพทยและสขุ ภาพระบบสาธารณสุขไทย คณะแพทยศาสตร มหาวิทยาลยั ธรรมศาสตร ดร.นพ.นวนรรน ดร.มะลวิ ลั ย ธีระอมั พรพนั ธุ ภาควชิ าเวชศาสตรช ุมชน คณะแพทยศาสตรโ รงพยาบาลรามาธิบดี ยนื ยงสวุ รรณ สาํ นักนโยบายและยทุ ธศาสตร จดั ทาํ โดย สาํ นักนโยบายและยุทธศาสตร สํานักงานปลดั กระทรวงสาธารณสุข กระทรวงสาธารณสุข ISBN : 978-616-11-2841-8 พิมพค รง้ั ท่ี 1 : มนี าคม ๒๕๕๙ จํานวน : ๑,๐๐๐ เลม พิมพที่ : สํานกั กิจการโรงพิมพ องคก ารสงเคราะหทหารผา นศกึ ในพระบรมราชปู ถมั ภ



คํานํา มาตรฐานการจัดการความม่ันคงปลอดภัยของขอมูลผูปวย พ.ศ. 2559 ฉบับน้ีเรียบเรียงและจัดทํา ข้ึนมาสําหรับใหบุคลากรท่ีปฏิบัติงานในสถานพยาบาลไดใชเปนแนวทางปฏิบัติ ซ่ึงมีทั้งมาตรฐานการปองกัน ความลับผูปวย กฎหมายที่เก่ียวของ ความมั่นคงปลอดภัยสําหรับสถานพยาบาล แนวทางการปฏิบัติสําหรับ สถานพยาบาล และแนวทางปฏบิ ัติสําหรับเจาหนาที่ พรอมทั้งตวั อยางหนังสือขออนุญาตของผูปว ยใหใ ชข อมูล ของตนเอง เพื่อการตรวจรักษาโรค และสงขอมูลใหกับกระทรวงสาธารณสุข พรอมทั้งแนวทางปฏิบัติท่ัวไป สําหรับเจาหนาที่เวชระเบียน เจาหนาท่ฝี ายเทคโนโลยีสารสนเทศ และเจาหนา ท่ีทุกคนที่มีโอกาสเขาถึงขอมูล ผูปว ยของโรงพยาบาล สํานักนโยบายและยุทธศาสตร ขอขอบพระคุณ รศ.ดร.นพ.วรรษา เปาอินทร คณะแพทยศาสตร มหาวิทยาลัยธรรมศาสตร และดร.นพ.นวนรรน ธีระอัมพรพันธุ คณะแพทยศาสตรโ รงพยาบาลรามาธบิ ดี ท่ีให ความกรุณาเรียบเรียง และหวังเปนอยางย่ิงวาคูมือมาตรฐานการจัดการความปลอดภัยของขอมูลผูปวย พ.ศ. 2559 ฉบับนี้ จะมคี วามสําคญั และมปี ระโยชน สาํ หรับใชเ ปน แนวทางในการจัดการและปฏบิ ัติงานตอ ไป สาํ นกั นโยบายและยทุ ธศาสตร สาํ นกั งานปลดั กระทรวงสาธารณสุข มนี าคม 2559



สารบญั หนา เนอ้ื หา 1 มาตรฐานการปองกันความลบั ผูปว ย 1 หลกั การท่ัวไปและกฎหมายที่เกี่ยวของ 2 มาตรฐานความมั่นคงปลอดภัย (Security Standards) สําหรบั สถานพยาบาล 3 มาตรฐานการคมุ ครองขอมูลสวนบุคคล (Privacy Standards) สําหรบั สถานพยาบาล 5 แนวทางปฏบิ ัติสําหรบั สถานพยาบาล 6 แนวทางปฏิบัติสาํ หรบั โรงพยาบาลสง เสรมิ สขุ ภาพตาํ บล 7 8 แนวทางปฏิบตั ิทั่วไปสาํ หรับโรงพยาบาลสงเสรมิ สขุ ภาพตําบล แนวทางปฏบิ ตั ทิ ่ัวไปสาํ หรับเจา หนา ทท่ี กุ คนของโรงพยาบาลสงเสรมิ สุขภาพตําบล 9 แนวทางปฏบิ ัตทิ ั่วไปสาํ หรบั เจาหนาทเ่ี วชระเบียนและเจาหนา ทฝ่ี ายเทคโนโลยสี ารสนเทศ 10 ของโรงพยาบาลสงเสริมสุขภาพตาํ บล 7 แนวทางปฏิบัตสิ าํ หรบั โรงพยาบาล 11 แนวทางปฏิบัติทั่วไปสาํ หรับโรงพยาบาล ตวั อยา งหนังสอื อนุญาตของผูป วยใหใชข อมลู ของตนเพ่ือการตรวจรกั ษาโรคและสงขอมลู 13 ใหก ับกระทรวงสาธารณสุข 14 แนวทางปฏิบตั ทิ ว่ั ไปสําหรับเจาหนาท่ีทกุ คนท่ีมีโอกาสเขาถงึ ขอมูลผูปว ยของโรงพยาบาล แนวทางปฏบิ ตั ิท่วั ไปสําหรับเจา หนา ทเ่ี วชระเบียนและเจาหนาทฝ่ี ายเทคโนโลยีสารสนเทศ 16 ของโรงพยาบาล เอกสารอา งองิ ii

สารบญั (ตอ) หนา เนอ้ื หา 17 18 ภาคผนวก 31 ภาคผนวก 1 : มาตรฐานการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตาม “วิธีการ แบบปลอดภยั ” ตามประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เร่ือง มาตรฐานการรักษาความม่ันคงปลอดภัยของระบบสารสนเทศตามวิธีการ แบบปลอดภัย พ.ศ. 2555 ภาคผนวก 2 : แนวปฏบิ ัติในการรักษาความม่ันคงปลอดภัยดานสารสนเทศของกระทรวง สาธารณสขุ พ.ศ. 2556 iii

มาตรฐานการจดั การความมนั่ คงของขอ มลู ผปู วย สถานพยาบาลมกี ิจกรรมหลักในการใหก ารดแู ลรกั ษา สง เสริมสุขภาพ ปอ งกันโรคใหแกผูมารับบริการ กิจกรรมเหลา นตี้ องใชขอมูลผูปวยหรือผมู ารับบรกิ ารเพ่ือวินิจฉัยโรคและวางแผนการรักษา ขอมูลผูปวยจะถูก บันทึกเปนลายลักษณอักษรปรากฏอยูในเวชระเบียน เอกสารและฐานขอมูลของสถานพยาบาล เจาหนาท่ี สถานพยาบาลทกุ คน จะตองดําเนินการตอขอมูลผูปวยเหลานีด้ ว ยความระมัดระวัง โดยเฉพาะความลับผูปวย ตองระวังมิใหเกดิ ความละเมิดความเปนสวนตัว หรือเปด เผยความลับของผปู ว ยโดยเดด็ ขาด หลักการทว่ั ไปและกฎหมายทีเ่ กย่ี วขอ ง ในระบบสารสนเทศของสถานพยาบาลและหนวยงานตางๆ ในกระทรวงสาธารณสขุ มีการเกบ็ รักษา ขอมลู สว นบคุ คลดานสขุ ภาพของผปู ว ยอยเู ปนจาํ นวนมาก และหนวยงานสว นใหญมีการนาํ ระบบสารสนเทศ เหลานี้มาใชใ นการใหบ ริการทางการแพทยแกผูปว ยและประชาชนดวย หากมภี ัยคุกคามดานความม่นั คง ปลอดภยั เกดิ ขึ้นกับระบบสารสนเทศเหลานี้ กอ็ าจเกดิ อนั ตรายหรอื ผลเสียหายตอ การดแู ลรักษาผปู วยและ สภาพจิตใจของผปู วย ตลอดจนอาจสง ผลตอ ชื่อเสียงและศรัทธาท่ีผูรับบรกิ ารมีตอหนวยงานได การรกั ษาความ มน่ั คงปลอดภัยดานสารสนเทศ (information security) ของหนว ยงานจงึ มีความสาํ คญั เปน อยางมาก มาตรฐานฉบบั นเี้ ปนแนวทาง (guidelines) เบอื้ งตน สาํ หรับการกาํ หนดนโยบายและมาตรการท่ีเหมาะสม สําหรับสถานพยาบาลในสงั กัดกระทรวงสาธารณสุข มาตรฐานทเี่ ก่ียวของกับการรักษาความม่ันคงปลอดภยั ดานสารสนเทศของสถานพยาบาล อาจแบง ได เปน 2 ประเภทใหญๆ คือ มาตรฐานความม่นั คงปลอดภยั (security standards) และมาตรฐานการคมุ ครอง ขอ มลู สว นบคุ คล (privacy standards) ซง่ึ มงุ เนนเปา หมายท่ีแตกตางกัน แตมคี วามสมั พันธเชอื่ มโยงกนั 1. มาตรฐานความม่นั คงปลอดภัย (Security Standards) มาตรฐานน้ีมงุ เนนการธํารงรักษาระบบสารสนเทศ (information systems) และขอมลู สารสนเทศ (information) เพ่ือเปา หมายทีส่ าํ คัญ 3 ประการ คอื  การรักษาความลับของขอมูล (confidentiality) เพ่ือใหปลอดภยั จากการลวงรหู รอื เปดเผย โดยมิชอบโดยผูทไ่ี มเ กี่ยวขอ ง  การรกั ษาความถูกตองครบถว นของขอมูล (integrity) เพอื่ ไมใ หขอมูลถูกลบ เพิ่ม หรือแกไ ข โดยมิชอบโดยผทู ่ไี มเ ก่ยี วของ 1

 การรักษาความคงอยูของระบบสารสนเทศและขอมูลสารสนเทศ (availability) เพอ่ื ให สามารถใชการและเขาถงึ ไดเมือ่ มีความจําเปน 2. มาตรฐานการคมุ ครองขอมูลสวนบคุ คล (Privacy Standards) มาตรฐานนี้มงุ เนนการคมุ ครองขอมูลสวนบคุ คล โดยมนี โยบายและมาตรการตา งๆ เพอื่ จาํ กัดการ เขาถงึ และเพ่ือคุมครองไมใ หมีการเกบ็ ใช หรอื เปดเผยขอมูลสว นบคุ คลอยางไมเ หมาะสม และสง ผลกระทบ ตอ เจาของขอมลู มาตรฐานความมั่นคงปลอดภยั (Security Standards) สาํ หรับสถานพยาบาล พระราชบัญญตั ิวาดวยธุรกรรมทางอเิ ล็กทรอนิกส พ.ศ. 2544 (1) มาตรา 25 ไดกําหนดมาตรฐาน ความมน่ั คงปลอดภัยสาํ หรบั การทําธรุ กรรมทางอิเล็กทรอนิกสไ วว า ธุรกรรมทางอิเลก็ ทรอนิกสท ่ไี ดก ระทําตาม “วิธกี ารแบบปลอดภัย” ตามทีก่ าํ หนดในพระราชกฤษฎีกา ใหสนั นิษฐานวาเปนวธิ ีการท่ีเช่อื ถือได ซ่ึงหาก จาํ เปน จะตองมกี ารรบั ฟง ขอมูลอิเลก็ ทรอนกิ ส (เชน ขอ มูลในระบบเวชระเบียนอิเล็กทรอนกิ ส) เปน พยานหลกั ฐานในกระบวนการพิจารณาตามกฎหมาย หากทางสถานพยาบาลไดดาํ เนินการตามมาตรฐานความ ม่ันคงปลอดภยั ทกี่ ฎหมายเรยี กวา “วิธีการแบบปลอดภยั ” ตามมาตรา 25 กจ็ ะชวยใหขอ มูลอเิ ล็กทรอนกิ ส ดงั กลาวมคี วามนาเชือ่ ถือ และมนี ้ําหนกั ในการชง่ั นา้ํ หนักพยานหลกั ฐาน นอกจากน้ี มาตรา 35 ของกฎหมาย ดังกลาว กไ็ ดกาํ หนดหลักเกณฑและวธิ ีการในการดําเนนิ การเก่ียวกบั ธรุ กรรมทางอเิ ล็กทรอนิกสโ ดยหนว ยงาน ของรัฐ ใหเ ปน ไปตามท่กี ําหนดโดยพระราชกฤษฎกี า ดังน้ัน สถานพยาบาลของรัฐจงึ ควรถอื หลกั เกณฑแ ละ วธิ กี ารท่อี อกตามความในมาตรา 25 และมาตรา 35 นเ้ี ปนมาตรฐานขนั้ ตํ่าในการดาํ เนินงานที่เก่ียวของกับการ รกั ษาความม่ันคงปลอดภยั สารสนเทศ พระราชกฤษฎีกาวา ดว ยวิธีการแบบปลอดภยั ในการทําธุรกรรมทางอิเลก็ ทรอนิกส พ.ศ. 2553 (2) ซง่ึ ออกตามความในมาตรา 25 ของพระราชบญั ญตั วิ าดว ยธุรกรรมทางอเิ ล็กทรอนิกส พ.ศ. 2544 ไดก ําหนดใหใช “วิธกี ารแบบปลอดภัย” ในการทําธรุ กรรมทางอเิ ลก็ ทรอนกิ สซ ง่ึ มีผลกระทบตอความม่ันคงหรือความสงบ เรยี บรอ ยของประเทศ หรอื ตอ สาธารณชน และธุรกรรมทางอเิ ล็กทรอนิกสข องหนวยงานหรอื องคกรท่ีถือเปน โครงสรางพ้ืนฐานสําคัญของประเทศ (critical infrastructure) (เชน ระบบที่เก่ียวของกับความมน่ั คงของ ประเทศ ระบบทีเ่ ก่ยี วของกับเศรษฐกจิ ของประเทศ ระบบสาธารณูปโภค ระบบการคมนาคมและขนสง เปน ตน) โดยมมี าตรฐานวิธีการแบบปลอดภยั 3 ระดบั ไดแ ก ระดบั เครง ครัด ระดบั กลาง และระดับพืน้ ฐาน ซงึ่ ประกาศคณะกรรมการธุรกรรมทางอิเลก็ ทรอนกิ สท่อี อกตามความในพระราชกฤษฎีกาดังกลาว (3) ได กําหนดใหธ รุ กรรมทางอิเลก็ ทรอนิกสใ นการใหบ ริการดานสาธารณปู โภคและบริการสาธารณะท่ีตองดําเนนิ การ 2

อยา งตอเนื่องตลอดเวลา หรอื ธรุ กรรมทางอิเล็กทรอนิกสท่ผี ูใชบ รกิ ารหรือผูมีสว นไดเ สียอาจไดร ับผลกระทบตอ ชวี ติ ต้งั แตห น่งึ คน หรอื ไดร ับผลกระทบตอรา งกายหรืออนามัยเกินกวา 1,000 คน ตองใชว ธิ ีการแบบปลอดภยั ในระดับเครงครดั ซึ่งหากตคี วามตามประกาศดังกลาว สถานพยาบาลของรัฐ มีการใหบ รกิ ารทางการแพทยแ ก ผูปวยและประชาชน ยอมถือเปน บรกิ ารสาธารณะทต่ี องดาํ เนินการอยางตอ เน่ืองตลอดเวลา และหากมีการนํา ระบบสารสนเทศมาใชใ นการใหบริการทางการแพทย ก็ยอ มมกี ารทาํ ธรุ กรรมทางอิเล็กทรอนิกสท ี่อาจสงผล กระทบตอรางกาย อนามัย และชีวิตได (เชน ระบบสารสนเทศอาจถูกแกไขขอมลู ประวัตแิ พยาหรอื การสง่ั การ รักษาโดยมชิ อบ หรืออาจใชก ารไมไ ด เปนเหตใุ หก ารรักษาพยาบาลผูปว ยเกดิ อุปสรรค) สถานพยาบาลของรัฐ จึงเขา ขายหนว ยงานทต่ี องใชว ิธกี ารแบบปลอดภยั ในระดบั เครง ครัด ในป พ.ศ. 2556 กระทรวงสาธารณสุขไดจัดทํานโยบายและแนวปฏิบัติในการรักษาความม่ันคง ปลอดภัยดานสารสนเทศ (4) ตามความในมาตรา 5 และมาตรา 7 ของพระราชกฤษฎีกาวาดวยวิธีการแบบ ปลอดภัยในการทําธุรกรรมทางอิเล็กทรอนิกส ดวยความเห็นชอบของคณะกรรมการธุรกรรมทาง อิเล็กทรอนิกส และไดประกาศใชในหนวยงานทั้งหมดรวมท้ังสถานพยาบาลของกระทรวงสาธารณสุขตั้งแต วนั ท่ี 9 มกราคม พ.ศ. 2556 ซง่ึ ทกุ สถานพยาบาลในสังกัดกระทรวงสาธารณสุขจะตองปฏิบัติตามแนวปฏิบัติน้ี ในการรักษาความม่ันคงปลอดภยั ของของขอมูลผปู ว ย นอกจากนี้ ในฐานะหนวยงานของรัฐ สถานพยาบาลของรัฐพึงปฏบิ ตั ติ ามประกาศคณะกรรมการ ธุรกรรมทางอเิ ล็กทรอนกิ ส เรอ่ื ง แนวนโยบายและแนวปฏิบัติในการรักษาความมัน่ คงปลอดภัยดา นสารสนเทศ ของหนวยงานของรัฐ พ.ศ. 2553 และทแี่ กไขเพิ่มเตมิ (5) ซง่ึ ออกตามความในพระราชกฤษฎีกา (6) ที่อาศยั อาํ นาจตามมาตรา 35 ของพระราชบัญญัตวิ า ดว ยธุรกรรมทางอิเลก็ ทรอนิกส พ.ศ. 2544 ดว ย ซึ่งเน้อื หามี ความสอดคลองกบั มาตรฐานตาม “วิธกี ารแบบปลอดภัย” ขา งตน แตมีรายละเอียดทเ่ี ปนขอกําหนดตา งๆ นอ ย กวา มาตรฐานการคมุ ครองขอ มลู สวนบุคคล (Privacy Standards) สําหรบั สถานพยาบาล สาํ หรบั การคมุ ครองขอมลู สวนบคุ คล (privacy) สาํ หรับสถานพยาบาลนนั้ ขอมูลสวนบคุ คลท่ี เกี่ยวขอ ง ประกอบดวยขอมูล 2 ประเภท คือ 1. ขอมูลสว นบุคคลของบุคลากรรวมทั้งนกั ศกึ ษาหรือผูเ ขา รบั การฝกอบรม (กรณีมีการเรยี นการสอนหรือการฝก อบรม) ซง่ึ สําหรับสถานพยาบาลของรฐั มหี ลกั เกณฑการ คุม ครองขอมลู ดังกลา วไวในพระราชบญั ญตั ขิ อมูลขาวสารของราชการ พ.ศ. 2550 (7) และ 2. ขอมูลสว น บุคคลของผปู ว ยหรอื ผูรบั บริการ 3

สาํ หรับขอมูลสว นบุคคลดานสขุ ภาพของผูปวย มีประมวลกฎหมายอาญา (8) มาตรา 323 พระราชบัญญตั สิ ขุ ภาพแหงชาติ พ.ศ. 2550 (9) มาตรา 7 และคําประกาศสิทธแิ ละขอพึงปฏิบัติของผูป วย (10) ตลอดจนขอ บังคับของสภาวชิ าชีพตา งๆ วา ดวยการรักษาจรยิ ธรรมแหง วชิ าชพี ใหความคุมครองไว นอกจากน้ียงั มบี ทบัญญัติของพระราชบัญญตั ิขอมลู ขา วสารของราชการ พ.ศ. 2540 (7) ท่ีกําหนดหลักเกณฑ วธิ กี าร และเง่อื นไขในการเปดเผยขอ มูลขา วสารของราชการท่ีมีขอมลู สวนบคุ คลอยูดว ย สถานพยาบาลจงึ ควร มีนโยบาย แนวทางปฏิบัติ และขอกาํ หนดท่ีชัดเจนเกยี่ วกับการเกบ็ รวบรวม (collection) การใช (use) และ การเปด เผย (disclosure) ขอมลู สว นบุคคลดานสขุ ภาพ ทส่ี อดคลอ งกับกฎหมายตา งๆ และมีการสือ่ สารให บุคลากรทราบทั่วกัน ตลอดจนมีการติดตามประเมนิ ผลการบงั คบั ใชแ ละปรับปรุงแนวทางอยางเหมาะสมเปน ระยะๆ พระราชบัญญัตสิ ุขภาพแหงชาติ พ.ศ. 2550 มาตรา 7 บญั ญัตไิ วว า “ขอมูลดานสขุ ภาพของบคุ คล เปน ความลับสว นบคุ คล ผูใ ดจะนําไปเปดเผยในประการท่นี า จะทาํ ใหบุคคลนนั้ เสยี หายไมไ ด เวน แตการ เปดเผยน้ันเปนไปตามความประสงคข องบุคคลนัน้ โดยตรง หรือมีกฎหมายเฉพาะบัญญัติใหตองเปดเผย แตไม วา ในกรณใี ดๆ ผูใ ดจะอาศยั อํานาจหรอื สิทธติ ามกฎหมายวา ดวยขอมลู ขาวสารของราชการหรือกฎหมายอื่น เพ่อื ขอเอกสารเกี่ยวกับขอ มูลดา นสุขภาพของบุคคลที่ไมใ ชของตนไมได” ประมวลกฎหมายอาญา มาตรา 323 วรรคหนึง่ บัญญตั ิไววา “ผใู ดลว งรหู รอื ไดมาซ่งึ ความลบั ของผูอืน่ โดยเหตทุ ่ีเปนเจา พนักงานผมู ีหนา ที่ โดยเหตุทป่ี ระกอบอาชีพเปนแพทย เภสชั กร คนจาํ หนายยา นางผดงุ ครรภ ผพู ยาบาล นกั บวช หมอความ ทนายความ หรือผสู อบบญั ชีหรอื โดยเหตุท่ีเปนผชู วยในการประกอบ อาชพี น้นั แลว เปด เผยความลับนน้ั ในประการที่นาจะเกิดความเสียหายแกผ หู น่งึ ผูใด ตองระวางโทษจําคุกไมเ กนิ หกเดือน หรอื ปรบั ไมเกินหน่ึงพันบาท หรอื ท้ังจาํ ท้ังปรบั ” มาตรฐานทีเ่ ปน ท่ยี อมรับในระดบั สากล ทเ่ี ก่ียวของกบั การเกบ็ รวบรวม การใช และการเปดเผยขอ มูล สว นบุคคลดา นสุขภาพ โดยท่วั ไปจะกาํ หนดใหสถานพยาบาลมีการแจง วัตถปุ ระสงคข องการเกบ็ รวบรวมขอมูล และขอความยินยอมจากผูปวยหรือผูทําการแทนกอนทําการเกบ็ รวบรวม ใช หรอื เปด เผยขอ มลู สวนบุคคล (informed consent) ตามหลกั จริยธรรมทางการแพทย คือ หลักเอกสทิ ธห์ิ รอื การเคารพความเปน อสิ ระของ ผูปวย (autonomy) และหลกั การไมทาํ อันตรายแกผ ปู ว ย (non-maleficence) ยกเวน ในกรณฉี ุกเฉินที่มคี วาม จําเปน เพื่อประโยชนข องผปู ว ยท่อี าจยกเวนการแจง และขอความยนิ ยอม เพ่อื ใหการรักษาผูป วยกอ น โดยมุง หลกั จริยธรรมอีกขอ คอื หลักการยดึ ประโยชนของผปู วยเปน สําคัญ (beneficence) นอกจากน้ี การนําขอ มูล ของผูปวยทสี่ ามารถระบุตวั บคุ คลได (personally-identifiable information) ไปใชประโยชนอยา งอนื่ ทไี่ ม 4

เกี่ยวของกับการดูแลรกั ษาผูปวยโดยตรงหรือไมต รงกบั วตั ถุประสงคท ่ีขอความยินยอมไวแตแ รก หรอื เปดเผย ขอ มลู ดังกลาวแกบ ุคคลอน่ื เชน การเบิกจายคารักษาพยาบาลจากกองทุน การนําขอมูลไปศึกษาวจิ ัย การ เปดเผยขอมลู ใหกบั พนกั งานเจา หนาที่ การเปดเผยใหกบั บริษัทประกนั สุขภาพ เปน ตน จะตองเขา หลกั เกณฑ ขอ ใดขอ หนึ่ง คอื ไดร ับความยนิ ยอมจากผูปวยกอ น (informed consent) หรือมบี ทบัญญตั ิของกฎหมายที่ให อํานาจไว สถานพยาบาลจึงควรมีนโยบายและแนวทางปฏิบัติท่ีสอดคลองกับกฎหมาย รวมท้ังมีการประกาศ แนวทางปฏิบัติและการกําหนดหนาทคี่ วามรับผิดชอบท่ชี ัดเจนเปนลายลักษณอักษรและสื่อสารใหบุคลากรท่ี เกี่ยวของทราบ เพ่อื ใหเขาใจและปฏิบัตใิ หตรงกัน และไมเปน การละเมิดสิทธิของผูปวยและกระทําผิดกฎหมาย ตลอดจนทบทวนเอกสารท่เี กี่ยวของ เชน เอกสารขอความยินยอม (informed consent) ในการรับการรักษา หรอื ในการเขา รว มการวิจัย รวมทง้ั กระบวนการพจิ ารณาดา นจริยธรรมการวจิ ัยท่เี กย่ี วของ วาครอบคลุมถึงการ คมุ ครองขอมูลสว นบคุ คลของผปู ว ยอยางเหมาะสมและสอดคลองกับกฎหมายแลว หรือไม รวมท้งั พึงติดตามวา มีกฎหมายหรือมาตรฐานการคุมครองขอ มลู สว นบุคคลท่ีออกใหมหรือเปลี่ยนแปลงไปตามบริบทของสังคมและ ความกาวหนาของเทคโนโลยีหรือไม เชน รางพระราชบัญญัติคุมครองขอมูลสวนบุคคล พ.ศ. .... และราง พระราชบัญญตั กิ ารวิจยั ในคน พ.ศ. .... เปนตน นอกจากน้ี สําหรับหนวยงานของรัฐ มีประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนกิ สอีกฉบับหน่ึง (11) กาํ หนดแนวนโยบายและแนวปฏิบัติในการคุมครองขอมูลสวนบุคคลของหนวยงานของรัฐ ที่มีหลักการท่ี สอดคลอ งกบั ที่ไดก ลา วมาแลว ซึ่งสถานพยาบาลของรัฐพึงศึกษาและดําเนินการในสว นทเี่ กีย่ วขอ งดว ย แนวทางปฏิบัติสาํ หรับสถานพยาบาล แนวทางปฏิบัติสําหรับสถานพยาบาล แบงเปน 2 แนวทางตามลักษณะของสถานพยาบาล ไดแก 1. แนวทางปฏบิ ตั ิสาํ หรบั โรงพยาบาลสง เสริมสขุ ภาพตําบล หรอื หนวยบรกิ ารปฐมภูมิในลักษณะคลายกัน และ 2. แนวทางปฏิบัติสําหรบั โรงพยาบาล 5

แนวทางปฏบิ ตั สิ าํ หรบั โรงพยาบาลสงเสริมสุขภาพตําบล โรงพยาบาลสงเสริมสุขภาพตําบล หรือหนวยบริการปฐมภูมิ มีบุคลากรปฏิบัติหนาท่ีไมมากนัก บาง แหงอาจมีเจาหนา ท่ีเพียง 3-5 คน เจาหนาที่ทุกคนจะมีสวนรวมในการดแู ลรักษา สงเสริมสุขภาพและปองกัน โรคใหก บั ประชาชนในตาํ บลท่ีรบั ผดิ ชอบ ทกุ คนจงึ ตองมีหนาท่ีรับผดิ ชอบในการดูแลรักษาความลบั ผูปวย ตาม แนวทาง 3 ดาน คอื 1. แนวปฏบิ ัติทวั่ ไป 2. แนวปฏบิ ตั สิ ําหรับเจา หนา ท่ีทุกคน 3. แนวปฏบิ ตั ิสาํ หรับเจาหนา ทเี่ วชระเบยี นและเจาหนาทีฝ่ า ยเทคโนโลยีสารสนเทศ แนวปฏิบัตขิ อ 1 และ 2 ใชบังคบั กบั เจาหนา ที่ทกุ คน สว นแนวปฏบิ ัติขอ 3 ใชบ งั คบั กบั เจาหนา ที่ ผรู ับผดิ ชอบดูแลเวชระเบียนและเจา หนาทีผ่ ดู ูแลเคร่อื งคอมพิวเตอรแมขา ยและฐานขอมลู เทา นน้ั แนวทางปฏิบตั สิ าํ หรับโรงพยาบาล โรงพยาบาลในสังกัดสํานักงานปลัดกระทรวงสาธารณสุขมีหลายระดับ ไดแก โรงพยาบาลชุมชน โรงพยาบาลทั่วไป โรงพยาบาลศูนย เจาหนาที่ในโรงพยาบาลมีจํานวนมาก บางคนจะมีสวนรวมในการดูแล รักษา สง เสริมสขุ ภาพและปอ งกนั ใหก ับประชาชนในพื้นท่ี ทุกคนท่ีเกี่ยวของกับการจัดการขอมูลผูปวย จึงตอ ง มีหนาทีร่ ับผิดชอบในการดแู ลรักษาความลับผปู ว ย ตามแนวทาง 3 ดา น คอื 1. แนวปฏบิ ตั ทิ ัว่ ไป 2. แนวปฏบิ ตั ิสําหรบั เจาหนาท่ที ุกคน 3. แนวปฏิบตั สิ ําหรบั เจาหนา ที่เวชระเบียนและเจา หนาทฝ่ี า ยเทคโนโลยสี ารสนเทศ แนวปฏบิ ัติขอ 1 และ 2 ใชบังคับกับเจาหนาที่ทุกคนที่มีโอกาสเขาถึงขอมูลผูปวย สวนแนวปฏิบัติขอ 3 ใชบังคับกับเจาหนาท่ีผูรับผิดชอบดูแลเวชระเบียนและเจาหนาท่ีผูดูแลเคร่ืองคอมพิวเตอรแมขายและ ฐานขอ มลู เทา นนั้ 6

แนวทางปฏบิ ตั ทิ ่ัวไปสําหรับโรงพยาบาลสง เสริมสขุ ภาพตาํ บล แนวทางปฏิบัติทั่วไป หมายถึง การปองกันดูแลมิใหเกิดความเสี่ยงตอความม่ันคงปลอดภัยและ ความลบั ผูปวย ท่ที ุกโรงพยาบาลสงเสริมสุขภาพตําบลจะตอ งปฏิบัติใหไดอยางนอยตามแนวทางปฏิบัติน้ี รวม 5 เรือ่ ง คือ 1. กําหนดและแบงแยกบริเวณพ้ืนที่จัดเก็บเวชระเบียนและเครื่องแมขายคอมพิวเตอรใหชัดเจน กําหนดเปนเขตหวงหามเฉพาะ ปดหรือใสกุญแจประตูหนาตางหรือหองเสมอเม่ือไมมีเจาหนาท่ี ประจําอยู 2. จัดใหมีสมุดทะเบียนบันทึกการเขาออกหองเคร่ืองแมขายคอมพิวเตอร และสมุดทะเบียนบันทึก การนําเวชระเบยี นออกมาใชแ ละการสงเวชระเบยี นกลบั คนื 3. จดั ใหม รี ะบบตรวจสอบการสงเวชระเบียนกลับคืนวามกี ารสง กลับครบเทากับจํานวนเวชระเบียน ที่นาํ ออกไป ดําเนินการตรวจสอบทุกวันใหเสรจ็ ส้ินกอนเวลา 16.00 น. หากพบเวชระเบียนที่ยงั ไมสง กลับใหดาํ เนินการติดตามคนหา นํากลบั คืนมาใหเสรจ็ ส้ินกอนเวลา 16.30 น. 4. จัดใหมรี ะบบฉุกเฉินสาํ หรับปฏบิ ตั งิ านเม่อื ไฟฟา ดบั หรือระบบคอมพวิ เตอรใ ชงานไมได ใหมั่นใจวา การคน หา บนั ทกึ และจดั เกบ็ ขอมูลผปู วยดาํ เนนิ ไปไดอยา งครบถว น ถกู ตอ ง ไมบกพรอ ง 5. กําหนดชั้นความลับของขอมูลผูปวยเปนระดับ “ลับ” และดําเนินการแบบเดียวกับการรับสง เอกสารลับ ดงั นี้ 5.1 การทําสําเนา การพิมพสําเนา ตอ งบันทึกจํานวนชุด ชื่อ ตําแหนงของผูดาํ เนินการ ช่ือ สถานพยาบาลท่ีจดั ทาํ วันเวลา ไวท ่ีตนฉบับและฉบับสาํ เนาทุกฉบับ กรณสี ่งั พิมพสําเนาออก จากระบบคอมพิวเตอร ตองบันทึกการส่ังพิมพ จาํ นวนชุด ชื่อ ตําแหนงของผูดําเนินการ ช่ือ สถานพยาบาลที่จัดทาํ วันเวลาทสี่ ่ังพมิ พท ุกครั้งเกบ็ ไวใ นระบบฐานขอ มูล 5.2 การสงออกเวชระเบียนหรือสําเนาเวชระเบียนออกนอกสถานพยาบาล ตองบรรจุซอง หรือภาชนะทึบแสงสองชั้นอยา งม่ันคง บนซองช้ันในใหจ าหนาระบุเลขที่หนังสือนําสง ช่ือหรือ ตําแหนงผูรับและหนวยงานผูสง พรอมทําเคร่ืองหมายแสดงช้ันความลับทั้งดานหนาและ ดานหลัง บนซองช้ันนอกใหจาหนาระบุเลขท่ีหนังสือนําสง ช่ือหรือตําแหนงผูรับและ หนวยงานผูสง เชนเดียวกับซองชั้นในแตไมตองมีเครื่องหมายแสดงชั้นความลับใดๆ การ สง ออกในรูปแบบไฟลอเิ ลก็ ทรอนิกสตอ งเขารหัส มิใหผูที่ไมม สี ิทธิ์สามารถเปด ไฟลดไู ด 7

5.3 การจัดเก็บเวชระเบียน เวชระเบียนผูปวยทอ่ี ยูในพ้ืนทร่ี บั ผิดชอบของ รพ.สต. ใหจัดเก็บ ไวตลอดไป หากผูปวยเสียชีวิต ใหแยกเวชระเบียนของผเู สยี ชีวิตออกมาเก็บไวในสถานท่ีเก็บ เวชระเบียนผูเสียชีวิต โดยหากเปนการเสียชีวิตผิดธรรมชาติใหเก็บรักษาไวไมตํ่ากวา 20 ป หากมใิ ชก ารเสยี ชีวติ ผดิ ธรรมชาตใิ หเก็บรกั ษาไวไ มต ่ํากวา 10 ป แลวอาจพิจารณาทําลายเวช ระเบียน ถามปี ญหาพนื้ ทจี่ ัดเกบ็ ไมเพยี งพอ การทาํ ลายเวชระเบยี นใหดําเนินการโดยหลักการ ทาํ ลายเอกสาร เชน ใชเครือ่ งทําลายเอกสารตดั ออกเปนชนิ้ เลก็ ๆ แนวทางปฏบิ ัตทิ ั่วไปสาํ หรบั เจา หนา ทท่ี ุกคนของโรงพยาบาลสงเสรมิ สุขภาพตําบล แนวทางปฏบิ ตั ทิ ่วั ไปสําหรบั เจาหนาที่ หมายถึง แนวทางการรักษาความมั่นคงปลอดภัยและความลับ ผปู ว ยทีเ่ จาหนาท่ที กุ คน ตอ งปฏบิ ตั ิใหไ ดอยางนอ ยตามแนวทางปฏิบัตนิ ี้ รวม 7 เรื่อง คือ 1. เจาหนาทที่ ุกคนมีหนาที่ตองปองกัน ดูแล รักษาไวซึ่งความลับ ความถูกตอ ง และความพรอ มใช ของขอ มูล ตลอดจนเอกสารเวชระเบยี นของผปู ว ย 2. หา มเผยแพร ทําสาํ เนา ถายภาพ เปลี่ยนแปลง ลบทิ้ง หรือทาํ ลายขอ มลู ผูป ว ย ในเวชระเบียนและ ในระบบคอมพิวเตอรท กุ กรณี นอกจากไดร บั มอบหมายใหด าํ เนินการจากผอู ํานวยการ 3. การแกไขขอมูลผูปวย ใหดําเนินการไดตามระเบียบปฏิบัติวาดวยการแกไขขอมูลโดยเครงครัด เชน หากเขียนผิดหามใชป ากการะบายสีทึบทับขอความจนไมเห็นขอความเดิม หามใชน้ํายาลบ คําผิดในเวชระเบียนผูปวย การแกไขทําไดโดยการลากเสนทับขอความเดิมเพียงเสนเดียว แลว เขียนขอความท่ีแกไขไวใกลกับขอความเดิม พรอมลงนามกํากับ และวันเวลาที่แกไข สําหรับการ แกไขขอมูลในระบบคอมพิวเตอร หามลบขอมูลเดิมทิ้ง แตใหทําเคร่ืองหมายวามีการแกไข แลว เชอ่ื มโยงขอมลู ท่เี พ่ิมเตมิ แกไขใหรูว าขอความใหมใ ชแทนขอความเดมิ อยา งไร 4. การสง ขอมลู ผูป วยใหก ับบคุ ลากรภายในสถานพยาบาลเดยี วกัน ใหดําเนินการตามระเบียบการสง ขอมลู ลับโดยเครง ครดั เชน ไมใ ชใหผ ูปว ยเปนผถู อื เวชระเบยี นจากจุดบรกิ ารหน่งึ ไปยงั จดุ อนื่ ๆ 5. หา มสงขอ มลู ผปู วยโดยใชช องทางทไี่ มเหมาะสม เชน สง ทาง LINE หรือ Social Media 6. ตั้งรหสั ผานในการเขาใชง านระบบคอมพวิ เตอรของตนเองใหคาดเดาไดยาก ตรงตามระเบียบของ สถานพยาบาล ปกปดรหัสผานเปนความลบั สวนตัวอยางเครงครัด ไมอนญุ าตใหผูอื่นนํารหัสผาน ของตนเองไปใช เปลี่ยนรหสั ผานเม่อื ถึงกาํ หนดเวลาทบ่ี ังคบั 7. หา มใชคอมพิวเตอรข องสถานพยาบาลเปด ไฟลจากภายนอกทกุ กรณี สําหรับการเปดไฟลง านจาก หนว ยงานภายในใหตรวจหาไวรสั ภายในไฟลทุกครั้งกอ นเปดไฟล 8

แนวทางปฏิบัตทิ ่ัวไปสาํ หรับเจาหนา ท่เี วชระเบยี นและเจาหนา ทฝ่ี า ยเทคโนโลยสี ารสนเทศของโรงพยาบาล สง เสรมิ สุขภาพตาํ บล เจา หนาทีเ่ วชระเบียนและเจาหนา ทีฝ่ ายเทคโนโลยสี ารสนเทศของโรงพยาบาลสง เสรมิ สุขภาพตําบล มี หนาท่ีเพิ่มเติมท่ีตองปฏิบัติเพื่อรักษาความมั่นคงปลอดภัยและความลับของขอมูลผูปวย อยางนอย อีก 11 เรอื่ ง คือ 1. กํากบั ดูแลการลงบันทึกสมุดทะเบียนบันทึกการเขาออกหอ งเครอื่ งแมขายคอมพิวเตอร และสมุด ทะเบียนบันทึกการนาํ เวชระเบยี นออกมาใชแ ละการสงเวชระเบยี นกลับคนื 2. จัดทําทะเบียนทรัพยสินสารสนเทศ (information assets) ทั้งเคร่ืองคอมพิวเตอร อุปกรณ คอมพิวเตอร ระบบเครือขาย ระบบสารสนเทศ และขอมูลสารสนเทศที่สําคัญของ รพ.สต. และมี การดแู ลควบคมุ การใชง านใหเหมาะสมและรบั ผดิ ชอบทรัพยสนิ สารสนเทศดังกลาว 3. จัดอบรมใหความรู หลักการ แนวทางปฏิบัติท่วั ไป และแนวทางปฏิบัติสาํ หรับเจาหนาท่ีทุกคน ใหก ับเจาหนาทใ่ี หมทุกคนท่ีมาปฏิบัติงาน ตรวจสอบวาเจาหนา ที่ไดปฏิบัติตามแนวทางท่ีกําหนด อยางเครง ครดั หรือไม 4. ดูแลรักษาบัญชีผูใชระบบ ทําใหบัญชีผูใชใชการไมไดทันทีที่มีบุคลากรลาออกหรือยายออกไป เพิ่มบญั ชผี ใู ชร ายใหมเมือ่ มเี จา หนา ทีใ่ หมเขามาทํางาน ดูแลการเปล่ียนรหัสผา นของผูใชทุกคนให เปลี่ยนตามระยะเวลาทก่ี ําหนด 5. ใหผูใชงานทุกคนมีบัญชีผูใชงานเปนของตนเอง และใหระบบสารสนเทศมีเทคนิคการตรวจสอบ ตวั ตน (authentication) เพื่อใหสามารถระบุตวั ตนของผเู ขา ใชง านระบบสารสนเทศได 6. มีการกําหนดนโยบายการเลือกใชรหัสผานอยา งมนั่ คงปลอดภัยตามที่หนว ยงานกําหนด (strong password policy) 7. มนี โยบายและการกาํ กับดูแลไมใหมกี ารเกบ็ ขอ มูลท่ีเปนความลับ รวมท้ังรหัสผา น ใหเขาถึงไดงาย ทางกายภาพท่โี ตะทาํ งานหรือบนหนาจอ (clear desk, clear screen policy) 8. กําหนดใหร ะบบสารสนเทศมกี ารตัดและหมดเวลาการใชงาน รวมท้ังปดการใชง านดว ย หลังจากที่ ไมม ีกจิ กรรมการใชงานชวงระยะเวลา 15 นาที 9. ในการรับสงขอมูลคอมพิวเตอรผานทางอินเทอรเน็ตจะตองมีการตรวจสอบไวรัส โดยโปรแกรม ปองกันไวรสั กอ นการรบั สงขอมลู ทกุ คร้ัง 10. ดําเนินการสํารองขอมูลในระบบคอมพิวเตอรอยางนอยวันละ 1 ครง้ั สํารองขอมลู ในระบบเวช ระเบียนอยางนอยสัปดาหละ 1 ครั้ง ตามแนวทางมาตรฐานที่กําหนด เชน ใชระบบ Scan หรือ ถา ยภาพเอกสารเวชระเบียนกระดาษ และใชระบบสํารองขอ มูลจากฐานขอ มูลของ รพ.สต. 9

11. จัดเก็บขอมลู จราจรทางคอมพวิ เตอร (Log) เพื่อใหขอ มลู จราจรทางคอมพิวเตอร มีความถูก ตองและสามารถระบุถึงตัวบุคคลไดตามแนวทางในพระราชบัญญัติวาดวยการกระทําความผิด เก่ียวกบั คอมพวิ เตอร พ.ศ. 2550 10

แนวทางปฏิบัตทิ ่ัวไปสาํ หรบั โรงพยาบาล แนวทางปฏิบัติทั่วไป หมายถึง การปองกันดูแลมิใหเกิดความเส่ียงตอความมั่นคงปลอดภัยและ ความลับผูปวย ที่ทุกโรงพยาบาลต้ังแตระดับโรงพยาบาลชุมชน โรงพยาบาลทั่วไป และ โรงพยาบาลศูนย จะตองปฏิบัตใิ หไดอ ยา งนอ ยตามแนวทางปฏิบตั ินี้ รวม 7 เรอื่ ง คือ 1. กําหนดและแบงแยกบริเวณพ้ืนท่ีจัดเก็บเวชระเบียนและเคร่ืองแมขายคอมพิวเตอรใหชัดเจน กําหนดเปนเขตหวงหามเฉพาะ ปดหรือใสกุญแจประตูหนาตางหรือหองเสมอเม่ือไมมีเจาหนาที่ ประจาํ อยู 2. จัดใหมีสมุดทะเบียนบันทึกการเขาออกหองเคร่ืองแมขายคอมพิวเตอร และสมุดทะเบียนบันทึก การนาํ เวชระเบียนออกมาใชแ ละการสง เวชระเบียนกลบั คืน 3. จดั ใหมีระบบตรวจสอบการสงเวชระเบียนกลับคืนวามกี ารสงกลับครบเทากับจํานวนเวชระเบียน ท่ีนาํ ออกไป ดําเนินการตรวจสอบทุกวันใหเสร็จส้ินกอนเวลา 16.00 น. หากพบเวชระเบียนที่ยัง ไมส งกลับใหดําเนนิ การตดิ ตามคน หา นาํ กลับคนื มาใหเ สร็จส้นิ กอ นเวลา 16.30 น. 4. จัดใหม ีระบบฉุกเฉนิ สําหรับปฏบิ ัติงานเมอื่ ไฟฟาดับหรอื ระบบคอมพวิ เตอรใชงานไมได ใหมั่นใจวา การคนหา บันทึกและจัดเก็บขอมลู ผูปวยดําเนินไปไดอยางครบถวน ถูกตอง ไมบกพรอง และมี การซักซอ มเปนระยะๆ เชน ทุกป และปรับปรงุ กระบวนการทํางานเม่ือระบบขดั ของใหเหมาะสม อยูเสมอ 5. กําหนดชั้นความลับของขอมูลผูปวยเปนระดับ “ลับ” และดําเนินการแบบเดียวกับการรับสง เอกสารลบั ดงั นี้ 5.1 การทําสําเนา การพิมพสําเนา ตอ งบันทึกจํานวนชุด ชื่อ ตําแหนงของผูดําเนินการ ชื่อ สถานพยาบาลทจ่ี ัดทํา วันเวลา ไวท ี่ตนฉบับและฉบับสําเนาทุกฉบับ กรณีส่งั พิมพสําเนาออก จากระบบคอมพิวเตอร ตองบันทกึ การส่ังพิมพ จาํ นวนชุด ช่ือ ตําแหนงของผูดาํ เนินการ ช่ือ สถานพยาบาลทจ่ี ัดทํา วนั เวลาทีส่ งั่ พิมพท กุ ครั้งเกบ็ ไวในระบบฐานขอมลู 5.2 การสงออกเวชระเบียนหรือสําเนาเวชระเบียนออกนอกสถานพยาบาล ตองบรรจุซอง หรือภาชนะทึบแสงสองชนั้ อยางมัน่ คง บนซองชน้ั ในใหจ าหนาระบุเลขทหี่ นงั สอื นาํ สง ช่ือหรือ ตําแหนงผูรับและหนวยงานผูสง พรอมทําเครื่องหมายแสดงช้ันความลับทั้งดานหนาและ ดานหลัง บนซองชั้นนอกใหจาหนาระบุเลขท่ีหนังสือนําสง ชื่อหรือตําแหนงผูรับและ 11

หนวยงานผูสง เชนเดียวกับซองช้ันในแตไมตองมีเคร่ืองหมายแสดงช้ันความลับใดๆ การ สงออกในรปู แบบไฟลอ เิ ล็กทรอนิกสต องเขา รหสั มิใหผทู ่ไี มมสี ทิ ธิ์สามารถเปดไฟลด ไู ด 5.3 การจัดเก็บเวชระเบียน เวชระเบียนผูปวยที่อยูในพื้นที่รับผิดชอบของโรงพยาบาล ให จัดเก็บไวตลอดไป หากผูปวยเสียชีวิต ใหแยกเวชระเบียนของผูเสียชีวิตออกมาเก็บไวใน สถานท่ีเก็บเวชระเบียนผูเสยี ชีวิต โดยหากเปนการเสียชีวิตผิดธรรมชาตใิ หเก็บรักษาไวไมตํ่า กวา 20 ป หากมใิ ชการเสียชวี ิตผดิ ธรรมชาติใหเกบ็ รกั ษาไวไมต ่าํ กวา 10 ป แลวอาจพิจารณา ทําลายเวชระเบียน ถามีปญหาพ้ืนที่จัดเก็บไมเพียงพอ การทาํ ลายเวชระเบียนใหดาํ เนนิ การ โดยหลกั การทาํ ลายเอกสาร เชน ใชเคร่ืองทาํ ลายเอกสารตัดออกเปนชนิ้ เลก็ ๆ 6. จัดใหมีกระบวนการกลัน่ กรองและพจิ ารณาความเหมาะสมในการนําขอมลู ของผปู ว ยท่ีสามารถระบุ ตวั บคุ คลได (เชน มชี ื่อหรือเลขประจาํ ตวั ผปู วย) ไปใชประโยชนอยา งอน่ื เชน การวจิ ยั หรือ เปด เผยตอบุคคลอืน่ นอกโรงพยาบาล ใหเปน ไปตามกฎหมายและไมเปนการละเมิดสทิ ธขิ องผูปวย 7. จดั ใหม รี ะบบยนิ ยอมใหใ ชขอมลู ผูปวย ดังตัวอยา งในแบบฟอรมหมายเลข 1 ใหผ ปู ว ยไดอ า นทาํ ความเขา ใจและอนุญาตใหโรงพยาบาลใชขอมูลเพอื่ ประโยชนในการดูแลรกั ษา (ตัวอยาง) หนังสืออนุญาตของผูปวยใหใชขอมูลของตนเพ่ือการตรวจรักษาโรคและสงขอมูลใหกับ กระทรวงสาธารณสุข โรงพยาบาล …………………………………………………………… --------------------------------------------------------------------------------------- ขาพเจา นางสาว/นาง/นาย………………………………………………………..…...ซ่งึ เปน [ ] ผปู วย หรอื [ ] เปน ผูแทนผปู วยในฐานะ……………..............................................ของ นางสาว/นาง/นาย……………………………………………………….. ไดร ับการอธิบาย จาก .…………………………………………. ……… ในฐานะตวั แทนคณะผปู ระกอบวิชาชีพเวชกรรม/ ประกอบโรคศลิ ปะท่ใี หการดูแลแกผ ปู ว ย ภายใตข อบเขตของแพทยแผนปจ จุบัน เกี่ยวกบั การสอบถาม การ บนั ทึก การจดั เก็บและการสงตอขอมูลการเจบ็ ปวยของขาพเจาหรอื ผูป วยท่ีขา พเจา เปนตวั แทน ตามคําอธิบาย ดังกลา ว ขา พเจาเขา ใจและรับทราบวามีสิทธไิ ดรับการปกปด ขอมลู และมหี นาที่ใหข อมูลสุขภาพและ ขอ เท็จจริงตา งๆ ทางการแพทยท ีเ่ ปน จริงและครบถวน ตามคําประกาศสทิ ธแิ ละขอพึงปฏิบตั ิของผปู ว ยซง่ึ ปรากฏอยดู านหลงั ของหนังสือฉบับนี้ 12

ขาพเจา ยืนยนั วา 1. [ ] อนุญาต [ ] ไมอนญุ าต ใหคณะแพทยแ ละเจาหนาท่ีของโรงพยาบาลบันทึกขอมลู ของผปู วยไวใ น ระบบเวชระเบียนและฐานขอมลู ของโรงพยาบาล เพือ่ ใชข อ มลู ดังกลา วประกอบการดูแล ตรวจและรักษา แก ขาพเจา / ผปู วยของขาพเจา และสงขอ มูลตามมาตรฐานการสง ขอมูลใหก บั กระทรวงสาธารณสุข 2. กรณีที่ขาพเจาไมอนุญาตใหบันทึกขอมูลของผูปวยไวในระบบเวชระเบียนและฐานขอมูลของโรงพยาบาล การไมอ นุญาตนี้จะไมครอบคลุมกรณีฉุกเฉินเรงดวนทค่ี ณะแพทยและเจาหนา ที่ไดใหการดูแลรักษาผูปวยและ ไดบันทกึ ขอมลู ไปแลว และขา พเจา ทราบดีวา หากขาพเจาไมอนุญาตใหบันทกึ ขอมูลของผูปวย คณะแพทยและ เจาหนาที่อาจไมไดขอมูลที่จําเปนเพื่อการตัดสินใจรักษาโรคอยางเหมาะสมและอาจจําเปนตองยุติการรักษา หรือสงตอ ผูป ว ยไปยังโรงพยาบาลอ่ืนตอ ไป 3. ในกรณเี จ็บปว ยฉกุ เฉนิ วกิ ฤต [ ] อนุญาต [ ] ไมอ นญุ าต ใหคณะแพทยแ ละเจา หนา ทีข่ องโรงพยาบาล สงขอมูลของผูปวยเพื่อขอคําปรึกษาจากผูเช่ียวชาญภายนอกโรงพยาบาลเพื่อใหไดรับคําปรึกษามาชวย ประกอบ การดแู ลและรักษาโรค แกขา พเจา / ผปู วยของขาพเจา 4. คําอนุญาตดังกลาวใหมีผลตลอดระยะเวลาที่ผูปวยยังคงรับการรักษาจากโรงพยาบาล ทั้งกรณผี ูป วยนอก และผูป วยใน ยกเวนกรณที ี่ขา พเจาขอใหม ีผลถงึ วันท่ี ที่ระบไุ วค อื ………………………………….. ลงนามผูอ นญุ าต…………………………. ลงนามพยานฝา ยผูปวย……………………… (…………………………………) (……………………………) ความเกีย่ วของกับผปู วย…………………. ความเก่ยี วของกบั ผูปวย………………… ลงนามเจาหนาที่ รพ. ..........…………… ลงนามพยานฝายเจา หนา ที่……………………… (…………………………………) (………………………………) วันท…ี่ ……เดอื น…………………….พ.ศ…………………เวลา………….น. แบบฟอรมที่ 1 ตวั อยางหนังสืออนุญาตของผูปวยใหใ ชขอมูลเพือ่ การตรวจรักษาโรคและสงขอมูลใหกบั กระทรวงสาธารณสขุ 13

แนวทางปฏิบัตทิ ั่วไปสาํ หรับเจา หนา ทท่ี ุกคนทีม่ โี อกาสเขาถงึ ขอ มูลผูปว ยของโรงพยาบาล แนวทางปฏบิ ัตทิ ่ัวไปสําหรบั เจาหนา ท่ี หมายถึง แนวทางการรักษาความม่ันคงปลอดภัยและความลับ ผูปวยท่ีเจาหนาที่ทุกคนที่มีโอกาสเขาถึงขอมูลผูปวย ตองปฏิบัติใหไดอยางนอยตามแนวทางปฏิบัติน้ี รวม 9 เรื่อง คอื 1. เจาหนาทท่ี ุกคนมีหนาที่ตองปองกัน ดูแล รักษาไวซ่ึงความลับ ความถูกตอ ง และความพรอ มใช ของขอมูล ตลอดจนเอกสารเวชระเบยี นของผูป วย 2. หามเผยแพร ทําสําเนา ถายภาพ เปล่ยี นแปลง ลบทิง้ หรือทําลายขอมลู ผปู ว ย ในเวชระเบียนและ ในระบบคอมพวิ เตอรทุกกรณี นอกจากไดร บั มอบหมายใหดาํ เนินการจากผอู ํานวยการ 3. การแกไขขอมูลผูปวย ใหดําเนินการไดตามระเบียบปฏิบัติวาดวยการแกไขขอมูลโดยเครงครัด เชน หากเขียนผิดหามใชปากการะบายสีทึบทับขอความจนไมเห็นขอความเดิม หามใชนํ้ายาลบ คําผิดในเวชระเบียนผูปวย การแกไขทําไดโดยการลากเสนทับขอความเดิมเพียงเสนเดียว แลว เขียนขอความท่ีแกไขไวใกลกับขอความเดิม พรอมลงนามกํากับ และวันเวลาที่แกไข สําหรับการ แกไขขอมูลในระบบคอมพิวเตอร หามลบขอมูลเดิมท้ิง แตใหทําเคร่ืองหมายวามีการแกไข แลว เชอ่ื มโยงขอ มลู ทีเ่ พม่ิ เติมแกไ ขใหร ูว า ขอความใหมใชแทนขอความเดมิ อยา งไร 4. การสงขอ มลู ผปู ว ยใหก ับบคุ ลากรภายในสถานพยาบาลเดยี วกนั ใหดําเนินการตามระเบียบการสง ขอมูลลับโดยเครงครดั เชน ไมใ ชใหผ ูปวยเปนผถู อื เวชระเบียนจากจดุ บริการหนงึ่ ไปยังจุดอ่นื ๆ 5. หา มสง ขอมลู ผปู วยโดยใชช องทางทไี่ มเหมาะสม เชน สง ทาง LINE หรอื Social Media 6. ตง้ั รหสั ผา นในการเขา ใชงานระบบคอมพิวเตอรของตนเองใหคาดเดาไดยาก ตรงตามระเบียบของ สถานพยาบาล ปกปดรหัสผานเปนความลบั สวนตัวอยางเครงครดั ไมอนญุ าตใหผูอ่ืนนํารหัสผาน ของตนเองไปใช เปลี่ยนรหสั ผานเมอ่ื ถงึ กาํ หนดเวลาที่บังคบั 7. หามใชค อมพิวเตอรของสถานพยาบาลเปด ไฟลจ ากภายนอกทุกกรณี สําหรับการเปดไฟลง านจาก หนว ยงานภายในใหตรวจหาไวรสั ภายในไฟลทกุ ครั้งกอ นเปด ไฟล 8. หามนําเครอื่ งคอมพิวเตอร อุปกรณอ ่ืนๆ รวมถึงอุปกรณจัดเก็บขอมูลเชน CD-ROM, USB Drive, External Hard Disk อุปกรณเครือขา ย เชน Hub, Switch, Wi-Fi Router ฯลฯ มาเชื่อมตอกับ เครอ่ื งคอมพวิ เตอร และระบบเครือขายของโรงพยาบาลที่ใชฐานขอ มลู ผปู วย ยกเวนไดรับอนุญาต จากผอู ํานวยการ 9. หามใชคอมพิวเตอรของโรงพยาบาลที่เช่ือมตอกับระบบฐานขอมูลผูปวย ในการติดตอกับ อนิ เทอรเน็ตทุกกรณี ยกเวน เครอื่ งคอมพิวเตอรท ีม่ ีภารกจิ เฉพาะท่ตี องเช่ือมตอ อินเทอรเน็ตพรอม กนั กับการเช่ือมตอระบบฐานขอ มลู ผปู ว ย ซึ่งไดรับอนญุ าตจากผูอํานวยการ 14

แนวทางปฏบิ ตั ทิ ่ัวไปสาํ หรบั เจา หนา ที่เวชระเบียนและเจา หนาทฝี่ ายเทคโนโลยสี ารสนเทศของโรงพยาบาล เจาหนาที่เวชระเบยี นและเจา หนาที่ฝา ยเทคโนโลยีสารสนเทศของโรงพยาบาล มีหนาท่ีเพิ่มเติมท่ีตอง ปฏิบตั ิเพ่อื รกั ษาความมั่นคงปลอดภัยและความลบั ของขอมลู ผูปวย อยางนอ ย อกี 17 เร่ือง คือ 1. กํากบั ดแู ลการลงบันทกึ สมดุ ทะเบียนบันทึกการเขาออกหอ งเคร่อื งแมขายคอมพิวเตอร และสมุด ทะเบยี นบนั ทึกการนาํ เวชระเบยี นออกมาใชแ ละการสง เวชระเบียนกลับคืน 2. จัดทําทะเบียนทรัพยสินสารสนเทศ (information assets) ท้ังเครื่องคอมพิวเตอร อุปกรณ คอมพิวเตอร ระบบเครือขาย ระบบสารสนเทศ และขอมูลสารสนเทศที่สําคัญของโรงพยาบาล และมกี ารดูแลควบคมุ การใชง านใหเหมาะสมและรบั ผิดชอบทรัพยส นิ สารสนเทศดังกลา ว 3. กาํ หนดใหมีการแบง แยกเครือขาย ดังตอ ไปนี้ a. แบงแยกเครือขา ยเปนเครือขายยอ ย ๆ ตามอาคารตา ง ๆ เพ่ือควบคมุ การเขาถงึ เครอื ขายโดยไมไดรบั อนุญาต b. แบงเครือขา ยภายในและเครอื ขายภายนอก เพื่อความปลอดภยั ในการใชงานระบบ สารสนเทศภายใน 4. จัดอบรมใหความรู หลักการ แนวทางปฏิบัติทัว่ ไป และแนวทางปฏิบัติสําหรับเจาหนาท่ีทุกคน ใหกบั เจาหนาทใี่ หมทุกคนท่ีมาปฏิบัติงาน ตรวจสอบวาเจาหนาท่ไี ดปฏิบัติตามแนวทางท่ีกําหนด อยา งเครง ครัดหรือไม 5. ดูแลรักษาบัญชีผูใชระบบ ทําใหบัญชีผูใชใชการไมไดทันทีที่มีบุคลากรลาออกหรือยายออกไป เพ่ิมบญั ชผี ใู ชรายใหมเ ม่อื มีเจาหนาทใี่ หมเขามาทาํ งาน ดูแลการเปลี่ยนรหัสผา นของผใู ชท ุกคนให เปลยี่ นตามระยะเวลาที่กําหนด 6. ใหผูใชงานทุกคนมีบัญชีผูใชงานเปนของตนเอง และใหระบบสารสนเทศมีเทคนิคการตรวจสอบ ตัวตน (authentication) ท่ีเพียงพอ เพื่อใหสามารถระบุตัวตนของผูเขาใชงานระบบสารสนเทศ ได 7. มีการจํากดั การเขาถึงขอมูลสารสนเทศที่เปน ความลับ และการทํางานในระบบสารสนเทศที่สําคญั ของผูใชงานและผูดูแลระบบสารสนเทศ ใหเขาถึงไดเฉพาะที่ตนเองไดรับอนุญาต ตามความ เหมาะสมและจําเปน เทานน้ั (authorization) และมีการทบทวนระดบั สิทธกิ ารเขาถงึ เปนระยะๆ 8. มีการกําหนดนโยบายการเลือกใชรหัสผานอยางมัน่ คงปลอดภัยตามที่หนวยงานกําหนด (strong password policy) 9. มีนโยบายและการกาํ กับดูแลไมใ หมีการเกบ็ ขอมลู ทเ่ี ปนความลบั รวมทง้ั รหัสผาน ใหเขาถึงไดงาย ทางกายภาพที่โตะทํางานหรอื บนหนาจอ (clear desk, clear screen policy) 15

10. กาํ หนดใหร ะบบสารสนเทศมกี ารตัดและหมดเวลาการใชง าน รวมท้งั ปดการใชง านดวย หลังจากท่ี ไมมกี จิ กรรมการใชง านชวงระยะเวลา 15 นาที 11. ในการรับสงขอมูลคอมพิวเตอรผานทางอินเทอรเน็ตจะตองมีการตรวจสอบไวรัส โดยโปรแกรม ปองกนั ไวรสั กอ นการรบั สง ขอมูลทกุ ครั้ง 12. ดําเนินการสํารองขอมูลในระบบคอมพิวเตอรอยางนอยวันละ 1 ครั้ง สํารองขอมูลในระบบเวช ระเบียนอยางนอยสัปดาหละ 1 คร้ัง ตามแนวทางมาตรฐานท่ีกําหนด เชน ใชระบบ Scan หรอื ถายภาพเอกสารเวชระเบยี นกระดาษ และใชร ะบบสํารองขอมูลจากฐานขอ มลู ของ รพ. 13. จัดทาํ รายงานการแกไขขอมูลผูปวยท่ีเกิดขึ้นในระบบเปนระยะ อยางนอยสัปดาหละ 1 คร้ัง โดย แสดงรายละเอียดผูป ว ยรายที่ถกู แกไ ขขอมลู ขอ ความเดมิ วนั เวลาทีบ่ ันทึกไวเดิม ขอความท่ีแกไข วันเวลาท่ีแกไ ข ผูที่แกไ ข แลวสงรายงานใหผูอํานวยการพจิ ารณาตอไป 14. จัดเก็บขอมลู จราจรทางคอมพิวเตอร (log) เพ่ือใหขอมูลจราจรทางคอมพิวเตอร มีความถูก ตองและสามารถระบุถึงตัวบุคคลไดตามแนวทางในพระราชบัญญัติวาดวยการกระทําความผิด เก่ียวกบั คอมพวิ เตอร พ.ศ. 2550 และมีระบบปองกันไมใหมีการเขาถึงหรือแกไข log โดยมิไดรับ อนุญาต 15. ทําการปรับปรุงขอมูล สําหรับตรวจสอบและปรับปรุงระบบปฏิบัติการและซอฟตแวรตางๆ (Update patches) ใหใ หมเ สมอ เพือ่ เปน การปอ งกันความเสยี หาย 16. มีการดูแลบํารุงรักษา (maintenance) อุปกรณสารสนเทศตางๆ อยางเหมาะสม เพื่อใหอยูใน สภาพพรอมใชง านอยเู สมอและลดความเสยี่ งทจี่ ะเกิดเหตุขดั ของ 17. กาํ หนดมาตรการควบคุมการใชง านระบบเครือขายและเคร่ืองคอมพิวเตอรแมขาย (Server) จาก ผูใชงานภายนอกหนวยงาน เพื่อดูแลรักษาความปลอดภัยของระบบ ตามแนวทางปฏิบัติ ดังตอไปนี้ a. บคุ คลจากหนว ยงานภายนอกท่ตี องการสทิ ธใิ์ นการเขา ใชงานระบบเครือขายและ เคร่อื งคอมพิวเตอรแมขา ย (Server) ของหนวยงานจะตองทําเรอ่ื งขออนุญาตเปน ลายลักษณอกั ษร เพ่ือขออนญุ าตจากหัวหนาหนว ยงาน b. มีการควบคมุ ชองทาง (Port) ทใ่ี ชใ นการเขาสูร ะบบอยางรัดกมุ c. วธิ ีการใด ๆ ท่ีสามารถเขา สขู อมูล หรอื ระบบขอมลู ไดจ ากระยะไกลตองไดร ับการ อนญุ าตจากหัวหนา หนว ยงาน d. การเขา สรู ะบบจากระยะไกล ผูใชง านตองแสดงหลักฐาน ระบุเหตผุ ลหรอื ความ จาํ เปนในการดาํ เนนิ งานกบั หนว ยงานอยางเพียงพอ 16

e. การเขาสูระบบเครอื ขา ยภายในและระบบสารสนเทศในหนวยงานจากระยะไกลตองมี การลงบันทกึ เขา ใชง าน (Login) โดยแสดงตัวตนดว ยชื่อผูใชง าน และตอ งมกี าร พิสจู นยืนยนั ตัวตน (Authentication) ดวยการใชรหสั ผา น เพ่ือตรวจสอบความ ถูกตองของผูใชงานกอนทุกครั้ง 17

เอกสารอางองิ 1. พระราชบญั ญัติวา ดวยธรุ กรรมทางอเิ ล็กทรอนิกส พ.ศ. 2544 (http://www.ratchakitcha.soc.go.th/DATA/PDF/00027390.PDF) และพระราชบญั ญตั วิ า ดวยธรุ กรรมทาง อิเล็กทรอนกิ ส (ฉบบั ท่ี 2) พ.ศ. 2551 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2551/A/033/81.PDF) 2. พระราชกฤษฎีกาวาดวยวิธีการแบบปลอดภยั ในการทาํ ธรุ กรรมทางอเิ ล็กทรอนกิ ส พ.ศ. 2553 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2553/A/053/13.PDF) 3. ประกาศคณะกรรมการธรุ กรรมทางอเิ ล็กทรอนิกส เรอื่ ง ประเภทของธรุ กรรมทางอเิ ล็กทรอนกิ ส และหลักเกณฑการ ประเมนิ ระดับผลกระทบของธรุ กรรมทางอเิ ล็กทรอนิกสตามวธิ กี ารแบบปลอดภยั พ.ศ. 2555 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2555/E/191/39.PDF) 4. ศนู ยเทคโนโลยสี ารสนเทศ กระทรวงสาธารณสุข. นโยบายและแนวปฏิบัตใิ นการรกั ษาความมั่นคงปลอดภยั ดา น สารสนเทศ. พ.ศ. 2556 5. ประกาศคณะกรรมการธุรกรรมทางอเิ ลก็ ทรอนกิ ส เร่อื ง แนวนโยบายและแนวปฏบิ ตั ใิ นการรักษาความม่ันคง ปลอดภัยดา นสารสนเทศของหนว ยงานของรัฐ พ.ศ. 2553 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2553/E/078/131.PDF) และประกาศคณะกรรมการธรุ กรรม ทางอิเลก็ ทรอนกิ ส เรอ่ื ง แนวนโยบายและแนวปฏบิ ตั ิในการรักษาความม่ันคงปลอดภัยดา นสารสนเทศของ หนว ยงานของรัฐ (ฉบบั ที่ 2) พ.ศ. 2556 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2556/E/021/52.PDF) 6. พระราชกฤษฎกี ากําหนดหลักเกณฑแ ละวธิ ีการในการทาํ ธรุ กรรมทางอเิ ลก็ ทรอนกิ สภ าครฐั พ.ศ. 2549 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2550/A/004/1.PDF) 7. พระราชบญั ญตั ขิ อมลู ขา วสารของราชการ พ.ศ. 2540 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2540/A/046/1.PDF) 8. ประมวลกฎหมายอาญา (http://web.krisdika.go.th/data/law/law4/%bb06/%bb06-20-9999-update.pdf) 9. พระราชบัญญตั สิ ุขภาพแหง ชาติ พ.ศ. 2550 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2550/A/016/1.PDF) 10. คาํ ประกาศสิทธแิ ละขอ พึงปฏิบัตขิ องผูป วย (http://www.mtc.or.th/file_news/file1_18.pdf) 11. ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนกิ ส เร่อื ง แนวนโยบายและแนวปฏิบัติในการคุมครองขอ มลู สว น บุคคลของหนว ยงานของรัฐ พ.ศ. 2553 (http://www.ratchakitcha.soc.go.th/DATA/PDF/2553/E/126/31.PDF) และที่แกค าํ ผดิ (http://www.ratchakitcha.soc.go.th/DATA/PDF/2553/E/134/99.PDF) 18

ภาคผนวก ภาคผนวก 1: มาตรฐานการรกั ษาความมั่นคงปลอดภยั ของระบบสารสนเทศตาม “วิธีการแบบปลอดภัย” ตาม ประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เรื่อง มาตรฐานการรกั ษาความม่ันคงปลอดภัยของระบบ สารสนเทศตามวธิ ีการแบบปลอดภัย พ.ศ. 2555 ภาคผนวก 2: แนวปฏิบัติในการรักษาความม่ันคงปลอดภัยดานสารสนเทศของกระทรวงสาธารณสุข พ.ศ. 2556 19

ภาคผนวก 1: มาตรฐานการรักษาความมั่นคงปลอดภัยของระบบสารสนเทศตาม “วิธีการแบบปลอดภัย” ตามประกาศคณะกรรมการธุรกรรมทางอิเล็กทรอนิกส เร่ือง มาตรฐานการรักษาความมั่นคง ปลอดภัยของระบบสารสนเทศตามวิธกี ารแบบปลอดภยั พ.ศ. 2555 เรียบเรียงโดย นพ.นวนรรน ธีระอมั พรพันธุ มาตรฐานการรักษาความมน่ั คงปลอดภัยของระบบสารสนเทศตาม “วิธีการแบบปลอดภยั ” แบง เปน 11 หมวด และประกาศคณะกรรมการธรุ กรรมทางอิเลก็ ทรอนิกสอ ีกฉบบั ทีอ่ อกตามความในพระราชกฤษฎีกา ดังกลาว ไดกําหนดมาตรฐานวิธกี ารแบบปลอดภัยในระดบั เครง ครดั ในแตละหมวดไว โดยอา งองิ ตามมาตรฐาน ISO/IEC 27001:2005 ซึง่ เปน มาตรฐานสากลดาน information security ทเ่ี ปนทีย่ อมรบั แมปจจุบนั จะมี มาตรฐานทปี่ รับปรุงใหม คือ ISO/IEC 27001:2013 มาแทนแลว แตห ลักเกณฑตามกฎหมายของไทยยังคงยดึ ตามมาตรฐานเดิมอยู และเนอ้ื หาโดยรวมก็ยงั มีความสอดคลอ งกนั มาตรฐานฉบับน้ีจึงอางองิ มาตรฐานตาม ประกาศคณะกรรมการธุรกรรมทางอเิ ล็กทรอนกิ สฉบับดังกลา ว เปน มาตรฐานข้นั ต่ํา โดยมีการจดั หมวดหมู ของมาตรฐานตามทีก่ ําหนดไวใน “วิธกี ารแบบปลอดภัย” เปน 11 หมวด ซึ่งมที ง้ั สวนทเ่ี ปน ความม่ันคง ปลอดภัยดานบรหิ ารจดั การ (administrative security) ความมั่นคงปลอดภัยดานกายภาพและ สภาพแวดลอม (physical security) และความม่ันคงปลอดภยั ทางเทคนคิ (technical security) 1. การสรางความม่ันคงปลอดภัยดา นบริหารจัดการ (Administrative Security) ซึ่งหมายถึง การจดั ใหม นี โยบาย มาตรการ หลักเกณฑ หรอื กระบวนการใดๆ เพื่อนาํ มาใชใ นกระบวนการ คัดเลือก การพฒั นา การนําไปใช หรอื การบํารงุ รักษาระบบสารสนเทศและขอมลู สารสนเทศ ใหมี ความมั่นคงปลอดภัย 1.1 กําหนดนโยบายในการรักษาความมัน่ คงปลอดภยั ดานสารสนเทศ โดยผานการอนุมตั แิ ละ ผลักดันโดยผูบ รหิ ารระดบั สูง และมีการประกาศนโยบายดังกลาวใหพ นักงานและ บุคคลภายนอกท่ีเก่ยี วของรบั ทราบโดยท่ัวกนั 1.2 วางแผนการติดตามและประเมนิ ผลการใชง านและนโยบายดังกลาวอยา งสม่าํ เสมอ เพ่ือ ปรบั ปรงุ ใหเหมาะสมกบั สถานการณ การใชง าน และคงความมีประสิทธิผลอยูเสมอ 1.3 มกี ารสรางความรว มมอื ระหวางผทู ี่มีบทบาทเกีย่ วของ 20

1.4 มีการกาํ หนดขัน้ ตอนและชองทางในการตดิ ตอ กับหนวยงานภายนอก ท่ีมีหนาท่ใี นการ กํากับดูแล หรอื การบังคับใชกฎหมาย รวมทั้งหนวยงานที่ควบคมุ ดแู ลสถานการณฉ กุ เฉิน ภายใตส ถานการณตา งๆ ไวอ ยา งชัดเจน 1.5 กอนท่จี ะอนุญาตใหหนวยงานหรือบคุ คลภายนอกเขา ถึงระบบสารสนเทศหรอื ใชข อมลู สารสนเทศของหนวยงาน ใหม ีการระบุความเสยี่ งทีอ่ าจเกิดข้นึ และกําหนดแนวทาง ปองกนั เพื่อลดความเสยี่ งน้นั กอนการอนญุ าต 2. การจัดโครงสรา งดานความมั่นคงปลอดภยั ของระบบสารสนเทศในสว นการบริหารจัดการ ท้ัง ภายในและภายนอกองคกร 2.1 ผูบรหิ ารระดับสงู ของหนว ยงานมหี นาท่ีดแู ลรับผิดชอบงานดา นสารสนเทศของหนว ยงาน ใหการสนับสนุน และกําหนดทศิ ทางการดาํ เนนิ งานเก่ียวกบั ความมัน่ คงปลอดภัยดา น สารสนเทศท่ีชัดเจน รวมท้ังมีการมอบหมายงานใหกบั ผูปฏบิ ัติงานอยางชัดเจน และ รับผิดชอบตอ ความเสยี่ ง ความเสียหาย หรืออนั ตรายท่เี กิดข้ึนกับระบบสารสนเทศทกุ กรณี 2.2 มกี ารกาํ หนดเนอ้ื งานหรือหนาท่ีความรับผิดชอบตางๆ เกี่ยวกับความม่ันคงปลอดภัยดาน สารสนเทศไวอ ยางชัดเจน 2.3 สาํ หรบั ระบบสารสนเทศใหม มกี ารกาํ หนดขั้นตอนการพิจารณาทบทวน เพ่อื อนมุ ัติการ สราง การติดตงั้ หรือการใชง านในแงมมุ ตางๆ เชน การบรหิ ารจดั การผูใชงานระบบ (user management) หรือความสามารถในการทาํ งานรว มกนั ไดร ะหวา งระบบเดิมและระบบ ใหม 2.4 มกี ารกาํ หนดสญั ญาการรกั ษาขอมูลที่เปน ความลบั (confidentiality agreement หรอื non-disclosure agreement) ท่ีสอดคลองกบั สถานการณแ ละความตองการของ หนวยงานในการปกปองขอมูลสารสนเทศ 2.5 มีขอ กําหนดเก่ยี วกับความมนั่ คงปลอดภยั ดานสารสนเทศสาํ หรบั การอนุญาตให ผูใชบ ริการทีเ่ ปนบุคคลภายนอกเขา ถึงระบบสารสนเทศ หรือใชข อมูลสารสนเทศของ หนวยงาน 2.6 สาํ หรับขอตกลงเพื่ออนุญาตใหบ ุคคลภายนอกเขา ถงึ ระบบสารสนเทศ หรือใชขอมูล สารสนเทศของหนว ยงาน เพือ่ การอาน การประมวลผล การบริหารจดั การระบบ 21

สารสนเทศ หรือการพัฒนาระบบสารสนเทศ ควรมขี อกําหนดเก่ียวกบั ความม่นั คง ปลอดภยั ดา นสารสนเทศระบุไวในขอ ตกลง 2.7 มกี ารกําหนดขนั้ ตอนและชองทางในการตดิ ตอ กับหนว ยงานภายนอกที่มคี วามเชยี่ วชาญ เฉพาะดาน หรอื หนว ยงานทมี่ ีความเชยี่ วชาญดา นความมน่ั คงปลอดภัยดา นสารสนเทศ ภายใตส ถานการณตา งๆ ไวอยางชัดเจน 2.8 จดั ใหม ีการพจิ ารณาทบทวนแนวทางในการบรหิ ารจัดการงานเก่ยี วกับความม่ันคง ปลอดภัยดา นสารสนเทศอยางสม่าํ เสมอ หรือเมื่อมีการเปลีย่ นแปลงใดๆ ในการ ดาํ เนินงาน ซ่งึ ควรดําเนนิ การโดยผูไมม สี ว นไดเสียกับงานท่ีมีการพจิ ารณาทบทวน 3. การบรหิ ารจัดการทรัพยส นิ สารสนเทศ (asset management) ซงึ่ รวมถงึ ระบบเครือขาย ระบบคอมพวิ เตอร ระบบสารสนเทศ เคร่ืองคอมพวิ เตอรแ ละอปุ กรณต า งๆ ตลอดจนขอมลู สารสนเทศ 3.1 มกี ารเก็บบันทกึ ขอ มลู ทรพั ยส ินสารสนเทศ โดยขอ มลู ท่ีจัดเก็บตอ งประกอบดวยขอมูลท่ี จาํ เปนในการคนหาเพ่ือการใชงานในภายหลงั 3.2 มีการกาํ หนดบคุ คลผมู ีหนา ทดี่ ูแลควบคุมการใชง านและรับผิดชอบทรัพยส นิ สารสนเทศไว 3.3 มีการกําหนดกฎระเบียบในการใชงานทรัพยส ินสารสนเทศไวอ ยางชัดเจน โดยจดั ทําเปน เอกสาร และมกี ารประกาศใชในหนว ยงาน 3.4 มกี ารจาํ แนกประเภทของขอมูลสารสนเทศ โดยจาํ แนกตามมลู คาของขอมลู ขอกาํ หนด ทางกฎหมาย ระดับชัน้ ความลับ และความสาํ คญั ตอหนวยงาน 3.5 มกี ารกาํ หนดและประกาศใชขน้ั ตอนท่ีเหมาะสมในการจําแนกประเภทของขอ มลู สารสนเทศ และจัดการขอมลู สารสนเทศ ทีส่ อดคลอ งกบั แนวทางที่ประกาศใชในขอ 3.4 4. การสรางความม่นั คงปลอดภัยของระบบสารสนเทศดานบคุ ลากร 4.1 กําหนดหนาทีค่ วามรับผดิ ชอบดา นความมัน่ คงปลอดภยั ดานสารสนเทศของพนักงาน หรอื หนวยงาน หรือบุคคลภายนอกทว่ี าจา ง โดยใหสอดคลอ งกับความมน่ั คงปลอดภัยดา น สารสนเทศและนโยบายท่ีหนว ยงานประกาศใช 4.2 ในการพจิ ารณารบั พนกั งานเขาทํางาน หรอื การวา จางหนว ยงานหรอื บุคคลภายนอก ใหมี การตรวจสอบประวัตหิ รือคณุ สมบตั ิเพื่อใหเ ปน ไปตามกฎหมาย กฎระเบียบและจรยิ ธรรม ท่ีเก่ยี วของ โดยใหค ํานงึ ถงึ ระดับชัน้ ความลับของขอมลู สารสนเทศทจี่ ะใหเ ขา ถึง และ ระดบั ความเสยี่ งทีไ่ ดป ระเมนิ 4.3 ในสญั ญาจางหรือขอตกลงการปฏบิ ัตงิ านของพนักงาน หรอื สัญญาวา จา งหนว ยงานหรือ บุคคลภายนอก ใหร ะบหุ นา ทีค่ วามรบั ผดิ ชอบดา นความมัน่ คงปลอดภัยดานสารสนเทศไว 22

4.4 ผบู ริหารระดบั สงู ตองกาํ หนดใหพ นกั งาน หนวยงานหรือบุคคลภายนอกทวี่ าจางปฏบิ ัติ ตามนโยบายหรือระเบียบปฏิบตั ดิ า นความม่นั คงปลอดภยั ทหี่ นว ยงานประกาศใช 4.5 กาํ หนดใหมีข้ันตอนการลงโทษพนักงานท่ีฝา ฝน นโยบายหรอื ระเบยี บปฏิบัตดิ ังกลาว 4.6 กาํ หนดหนา ที่ความรับผดิ ชอบในการยุติการจาง หรือการเปล่ยี นแปลงสถานะการจางให ชัดเจน และมอบหมายใหมผี รู ับผดิ ชอบอยางชดั เจน 4.7 พนกั งาน หนว ยงานหรอื บุคคลภายนอกท่ีวาจาง ตองสงคนื ทรัพยสินสารสนเทศของ หนว ยงานเม่อื ส้ินสุดสถานะการเปน พนกั งาน หรอื สิ้นสดุ สัญญาการปฏิบัตงิ าน 4.8 ใหยกเลกิ สิทธิของพนักงาน หนวยงานหรือบุคคลภายนอกในการเขาใชง านระบบ สารสนเทศ เม่อื สนิ้ สุดสถานะการเปน พนักงาน หรือส้นิ สุดสญั ญาการปฏบิ ตั ิงาน และให ปรบั เปลีย่ นระดับสิทธใิ นการเขา ใชง านระบบสารสนเทศใหเหมาะสม เม่ือมีการ เปลย่ี นแปลงหนาทีค่ วามรับผิดชอบใดๆ เกิดขึน้ 4.9 พนกั งาน หนวยงานหรือบคุ คลภายนอกตอ งไดรบั การอบรมเพื่อสรางความตระหนกั รู เกย่ี วกบั ความมนั่ คงปลอดภัยดา นสารสนเทศในสว นท่เี กย่ี วขอ งกบั หนาที่ความรบั ผิดชอบ ของตน และไดร ับการสือ่ สารใหทราบถงึ นโยบายหรอื ระเบียบปฏบิ ตั ิทปี่ ระกาศใชอ ยา ง สมํา่ เสมอ หรอื เม่อื มีการเปลยี่ นแปลง 5. การสรางความมั่นคงปลอดภัยดานกายภาพและสภาพแวดลอม (Physical Security) ซง่ึ เปน การจดั ใหมนี โยบาย มาตรการ หลักเกณฑ หรือกระบวนการใดๆ เพื่อนาํ มาใชใ นการปอ งกนั ทรัพยส ินสารสนเทศ ส่งิ ปลกู สรา ง หรือทรพั ยสินอื่นใดจากการคุกคามของบุคคล ภัยธรรมชาติ อุบตั ิภยั หรอื ภัยทางกายภาพอื่น 5.1 ใหม ีการปองกนั ขอบเขตพ้นื ที่ตัง้ ของหนวยงาน (security perimeter) ท่ีมกี ารติดตั้ง จดั เก็บ หรือใชง านระบบสารสนเทศและขอมลู สารสนเทศ 5.2 ในพ้ืนที่ทีต่ องมกี ารรักษาความมนั่ คงปลอดภัยดานกายภาพ (secure area) ตอ งมกี าร ควบคุมการเขาออก โดยใหเฉพาะผมู สี ิทธิที่สามารถเขา ออกได 5.3 มีการออกแบบแนวทางการปองกนั ทางกายภาพสาํ หรับการทํางานในพ้ืนทีท่ ่ีตองการรักษา ความม่นั คงปลอดภยั ดา นกายภาพ (secure area) และกําหนดใหม กี ารนําไปใชง าน 5.4 มกี ารควบคุมบริเวณที่ผูไมม ีสิทธิเขาถงึ อาจสามารถเขาถึงได เชน จดุ รับสงของ เปนตน หรอื หากเปน ไปไดใหแ ยกบรเิ วณดังกลาวออกจากพ้นื ทท่ี ม่ี ีการติดตัง้ จัดเก็บ หรือใชง าน ระบบสารสนเทศและขอมูลสารสนเทศ เพ่ือหลีกเลี่ยงการเขา ถึงโดยมิไดร บั อนญุ าต 5.5 มกี ารออกแบบและติดต้งั การปองกนั ความมนั่ คงปลอดภัยดานกายภาพ เพอ่ื ปองกนั ภยั จากภายนอก ภัยในระดับหายนะท้งั ที่กอโดยมนษุ ยหรือภัยธรรมชาติ เชน อคั คภี ัย 23

อุทกภัย แผนดินไหว ระเบิด การกอจลาจล เปนตน และปองกนั พนื้ ทหี่ รือสถานที่ ปฏบิ ัตงิ าน หรอื อุปกรณสารสนเทศตางๆ 5.6 จดั วางและปอ งกันอปุ กรณส ารสนเทศ เพ่ือลดความเสย่ี งจากภยั ธรรมชาตหิ รอื อันตราย ตา งๆ และเพอื่ ปองกันการเขาถึงโดยมิไดรับอนญุ าต 5.7 มีการปองกนั อุปกรณส ารสนเทศ ที่อาจเกิดจากไฟฟา ขดั ขอ ง (power failure) หรือท่ีอาจ หยุดชะงกั จากขอ ผดิ พลาดของโครงสรา งพื้นฐาน (supporting utilities) 5.8 มีการปองกันสายเคเบลิ ทใี่ ชเพอ่ื การสอ่ื สาร หรือสายไฟ เพื่อมิใหมกี ารดกั รับสญั ญาณ (interception) หรือมีความเสยี หายเกดิ ข้นึ 5.9 มกี ารดแู ล (maintenance) อปุ กรณส ารสนเทศอยางถูกวิธี เพ่อื ใหค งไวซ ึง่ ความถกู ตอง ครบถว นและอยูในสภาพพรอมใชงานอยูเสมอ 5.10 ไมค วรนําอปุ กรณส ารสนเทศ ขอมลู สารสนเทศ หรือซอฟตแวรออกจากสถานที่ปฏบิ ตั งิ าน ของหนว ยงานหากมิไดร บั อนุญาต 5.11 มีการรักษาความมั่นคงปลอดภยั ใหกบั อุปกรณส ารสนเทศทม่ี กี ารนาํ ไปใชงานนอกสถานที่ โดยใหค ํานึงถึงระดับความเส่ียงทีแ่ ตกตางกนั จากการนําไปใชง านในสถานทีต่ า งๆ 5.12 กอนการยกเลกิ การใชง านหรือจาํ หนายอุปกรณส ารสนเทศทีใ่ ชในการจดั เก็บขอมลู สารสนเทศ ตองมกี ารตรวจสอบอุปกรณส ารสนเทศน้ันวา ไดม ีการลบ ยาย หรือทําลาย ขอ มลู ทีส่ าํ คญั หรือซอฟตแ วรท่จี ัดซอ้ื และติดตั้งไวด ว ยวธิ กี ารที่ทาํ ใหไมสามารถกูค ืนไดอ กี 1 6. การบรหิ ารจัดการดา นการสอื่ สารและการดําเนินงานของระบบสารสนเทศ 6.1 มกี ารจดั ทํา ปรับปรุง และดแู ลเอกสารข้นั ตอนการปฏิบัตงิ านท่ีอยใู นสภาพพรอ มใชง าน เพอื่ ใหพนักงานสามารถนาํ ไปปฏิบัตไิ ด 6.2 มีการดแู ลใหบุคคลหรอื หนวยงานภายนอกท่ีใหบรกิ ารแกห นวยงานตามทวี่ าจา ง ปฏบิ ัติ ตามสัญญาหรือขอ ตกลงใหบ รกิ ารทรี่ ะบุไว ซึ่งตอ งครอบคลมุ ถงึ งานดา นความมนั่ คง ปลอดภยั ลกั ษณะการใหบ รกิ าร และระดบั การใหบรกิ าร (service level) 6.3 มีการแบงแยกหนา ทแี่ ละขอบเขตความรับผิดชอบอยา งชัดเจน เพอ่ื ลดโอกาสความ ผิดพลาดในการเปลี่ยนแปลงหรือใชง านระบบสารสนเทศหรือขอมลู สารสนเทศท่ผี ิด ประเภท 6.4 มกี ารตดิ ตามตรวจสอบรายงานหรือบนั ทกึ การใหบ ริการของบคุ คลหรือหนว ยงาน ภายนอกทีใ่ หบ ริการแกห นวยงานตามทีว่ า จางอยางสมํ่าเสมอ 1 สําหรบั สถานพยาบาล อาจรวมถึงการทาํ ลายขอมลู ในเอกสารในรปู แบบกระดาษหรือส่ืออ่ืนท่ีจับตอ งได ทอี่ าจระบุตัวตนของเจาของขอมูลไดดวย เชน ประวตั ผิ ปู วยในแฟมเวช ระเบียนหรอื บตั รผูป ว ยนอก (OPD Card) เอกสารประวัตผิ ูปวยท่ีอาจปรากฏในเอกสารประกอบการประชุมหรือการดําเนินการดา นตา งๆ ของโรงพยาบาล และฟลม เอกซเรยของ ผปู วยที่ไมใ ชแ ลว 24

6.5 มกี ารแยกระบบสารสนเทศสําหรับการพัฒนา ทดสอบ และใชง านจริงออกจากกนั เพื่อลด ความเสี่ยงในการเขาใชง านหรือการเปล่ียนแปลงระบบสารสนเทศโดยมไิ ดร บั อนญุ าต 6.6 จดั ใหม เี กณฑก ารตรวจรับระบบสารสนเทศทมี่ ีการปรับปรุง หรือที่มีเวอรช ่นั ใหม และควร มีการทดสอบระบบสารสนเทศทงั้ ในชว งการพัฒนาระบบและกอนการตรวจรบั 6.7 มขี ้นั ตอนควบคุมการตรวจสอบ ปองกัน และกูคนื ในกรณมี ีการใชง านโปรแกรมไมพึง ประสงค และใหม ีการสรา งความตระหนักรูใ หก บั ผใู ชงานเกี่ยวกบั โปรแกรมไมพ ึงประสงค 6.8 มีการสํารองขอมลู สารสนเทศ (backup) และทดสอบการนาํ กลบั มาใชง าน (recovery) โดยใหเปน ไปตามนโยบายการสาํ รองขอ มลู ท่ีหนว ยงานประกาศใช 6.9 มกี ารบรหิ ารจดั การการควบคมุ เครอื ขา ยคอมพิวเตอร เพอ่ื ปอ งกันภยั คุกคาม และมีการ รักษาความม่นั คงปลอดภัยของระบบสารสนเทศและ applications ท่ที ํางานบนเครือขาย คอมพวิ เตอร รวมทั้งขอ มลู สารสนเทศท่ีมีการแลกเปลีย่ นบนเครือขายดงั กลา ว 6.10 มีการกาํ หนดรปู แบบการรักษาความมน่ั คงปลอดภัย ระดับการใหบ รกิ าร ขอกาํ หนดการ บรหิ ารจัดการ ในขอตกลงการใหบ รกิ ารดานเครอื ขา ยคอมพิวเตอร ไมว า เปน การ ใหบริการโดยหนว ยงานเอง หรอื จางชวงไปยงั ผูใหบริการภายนอก 6.11 จัดใหม นี โยบายและขัน้ ตอนปฏบิ ตั งิ าน รวมท้ังควบคุมการแลกเปล่ียนขอมลู สารสนเทศ ผานชองทางการสอื่ สารในรูปแบบขอ มลู อิเล็กทรอนิกส 6.12 จัดใหมีขอตกลงในการแลกเปลี่ยนขอมลู สารสนเทศหรือซอฟตแวรร ะหวา งหนว ยงานกับ บุคคลหรอื หนว ยงานภายนอก 6.13 จัดใหม ีนโยบายและขัน้ ตอนการปฏบิ ัติงาน เพอื่ ปองกนั ขอมลู สารสนเทศที่มีการส่ือสาร หรือแลกเปลี่ยนผา นระบบสารสนเทศท่ีมีการเช่อื มตอ กบั ระบบสารสนเทศตางๆ 6.14 มีการปองกนั ขอ มลู สารสนเทศทีม่ ีการแลกเปลีย่ นในการทาํ e-commerce ผา นเครือขา ย คอมพวิ เตอรส าธารณะ เพื่อมิใหม ีการฉอโกง ละเมิดสญั ญา หรือมีการร่ัวไหลหรือขอ มูล สารสนเทศถกู แกไขโดยมิไดร ับอนุญาต2 6.15 มีการปองกันขอมลู สารสนเทศทีม่ ีการสอ่ื สารหรอื แลกเปล่ียนในการทาํ ธรุ กรรมทาง ออนไลน (online transaction) เพื่อมใิ หมีการรับสงขอมูลทไ่ี มส มบรู ณ หรือสงขอ มลู ไป ผิดท่ี หรือมกี ารรั่วไหลของขอ มลู หรือขอมลู ถกู แกไขเปลยนแปลง ถกู ทําซ้ําใหม หรือถูก สงซา้ํ โดยมิไดร บั อนญุ าต 2 สําหรบั สถานพยาบาล อาจตคี วามรวมถึงการทําธรุ กรรมทางการเงินหรอื การทาํ ธรุ กรรมกบั ผใู หบริการทางอเิ ลก็ ทรอนกิ ส การสง claims เบิกจายคารกั ษาพยาบาลกับกองทนุ การรับชําระเงนิ จากผูปวยผา นระบบอิเล็กทรอนิกส (online payment) และการทําธรุ กรรมกับสถาบันการเงนิ (เชน การจายเงนิ หรือโอนเงนิ เขาบญั ชีของบคุ ลากร) ดวย 25

6.16 สาํ หรบั ขอ มูลสารสนเทศท่มี ีการเผยแพรตอสาธารณชน ใหม กี ารปองกนั มใิ หมีการแกไข เปล่ยี นแปลงโดยมไิ ดร บั อนญุ าต และเพือ่ รักษาความถูกตองครบถว นของขอมูล สารสนเทศ 6.17 มกี ารเก็บบนั ทกึ ขอ มูล audit log ซึง่ บันทึกขอมูลกิจกรรมการใชงานของผูใชง าน และ เหตุการณเกี่ยวกบั ความมั่นคงปลอดภยั ตางๆ เพื่อประโยชนในการสืบสวน สอบสวน ใน อนาคต และเพ่ือการตดิ ตามการควบคมุ การเขาถึง 6.18 มีขน้ั ตอนการเฝา ตดิ ตามสงั เกตการใชง านระบบสารสนเทศ และมกี ารติดตามประเมินผล การตดิ ตามสังเกตดังกลา วอยางสมาํ่ เสมอ 6.19 มกี ารปองกนั ระบบสารสนเทศท่ีจัดเกบ็ log และขอ มูล log เพื่อปอ งกันการเขา ถึงหรือ แกไขเปลย่ี นแปลงโดยมิไดรับอนุญาต 6.20 มีการจดั เก็บ log ท่เี กย่ี วขอ งกบั การดูแลระบบสารสนเทศโดยผูด แู ลระบบ (system administrator) 6.21 มีการจัดเก็บ log ที่เก่ียวของกบั ขอผิดพลาดใดๆ ของระบบสารสนเทศ มกี ารวเิ คราะห log ดังกลาวอยา งสมํา่ เสมอ และมกี ารจัดการแกไขขอผดิ พลาดท่ีตรวจพบอยางเหมาะสม 6.22 มีการจัดการควบคุมการเปลยี่ นแปลงของระบบสารสนเทศ 6.23 มีการติดตามผลการใชง านทรพั ยากรสารสนเทศ และวางแผนดานทรัพยากรสารสนเทศให รองรบั การปฏบิ ตั งิ านในอนาคตอยา งเหมาะสม 6.24 มขี ้นั ตอนการปฏิบตั ิงานในการจัดการและจัดเกบ็ ขอมลู สารสนเทศเพื่อมใิ หขอมลู ร่วั ไหล หรือถูกนาํ ไปใชผ ดิ ประเภท 6.25 ระบบเวลาของระบบสารสนเทศตา งๆ ท่ีใชใ นหนวยงานหรือในขอบเขตงานดานความ มนั่ คงปลอดภยั (security domain) ตอ งมีความสอดคลอ งกัน (synchronization) โดย ใหมีการต้งั คา พรอมกับเวลาจากแหลงเวลาทเ่ี ชอ่ื ถือได 6.26 มกี ารบรหิ ารจดั การการเปลยี่ นแปลงใดๆ เกยี่ วกบั การจัดเตรยี มการใหบรกิ าร และการ ดูแลปรบั ปรุงนโยบายในการรักษาความมน่ั คงปลอดภยั ดา นสารสนเทศ ข้ันตอน ปฏบิ ตั ิงาน หรือการควบคุมเกย่ี วกบั ความมัน่ คงปลอดภัยดา นสารสนเทศ โดยคาํ นงึ ถึง ระดับความสาํ คัญของการดําเนนิ ธรุ กจิ ที่เก่ียวของและการประเมนิ ความเสี่ยงอยา ง ตอ เนอ่ื ง 6.27 หากหนวยงานอนญุ าตใหมกี ารใชง าน mobile code (เชน script บางอยา งของ web application ทีม่ ีการทํางานอตั โนมัตเิ ม่ือเรยี กดเู วบ็ ) ควรมีการตง้ั คา การทํางาน (configuration) เพอื่ ใหม น่ั ใจไดวาการทาํ งานของ mobile code นัน้ เปนไปตามความ 26

ม่ันคงปลอดภัยดา นสารสนเทศและนโยบาย และหากนโยบายหามมิให mobile code ดังกลา วทาํ งานได มีการหามการทาํ งานของ mobile code ดังกลาวโดยอตั โนมัติ 6.28 มีข้นั ตอนการปฏบิ ัตงิ านสําหรบั การบริหารจดั การ removable media เชน USB drive 6.29 มีข้ันตอนการปฏบิ ตั ิงานในการทาํ ลาย removable media อยางม่ันคงปลอดภยั 6.30 มกี ารปองกนั มิใหข อมลู หรอื เอกสารเกี่ยวกับระบบสารสนเทศ (system documentation) ถกู เขาถงึ โดยมไิ ดร บั อนญุ าต 6.31 ในกรณที ่ีมีการเคลอื่ นยา ยอปุ กรณทจ่ี ดั เก็บขอมูลสารสนเทศ ใหม กี ารปอ งกันอปุ กรณ ดงั กลา ว เพือ่ มใิ หมีการเขาถึงโดยมไิ ดรับอนญุ าต หรอื ถูกนาํ ไปใชง านผดิ ประเภท หรอื เสียหาย 6.32 ใหม กี ารปองกันขอมลู สารสนเทศที่มีการสื่อสารกนั ผา นขอมูลอเิ ล็กทรอนิกส (electronic messaging) เชน e-mail, EDI หรอื instant messaging3 7. การควบคมุ การเขาถงึ ระบบสารสนเทศและขอมูลสารสนเทศ 7.1 จัดใหม นี โยบายควบคมุ การเขาถงึ โดยจดั ทําเปน เอกสาร และมกี ารติดตามทบทวนให นโยบายดงั กลา วสอดคลองกับขอ กาํ หนดหรอื ความตองการดา นการดาํ เนินงานหรือการ ใหบ รกิ าร และดา นการรักษาความมัน่ คงปลอดภัยระบบสารสนเทศ 7.2 จัดใหมีการลงทะเบียน (register) บัญชีผใู ชงานระบบสารสนเทศ (user accounts) และ ยกเลกิ บญั ชผี ใู ชอ ยางเปนทางการ เพอ่ื ควบคุมการใหสิทธแิ ละการยกเลิกสิทธิในการเขา ใช งานระบบสารสนเทศใดๆ ของหนว ยงาน 7.3 การกาํ หนดสทิ ธใิ นการเขาถึงระดับสูง ใหท ําอยางจาํ กดั และอยูภ ายใตก ารควบคมุ 7.4 ผใู ชงานตอ งดูแลปองกันอุปกรณส ารสนเทศใดทอี่ ยูภายใตความดแู ลรับผิดชอบ ใน ระหวางที่ไมม กี ารใชง าน 7.5 จาํ กัดการเขา ถึงเครือขายคอมพิวเตอรของหนว ยงานที่สามารถเขา ถึงไดจ ากภายนอก โดย ใหสอดคลองกบั นโยบายควบคุมการเขา ถึง และขอกาํ หนดการใชง าน application เพื่อ การดําเนนิ งาน 7.6 ใหผใู ชง านทกุ คนมบี ญั ชผี ูใชง านเปนของตนเอง และใหระบบสารสนเทศมีเทคนิคการ ตรวจสอบตัวตน (authentication) ท่ีเพียงพอ เพ่ือใหส ามารถระบุตวั ตนของผเู ขา ใชงาน ระบบสารสนเทศได 3 อาจตคี วามรวมถึงการใชส ื่อสังคมออนไลน (social media) ของบคุ ลากร ท้งั ทีเ่ กย่ี วขอ งกบั การปฏบิ ัตงิ านและกรณีอ่นื ๆ ที่อาจเกี่ยวของกับขอ มลู ผูป วยหรือสง ผลกระทบตอ องคก รได 27

7.7 ใหยุตหิ รือปดหนา จอการใชง านระบบสารสนเทศโดยอตั โนมัติ หากไมมกี ารใชงานเกิน ระยะเวลาสงู สุดทก่ี ําหนดไว 7.8 จาํ กดั การเขา ถงึ ขอมลู สารสนเทศและ function ตา งๆ ใน application ของผูใชง านและ ผดู ูแลระบบสารสนเทศ โดยใหสอดคลอ งกับนโยบายการเขาถึงทไ่ี ดก าํ หนดไว 7.9 กําหนดนโยบายและแนวทางการจดั การดา นความมัน่ คงปลอดภยั เพื่อลดความเส่ียงใน การใชง านอุปกรณส ารสนเทศหรอื อุปกรณก ารส่อื สารท่ีเคลื่อนยา ยได เชน laptop computers หรอื smart phones เปนตน 7.10 มีขอบังคบั ใหผใู ชงานปฏิบตั ติ ามขั้นตอนเพ่ือการเลือกใชร หัสผา นอยา งมน่ั คงปลอดภยั ตามท่หี นว ยงานกําหนด4 7.11 จดั ใหม ีขัน้ ตอนการบรหิ ารจดั การเรอื่ งการกาํ หนดรหสั ผานอยางเปน ทางการ 7.12 ผใู ชง านสามารถเขา ถึงเฉพาะบริการทางเครอื ขายคอมพวิ เตอรท ตี่ นเองไดร ับอนุญาตให ใชไดเทานนั้ (authorization) 7.13 กําหนดใหผบู ริหารติดตามทบทวนระดับสทิ ธใิ นการเขา ถึงของผใู ชงานอยางเปน ทางการ เปนประจํา 7.14 มีการกาํ หนดนโยบาย clear desk สําหรบั ขอมลู สารสนเทศในรปู แบบกระดาษและที่ จัดเก็บใน removable media และนโยบาย clear screen สาํ หรับระบบสารสนเทศ (เพ่ือควบคมุ การเขาถึงขอมูลทีเ่ ปนความลับ) 7.15 ใหมีการกําหนดวธิ ีการตรวจสอบตัวตนที่เหมาะสมเพอื่ ควบคมุ การเขาถงึ ระบบสารสนเทศ ของหนว ยงานจากระยะไกล (remote access) 7.16 กําหนดใหมนี โยบาย แผนงาน และขนั้ ตอนการปฏบิ ัตงิ านท่ีเกี่ยวของกบั กจิ กรรมใดๆ ที่มี การปฏิบตั งิ านจากภายนอกหนวยงาน (teleworking) 7.17 มีการควบคุมการเขาถึงชองทางการดูแลระบบสารสนเทศท้ังทางกายภาพและการ เชอื่ มตอ ผา นคอมพิวเตอร สาํ หรบั ระบบสารสนเทศทสี่ ามารถเขา ถึงจากระยะไกลได เชน remote diagnostic หรอื configuration facility ของอุปกรณเครือขายคอมพวิ เตอร 7.18 มีการจัดกลุมตามประเภทของขอ มูลสารสนเทศท่ใี หบริการ ระบบสารสนเทศ กลุม ผูใ ชงาน โดยมีการแบง แยกบนเครือขายคอมพิวเตอรอยา งเปน สัดสว น 4 โดยท่วั ไป นโยบายรหสั ผานที่เหมาะสม ควรมีความยาว 8 ตวั อักษรขึน้ ไป, ประกอบดว ยตัวอักษรภาษาอังกฤษตัวใหญ ตวั เล็ก และตวั เลขปะปนกัน (หรืออาจรวม สัญลกั ษณ พเิ ศษดว ย โดยมีตวั อักษร 3 ใน 4 ประเภทน้ีปะปนกัน), ไมม คี ําท่ีมคี วามหมายปนอยู, หา มจดบันทึกรหสั ผา นไว, หา มใชร หสั ผา นรว มกนั , หา มใชรหสั ผา นเดมิ ท่เี คยใชม ากอน, บังคบั เปลย่ี นรหสั ผา นทุกๆ 6 เดือนสําหรบั ระบบปกติ และ 3 เดือนสาํ หรบั ระบบท่ีสาํ คญั เปนพเิ ศษ และระบบมีการ time-out หรอื lock account หากมีการปอ นรหสั ผาน ผิดพลาดหลายคร้งั 28

7.19 กาํ หนดใหม ีการควบคมุ เสนทางการไหลของขอ มูลสารสนเทศในระบบเครือขา ย คอมพวิ เตอร เพือ่ ไมใหข ดั แยงกบั นโยบายควบคุมการเขา ถึงของ application 7.20 ใหม กี ารระบอุ ปุ กรณท่เี ชื่อมตอเขากบั ระบบสารสนเทศโดยอตั โนมตั ิ (automatic equipment identification) เพือ่ ตรวจสอบการเชื่อมตอของอุปกรณดังกลาววามาจาก อุปกรณดงั กลาวจริง หรือจากสถานทท่ี ่ีกาํ หนดไวเทาน้ัน ทัง้ น้ี จําเปน สําหรับการท่รี ะบบ สารสนเทศจะรบั การเชอ่ื มตอจากเฉพาะอปุ กรณท่ีไดรับอนุญาตหรือมาจากเฉพาะสถานที่ ที่ไดร ับอนญุ าต 7.21 กําหนดขั้นตอนการ log-on เพื่อควบคุมการเขาถึงระบบปฏิบัติการ 7.22 ใหจัดทาํ หรอื จัดใหมรี ะบบการบริหารจดั การรหัสผา นที่สามารถทาํ งานแบบเชงิ โตตอบกับ ผูใชง าน (interactive) และสามารถรองรับการใชง านรหัสผานท่ีมีความม่ันคงปลอดภัย 7.23 ใหจํากัดการเขา ถึงการใชง านโปรแกรมอรรถประโยชน (utilities) ตางๆ อยางเขมงวด เนื่องจากโปรแกรมดงั กลาวอาจมคี วามสามารถควบคุมดูแลและเปลีย่ นแปลงการทาํ งาน ของระบบสารสนเทศได 7.24 จํากัดระยะเวลาการเชื่อมตอ กับระบบสารสนเทศท่ีมีระดับความเสย่ี งสงู เพื่อเพิ่มระดับ การรักษาความมน่ั คงปลอดภยั 7.25 สาํ หรับระบบสารสนเทศท่ีมคี วามสําคญั สงู ตอ งจดั ใหมีระบบสารสนเทศทาํ งานใน สภาพแวดลอมท่แี ยกออกมาตางหาก โดยไมใชป ะปนกับระบบสารสนเทศอื่น 8. การจัดหาหรือจัดใหม กี ารพฒั นา และการบาํ รุงรักษาระบบสารสนเทศ 8.1 ในการจดั ทาํ ขอ กาํ หนดขน้ั ตา่ํ ของระบบสารสนเทศใหม หรอื การปรับปรงุ ระบบสารสนเทศ เดิม ใหมกี ารระบขุ อกําหนดดา นการควบคุมความมนั่ คงปลอดภัยดานสารสนเทศไวด ว ย 8.2 ใหดแู ล ควบคมุ ติดตามตรวจสอบการทํางานในการจา งชวงพัฒนาซอฟตแวร 8.3 ใหมกี ารตรวจสอบ (validate) ขอมลู ใดๆ ทจ่ี ะรับเขาสู application (input) กอ นเสมอ เพือ่ ใหมัน่ ใจไดว า ขอมลู มีความถูกตองและมีรูปแบบเหมาะสม 8.4 ใหมีการตรวจสอบ (validate) ขอ มูลใดๆ อันเปน ผลจากการประมวลผลของ application (return output) เพอ่ื ใหม ่นั ใจไดว า ขอมูลที่ไดจ ากการประมวลผลถกู ตอง และเหมาะสม 8.5 ใหม ีการตรวจสอบ (validate) การทํางานของ application เพ่อื ตรวจหาขอ ผิดพลาดของ ขอมูลท่ีอาจเกิดจากการทํางานหรอื การประมวลผลทผี่ ดิ พลาด 29

8.6 ใหมขี อกาํ หนดขนั้ ตํา่ สําหรับการรกั ษาความถกู ตอ งแทจรงิ (authenticity) และความถูก ตอ งครบถวน (integrity) ของขอมลู ใน application รวมทั้งมีการระบุและปฏบิ ัติตาม วธิ กี ารปองกนั ทเ่ี หมาะสม 8.7 จดั ใหม ีแนวทางการบรหิ ารจดั การกุญแจ (key) เพอื่ รองรับการใชง านเทคนคิ ท่ีเก่ียวของ กับการเขารหสั ลบั ของหนวยงาน 8.8 ใหเลือกชุดขอมลู สารสนเทศท่ีจะนําไปใชเ พอ่ื การทดสอบในระบบสารสนเทศอยา ง ระมดั ระวงั รวมท้ังมีแนวทางควบคมุ และปอ งกันขอมลู ร่วั ไหล 8.9 ใหม กี ารจาํ กัดการเขาถึง source code ของโปรแกรม 8.10 หากมีการเปลยี่ นแปลงใดๆ ในระบบปฏิบตั ิการคอมพิวเตอร ใหมีการตรวจสอบทบทวน การทํางานของโปรแกรมท่มี คี วามสําคัญ (regression testing) และทดสอบการใชง าน เพ่อื ใหม ่นั ใจวาผลของการเปล่ียนแปลงดังกลา ว จะไมสงผลกระทบใดๆ ตอความมน่ั คง ปลอดภยั ของระบบสารสนเทศและการใหบ รกิ ารของหนวยงาน 8.11 จดั ใหม ีนโยบายในการใชง านเทคนคิ ท่เี ก่ยี วของกบั การเขารหัสลบั 8.12 กําหนดใหมีข้ันตอนการปฏบิ ัติงานเพื่อควบคมุ การตดิ ต้งั ซอฟตแวรบนระบบสารสนเทศที่ ใหบริการ 8.13 ใหม กี ารควบคมุ การเปล่ียนแปลงตางๆ ในการพัฒนาระบบสารสนเทศ โดยมขี น้ั ตอนการ ควบคุมท่เี ปน ทางการ 8.14 ใหจ าํ กัดการเปลีย่ นแปลงใดๆ ตอ ซอฟตแวรท ี่ใชง าน (software package) โดยให เปล่ยี นแปลงเฉพาะเทาทจี่ าํ เปน และควบคุมทกุ ๆ การเปลี่ยนแปลงอยา งเขม งวด 8.15 มีมาตรการปองกนั เพื่อลดโอกาสท่ีเกดิ การร่ัวไหลของขอมูลสารสนเทศ 9. การบริหารจดั การสถานการณดา นความม่ันคงปลอดภยั ที่ไมพ ึงประสงค หรือไมอาจคาดคดิ (information security incident management) 9.1 ใหม ีการรายงานสถานการณด านความมัน่ คงปลอดภยั ที่ไมพึงประสงค หรือไมอ าจคาดคิด (unwanted or unexpected) ผา นชองทางการบรหิ ารจดั การทเ่ี หมาะสมโดยเรว็ ท่สี ุด 9.2 กาํ หนดใหพนักงานหรือผใู ชงานทเี่ ปน บคุ คลภายนอก มีการบันทกึ และรายงานจดุ ออน ใดๆ ที่อาจสงั เกตพบระหวา งการใชง านระบบสารสนเทศ 9.3 กําหนดขอบเขตความรับผดิ ชอบของผบู รหิ ารและข้นั ตอนการปฏบิ ตั งิ าน เพ่อื ตอบสนอง ตอ สถานการณดานความมน่ั คงปลอดภัยที่ไมพ ึงประสงค หรือไมอาจคาดคดิ อยางรวดเร็ว มรี ะเบียบ และมปี ระสทิ ธิผล 30

9.4 หากในขั้นตอนการตดิ ตามผลกับบคุ คลหรือหนวยงานภายหลังจากเกิดสถานการณด าน ความม่นั คงปลอดภยั ท่ีไมพึงประสงค หรอื ไมอาจคาดคดิ ซึ่งเก่ียวของกบั การดําเนินการ ทางกฎหมาย (ไมวา ทางแพงหรือทางอาญา) ใหมีการรวบรวม จดั เก็บ และนําเสนอ หลักฐาน ใหส อดคลองกบั หลักเกณฑข องกฎหมายท่ใี ชบงั คับ 10. การบริหารจดั การดา นการบรกิ ารหรือการดําเนนิ งานของหนวยงานหรอื องคก รเพื่อใหมีความ ตอเน่อื ง (business continuity management) 10.1 ใหกําหนดแผนเพอ่ื รกั ษาไวห รือกูค ืนการใหบ ริการสารสนเทศ หลงั เกิดเหตุการณท ่ที าํ ให การดําเนนิ งานหยดุ ชะงัก เพอ่ื ใหขอ มูลสารสนเทศอยใู นสภาพพรอ มใชง านตามระดบั ท่ี กําหนดไว ภายในระยะเวลาท่ีกาํ หนดไว 10.2 จัดใหมขี อกําหนดเกีย่ วกับความมั่นคงปลอดภัยดานสารสนเทศที่จําเปน โดยกาํ หนดให เปน สว นหน่งึ ของขน้ั ตอนการบรหิ ารจดั การเพ่ือการดาํ เนนิ งานอยา งตอเน่ืองในภาวะ ฉุกเฉนิ 10.3 กาํ หนดใหมีกรอบงานหลักสําหรับการพฒั นาแผนการบรหิ ารจัดการเพื่อการดําเนินงาน อยางตอเนื่องในภาวะฉุกเฉิน เพื่อใหก ารพัฒนาแผนตางๆ เปนไปในทิศทางเดียวกนั รวมท้งั สอดคลองกับขอกาํ หนดดานความม่ันคงปลอดภยั ตลอดจนมีการจดั ลาํ ดับ ความสาํ คญั กอนหลังในการทดสอบและการดแู ล 10.4 ใหมีการระบุเหตกุ ารณใ ดๆ ที่อาจสง ผลใหก ารดําเนินงานหยดุ ชะงัก และความเปนไปไดใน การเกดิ ผลกระทบ ตลอดจนผลตอ เน่ืองจากการหยุดชะงักนน้ั ในแงข องความมั่นคง ปลอดภัยดานสารสนเทศ 10.5 ใหมกี ารทดสอบและปรบั ปรุงแผนการบริหารจัดการเพื่อการดาํ เนินงานอยางตอเนื่องใน ภาวะฉกุ เฉนิ อยางสมํ่าเสมอ เพื่อใหมน่ั ใจวาแผนดังกลาวเปน ปจจุบนั และมีประสิทธิผลอยู เสมอ 11. การตรวจสอบและการประเมินผลการปฏบิ ัติตามนโยบาย มาตรการ หลกั เกณฑ หรือ กระบวนการใดๆ รวมท้ังขอ กาํ หนดดานความมน่ั คงปลอดภัยของระบบสารสนเทศ 11.1 ใหมีการระบุไวใ หชดั เจนถึงแนวทางในการดําเนนิ งานของระบบสารสนเทศท่ีมคี วาม สอดคลองตามกฎหมายและขอ กาํ หนดตามสญั ญาตางๆ ของหนว ยงาน โดยตองจดั ทําเปน เอกสาร และมีการปรับปรงุ ใหเปน ปจ จุบนั อยูเ สมอ 11.2 ปอ งกนั มิใหมีการใชงานระบบสารสนเทศผิดวัตถปุ ระสงค 31

11.3 พนักงานของหนว ยงานตอ งดูแลใหงานทเ่ี กี่ยวกบั ความม่ันคงปลอดภัยดานสารสนเทศที่ อยูในขอบเขตความรบั ผดิ ชอบไดดาํ เนินการไปโดยสอดคลองกับกฎหมายและขอกําหนด ตามสญั ญาตา งๆ ของหนว ยงาน 11.4 จัดใหม ีการคมุ ครองขอมูลสว นบุคคลโดยใหส อดคลองกับกฎหมายและขอกาํ หนดตาม สญั ญาตางๆ ของหนว ยงาน (ดหู วั ขอ Privacy Standards) 11.5 ใชเ ทคนิคการเขา รหัสลับ ท่ีสอดคลอ งกบั กฎหมายและขอกําหนดตามสญั ญาตา งๆ ของ หนว ยงาน 11.6 ใหมกี ารทบทวนตรวจสอบระบบสารสนเทศในดา นเทคนคิ อยา งสมา่ํ เสมอเพ่ือให สอดคลองกบั มาตรฐานการพัฒนางานดา นความม่ันคงปลอดภัยดานสารสนเทศ 11.7 วางแผนและจัดใหม ีขอกําหนดการตรวจสอบและกิจกรรมทีเ่ กี่ยวของกับการตรวจสอบ ระบบสารสนเทศ เพือ่ ลดความเสี่ยงในการเกิดการหยดุ ชะงักของการใหบ ริการ 11.8 ปอ งกนั การเขา ใชง านเครื่องมอื ทีใ่ ชเ พอ่ื การตรวจสอบ เพ่ือมใิ หเ กดิ การใชง านผิดประเภท หรือถูกละเมิดการใชงาน (compromise) 11.9 กําหนดขัน้ ตอนปฏบิ ตั ิงานเพือ่ ใหม ่ันใจวาในการใชง านขอมลู ทอ่ี าจถือเปน ทรัพยสนิ ทาง ปญ ญาหรอื การใชงานซอฟตแวรมีความสอดคลองกับกฎหมายและขอกาํ หนดตามสญั ญา ตา งๆ 11.10ปองกันมใิ หขอมูลสารสนเทศท่ีสาํ คัญเกิดความเสียหาย สูญหายหรือถูกปลอมแปลง โดย ใหส อดคลองกับกฎหมาย ขอกาํ หนดตามสัญญาตา งๆ ของหนว ยงาน และขอกาํ หนดการ ใหบริการ 32

ภาคผนวก 2: แนวปฏบิ ตั ใิ นการรักษาความม่ันคงปลอดภยั ดา นสารสนเทศของกระทรวงสาธารณสุข พ.ศ. 2556 ตามประกาศกระทรวงสาธารณสุข เร่อื ง นโยบายในการรกั ษาความมน่ั คงปลอดภยั ดานสารสนเทศ ของกระทรวงสาธารณสุข กําหนดใหม ีการจัดทาํ แนวปฏบิ ตั ใิ นการรกั ษาความม่ันคงปลอดภัยดา นสารสนเทศ ของกระทรวงสาธารณสุข เพ่ือใหร ะบบเทคโนโลยสี ารสนเทศของกระทรวงสาธารณสุข เปน ไปอยา งเหมาะสม มีประสทิ ธภิ าพ มีความม่นั คงปลอดภยั และสามารถดําเนนิ งานไดอยา งตอเนอ่ื ง รวมทง้ั ปองกันปญหาที่อาจจะ เกดิ ขึ้นจากการใชงานระบบเทคโนโลยสี ารสนเทศในลกั ษณะทไี่ มถกู ตอง และจากการถูกคุกคามจากภัยตา ง ๆ ซง่ึ อาจกอใหเ กิดความเสยี หายตอ กระทรวงสาธารณสุขนัน้ กระทรวงสาธารณสุข จึงกําหนดแนวปฏบิ ัตใิ นการใชร ะบบสารสนเทศใหม ีความม่ันคงปลอดภัย ดงั นี้ ขอ ๑ คาํ นิยาม “หนว ยงาน” หมายถงึ กรม สาํ นกั สถาบัน ศนู ย กอง และหนว ยงานทีม่ ฐี านะเทยี บเทา กรม/กอง รวมถึงหนวยงานสวนภูมิภาค ท่อี ยูใ นสงั กัดกระทรวงสาธารณสขุ “ผูใชงาน” หมายถงึ ขา ราชการ ลกู จา ง และพนกั งานราชการ ผดู แู ลระบบ ผบู รหิ ารองคกร ผรู บั บรกิ าร หรือผทู ่ีไดรับอนุญาตใหใชเครือ่ งคอมพิวเตอรแ ละระบบเครอื ขา ยของหนว ยงาน “ผูบริหาร” หมายถงึ ผูมีอํานาจในการบงั คับบญั ชาในหนว ยงาน ไดแก ปลดั กระทรวง อธบิ ดี หรือเทียบเทา ผูอาํ นวยการสํานัก/สถาบนั /ศูนย/ กอง เปน ตน “ผบู ริหารระดับสูง” หมายถึง ปลดั กระทรวง อธิบดหี รือเทยี บเทา “ผดู แู ลระบบ” (System Administrator) หมายถึง ผูท่ไี ดรบั มอบหมายจากหัวหนา หนว ยงาน ใหม หี นาทรี่ บั ผดิ ชอบดูแลรักษาหรือจัดการระบบคอมพวิ เตอรและระบบเครือขายไมว า สวนหนึ่งสวนใด “เจาของขอมูล” หมายถงึ ผูไ ดร ับมอบอํานาจจากหวั หนาหนวยงานใหรบั ผดิ ชอบขอมูล ของระบบงาน โดยเจา ของขอมลู เปน ผรู ับผดิ ชอบขอ มลู น้ัน ๆ หรอื ไดรบั ผลกระทบโดยตรงหากขอมลู เหลา น้นั เกิดสญู หาย “สทิ ธิของผูใชงาน” หมายถงึ สิทธิท่ัวไป สทิ ธิจําเพาะ สิทธิพิเศษ และสิทธอิ ่นื ใดที่ เกีย่ วขอ งกับระบบสารสนเทศของหนวยงาน โดยหนวยงานจะเปน ผพู ิจารณาสทิ ธิในการใชสนิ ทรัพย 33

“สินทรพั ย” หมายถงึ ขอมูล ระบบขอมลู และทรัพยส ินดานเทคโนโลยสี ารสนเทศและการ สือ่ สารของหนว ยงาน เชน เคร่ืองคอมพวิ เตอรแบบตง้ั โตะและแบบพกพา อุปกรณสอื่ สารท่สี ามารถเชอ่ื มตอกบั ระบบเครือขาย อาทเิ ชน โทรศพั ทเ คล่อื นทีท่ ี่สามารถเชือ่ มตอกบั ระบบเครือขายได (Smartphone) อุปกรณร ะบบเครอื ขา ย ฮารด แวรและซอฟตแวร รวมถึงซอฟตแ วรทีม่ ลี ิขสิทธ์ิ เปนตน “ระบบเครอื ขา ย” หมายถึง ระบบทีส่ ามารถใชในการตดิ ตอสอ่ื สารหรือการสง ขอมลู และ สารสนเทศระหวา งระบบเทคโนโลยสี ารสนเทศตาง ๆ ของหนว ยงานได เชน ระบบเครือขา ยแบบมีสาย (LAN) และระบบเครอื ขา ยแบบไรส าย (Wireless LAN) เปน ตน “การเขาถึงหรือควบคมุ การใชงานสารสนเทศ” หมายถึง การอนุญาต การกําหนดสิทธ์ิ หรือการมอบอํานาจใหผใู ชง านเขาถงึ หรอื ใชง านเครอื ขายหรอื ระบบสารสนเทศ ท้งั ทางอเิ ลก็ ทรอนกิ สและทาง กายภาพ รวมทัง้ การอนญุ าตเชน วานั้นสาํ หรบั บคุ คลภายนอก ตลอดจนอาจกาํ หนดขอปฏิบัตเิ กีย่ วกบั การ เขา ถึงโดยมชิ อบเอาไวดวยก็ได “ความมน่ั คงปลอดภยั ดานสารสนเทศ” หมายถงึ การธํารงไวซ ง่ึ ความลบั ความถกู ตอง ครบถวน และสภาพพรอ มใชง านของสารสนเทศ รวมท้ังคณุ สมบตั ิอนื่ ไดแก ความถกู ตอ งแทจ ริง ความรบั ผิด การหามปฏเิ สธความรบั ผิด และความนาเชื่อถือ “เหตุการณดา นความม่นั คงปลอดภยั ” หมายถึง การเกดิ เหตกุ ารณ สภาพของบริการ หรอื เครอื ขายทีแ่ สดงใหเ ห็นความเปนไปได ทจี่ ะเกดิ การฝา ฝน นโยบายดา นความมน่ั คงปลอดภัย หรอื มาตรการ ปอ งกันทีล่ มเหลว หรือเหตกุ ารณอันไมอาจรูไ ดวา อาจเกย่ี วขอ งกับความม่ันคงปลอดภัย “สถานการณดานความมน่ั คงปลอดภยั ทไ่ี มพึงประสงคหรือไมอ าจคาดคดิ ” หมายถึง สถานการณดา นความม่นั คงปลอดภัยทไี่ มพงึ ประสงคห รือไมอาจคาดคิด ซึง่ อาจทําใหระบบของหนว ยงานถูก บกุ รุกหรือโจมตี และความม่นั คงปลอดภยั ถูกคกุ คาม 34

หมวดที่ ๑ การควบคมุ การเขาถงึ และการใชงานระบบสารสนเทศ วัตถปุ ระสงค ๑ เพอ่ื ควบคมุ การเขา ถงึ ขอมลู และอุปกรณใ นการประมวลผลขอ มลู โดยคาํ นึงถึงการใชง านและ ความมั่งคงปลอดภยั ๒ เพอื่ กําหนดกฎเกณฑที่เก่ยี วกับการอนุญาตใหเ ขาถึง การกําหนดสิทธ์ิ และการมอบอาํ นาจของ หนว ยงานของรัฐ ๓ เพื่อใหผ ูใชงานไดร ับรเู ขาใจและสามารถปฏิบัติตามแนวทางทก่ี าํ หนดโดยเครงครดั และตระหนกั ถงึ ความสําคัญของการรักษาความมน่ั คงปลอดภยั ของระบบสารสนเทศ แนวปฎบิ ตั ิ สวนที่ ๑ การควบคุมการเขาถงึ สารสนเทศ (Access Control) ขอ ๑. ผดู ูแลระบบ จะอนุญาตใหผูใ ชงานเขา ถึงระบบสารสนเทศที่ตอ งการใชงานได ตอเมื่อไดรับ อนญุ าตจาก ผูร บั ผดิ ชอบ/เจา ของขอ มูล/เจาของระบบ ตามความจําเปนตอการใชงาน เทา นน้ั ขอ ๒. บุคคลจากหนว ยงานภายนอกทีต่ องการสทิ ธิ์ในการเขาใชงานระบบสารสนเทศของหนวยงาน จะตองขออนญุ าตเปน ลายลักษณอักษรตอหวั หนาหนวยงาน ขอ ๓. ผูดแู ลระบบ ตอ งกาํ หนดสิทธ์ิการเขา ถึงขอมูลและระบบขอ มูลใหเ หมาะสมกับการเขาใชง าน ของผใู ชง าน และหนาที่ความรับผิดชอบในการปฏิบัตงิ านของผใู ชง านระบบสารสนเทศ รวมทั้งมกี ารทบทวน สิทธก์ิ ารเขาถึงอยา งสมํา่ เสมอ ดังนี้ (๑) กําหนดเกณฑในการอนญุ าตใหเขาถงึ การใชง านสารสนเทศ ทีเ่ ก่ยี วขอ งกบั การอนุญาต การกําหนดสทิ ธิ์ หรอื การมอบอาํ นาจ ดงั น้ี (๑.๑) กําหนดสิทธขิ์ องผูใ ชงานแตล ะกลุมที่เกย่ี วของ เชน - อานอยา งเดียว - สรางขอ มูล - ปอนขอมลู - แกไ ข - อนุมตั ิ - ไมมีสิทธ์ิ 35

(๑.๒) กําหนดเกณฑการระงบั สิทธ์ิ มอบอํานาจ ใหเ ปน ไปตามการบริหารจดั การ การเขาถึงของผใู ชง าน (user access management) ทไี่ ดก ําหนดไว (๑.๓) ผใู ชงานที่ตองการเขาใชงานระบบสารสนเทศของหนวยงานจะตองขออนญุ าต เปนลายลักษณอักษรและไดรับการพิจารณาอนุญาตจากหวั หนา หนว ยงานหรือ ผูดูแลระบบท่ีไดร บั มอบหมาย (๒) การแบง ประเภทของขอมลู และการจดั ลาํ ดับความสําคญั หรือลาํ ดบั ชั้นความลับของ ขอ มลู ใชแนวทางตามระเบียบวา ดว ยการรกั ษาความลับของทางราชการ พ.ศ.๒๕๔๔ ซงึ่ ระเบียบดังกลา วเปนมาตรการทีล่ ะเอียด รอบคอบ ถอื วาเปน แนวทางที่เหมาะสม ในการจดั การเอกสารอเิ ล็กทรอนิกส และในการรักษาความปลอดภยั ของเอกสาร อเิ ล็กทรอนกิ ส โดยไดกาํ หนดกระบวนการและกรรมวธิ ีตอเอกสารที่สําคญั ไว ดงั นี้ (๒.๑) จัดแบงประเภทของขอ มลู ออกเปน - ขอมูลสารสนเทศดานการบริหาร เชน ขอมูลนโยบาย ขอมูลยทุ ธศาสตร และคาํ รับรอง ขอมูลบุคลากร ขอ มูลงบประมาณการเงนิ และบัญชี เปนตน - ขอมูลสารสนเทศดานการแพทยและการสาธารณสุข เชน ขอมูลผูปวย ขอมูลทางการแพทย ขอมลู สถานพยาบาล เปน ตน (๒.๒) จดั แบง ระดับความสาํ คัญของขอ มูล ออกเปน ๓ ระดบั คือ - ขอ มูลทม่ี ีระดบั ความสาํ คัญมากทีส่ ุด - ขอ มูลทม่ี ีระดับความสาํ คัญปานกลาง - ขอมลู ทมี่ ีระดบั ความสําคัญนอ ย (๒.๓) จดั แบง ลาํ ดับช้ันความลับของขอมลู - ขอมลู ลบั ท่ีสุด หมายถึง หากเปดเผยทง้ั หมดหรือเพียงบางสวนจะกอใหเกิด ความเสยี หายอยางรายแรงทส่ี ดุ - ขอ มูลลบั มาก หมายถึง หากเปดเผยทงั้ หมดหรือเพียงบางสวนจะกอใหเกิด ความเสยี หายอยา งรายแรง - ขอมูลลับ หมายถึง หากเปดเผยทั้งหมดหรือเพียงบางสวนจะกอใหเกิด ความเสยี หาย - ขอมลู ท่ัวไป หมายถงึ ขอมลู ทีส่ ามารถเปด เผยหรอื เผยแพรท ่ัวไปได (๒.๔) จัดแบงระดับชั้นการเขา ถงึ - ระดบั ช้ันสําหรบั ผบู ริหาร - ระดบั ชนั้ สําหรับผใู ชงานทวั่ ไป - ระดบั ชน้ั สาํ หรับผดู ูแลระบบหรือผูที่ไดมอบหมาย 36

(๒.๕) รปู แบบของเอกสารอิเล็กทรอนิกส แบง ไดด งั นี้ - รูปแบบเอกสารขอ ความ (Text Format) เปนไฟลท ่ีผลิตจากเคร่อื งมอื ท่ี เปน ซอฟตแ วร ปกตเิ ม่ือเปดไฟลจ ะสามารถเหน็ ตัวอักษรในไฟลแ ละพอท่จี ะ อานขอความนั้นได ซ่งึ มรี ปู แบบยอ ยอีกหลายรูปแบบ เชน TEXT Format, Document Format, PDF Format (Portable Document Format) - รปู แบบเอกสารภาพ (Image Format) เปนไฟลท ี่ผลติ จากเคร่อื งมือทีเ่ ปน ซอฟตแวร มรี ูปแบบที่ใช เชน JPEG Format, PNG or GIF Format, Bitmapping Format เปน ตน ขอ ๔. ผดู แู ลระบบ ตอ งจัดใหมีการตดิ ตง้ั ระบบบนั ทกึ และตดิ ตามการใชง านระบบสารสนเทศของ หนว ยงาน และตรวจตราการละเมดิ ความปลอดภยั ท่มี ีตอระบบสารสนเทศ ขอ ๕. ผดู ูแลระบบ ตองจดั ใหมีการบันทึกรายละเอยี ดการเขาถงึ ระบบสารสนเทศและการแกไข เปลย่ี นแปลงสทิ ธติ์ า ง ๆ เพ่ือเปน หลกั ฐานในการตรวจสอบ ขอ ๖. ผูดูแลระบบ ตอ งจัดใหมีการบันทึกการผานเขา-ออกสถานท่ตี งั้ ของระบบสารสนเทศเพ่ือเปน หลักฐานในการตรวจสอบ ขอ ๗. กาํ หนดเวลาการเขาถงึ ระบบสารสนเทศ ดงั น้ี (๑) ระบบงานบรกิ าร e-Service (Front Office) สาํ หรบั ผใู ชง านภายนอกสามารถเขาถึงได ตลอดเวลา (๒) ระบบงานภายใน (Back Office) สําหรับผูใชงานภายในตามทห่ี นวยงานกําหนด สว นที่ ๒ การบริหารจัดการการเขา ถงึ ของผใู ชง าน (User Access Management) ขอ ๘. ผดู ูแลระบบ ตอ งกําหนดการลงทะเบียนผใู ชงานใหม ดงั นี้ (๑) จดั ทาํ แบบฟอรม การลงทะเบียนผูใ ชงาน สําหรับระบบเทคโนโลยีสารสนเทศ (๒) ผดู ูแลระบบตองตรวจสอบบัญชผี ูใชงาน เพ่อื ไมใหมีการลงทะเบยี นซ้ําซอน (๓) ผูด แู ลระบบตอ งตรวจสอบและใหสิทธ์ใิ นการเขา ถึงทเ่ี หมาะสมตอหนาที่ความ รับผิดชอบ (ตามขอ ๓) (๔) ผดู แู ลระบบตอ งกําหนดใหม กี ารแจกเอกสารหรอื สิ่งที่แสดงเปนลายลกั ษณอักษรใหแก ผูใชง านเพอ่ื แสดงถึงสิทธิและหนาท่ีความรับผิดชอบของผูใชง านในการเขา ถงึ ระบบ เทคโนโลยสี ารสนเทศ ขอ ๙. ผดู แู ลระบบ ตอ งกําหนดการใชง านระบบเทคโนโลยีสารสนเทศทสี่ ําคัญ เชน ระบบ คอมพิวเตอรโปรแกรมประยกุ ต (Application) จดหมายอิเลก็ ทรอนิกส (E-Mail) ระบบเครอื ขา ยไรส าย 37

(Wireless LAN) ระบบอนิ เตอรเ นต็ (Internet) เปน ตน โดยตอ งใหส ิทธเิ์ ฉพาะการปฏบิ ัติงานในหนา ท่ีและ ไดร ับความเหน็ ชอบเปน ลายลักษณอกั ษร ขอ ๑๐. ผดู ูแลระบบตองทบทวนบัญชีผูใ ชง าน สทิ ธิ์การใชง าน อยางสมาํ่ เสมอ อยา งนอ ย ปล ะ ๑ ครง้ั เพื่อปองกนั การเขา ถึงระบบโดยไมไดรบั อนุญาต โดยปฏิบตั ิตามแนวทาง ดังนี้ (๑) พิมพรายช่อื ของผูทย่ี งั มีสิทธ์ใิ นระบบแยกตามหนวยงาน (๒) จัดสงรายชอ่ื น้ันใหก บั ผูบงั คับบญั ชาของหนวยงานเพื่อดาํ เนินการทบทวนรายชือ่ และ สทิ ธก์ิ ารเขาใชงานวาถูกตองหรือไม (๓) ดําเนินการแกไ ขขอมูล สทิ ธ์ิตาง ๆ ใหถูกตองตามที่ไดรบั แจงกลับจากหนว ยงาน (๔) ข�นั ตอนปฏิบตั ิสาํ หรับการยกเลิกสิทธ�ิการใชง้ าน เมื�อลาออกตอ้ งดาํ เนินการภายใน ๓ วนั หรือ เมื�อเปล�ียนตาํ แหน่งงานภายในตอ้ งดาํ เนินการภายใน ๗ วนั ขอ ๑๑. การบรหิ ารจัดการรหสั ผาน (๑) กําหนดการเปลยี่ นแปลงและการยกเลกิ รหสั ผาน (Password) เม่ือผใู ชงานลาออก หรือพน จากตําแหนง หรอื ยกเลิกการใชงาน (๒) กาํ หนดชอ่ื ผใู ชง านหรือรหัสผูใ ชงานตองไมซ ํา้ กนั (๓) สง มอบรหัสผาน (Password) ชั่วคราวใหกบั ผใู ชง านดวยวิธกี ารทปี่ ลอดภัย หลีกเลย่ี งการใชบุคคลอื่นหรือการสง จดหมายอิเลก็ ทรอนิกส (E-Mail) ท่ีไมม กี าร ปอ งกนั ในการสงรหัสผา น (Password) (๔) กําหนดใหผ ใู ชง านตอบยนื ยนั การไดรับรหัสผาน (Password) (๕) กําหนดจํานวนครง้ั ที่ยอมใหผใู ชงานใสร หสั ผาน (Password) ผดิ พลาดไดไมเ กนิ ๓ คร้งั (๖) กําหนดใหผ ใู ชงานไมบ ันทึกหรอื เก็บรหสั ผาน (Password) ไวในระบบคอมพิวเตอร ในรปู แบบท่ีไมไ ดป องกันการเขาถึง (๗) ในกรณมี ีความจําเปนตอ งใหส ิทธพ์ิ ิเศษกับผใู ชง านท่ีมสี ิทธสิ์ ูงสดุ ผูใชง านนน้ั จะตอง ไดรบั ความเหน็ ชอบและอนมุ ัตจิ ากหวั หนาหนวยงาน โดยมกี ารกําหนดระยะเวลา การใชงานและระงบั การใชง านทนั ทเี มอ่ื พน ระยะเวลาดังกลาวหรอื พนจากตาํ แหนง และมกี ารกาํ หนดสทิ ธ์พิ ิเศษท่ีไดร ับ วา สามารถเขาถงึ ไดถ ึงระดับใดไดบ าง และตอง กําหนดใหรหสั ผูใชงานตา งจากรหัสผใู ชง านตามปกติ ขอ ๑๒. ผดู ูแลระบบ ตองบรหิ ารจดั การการเขาถงึ ขอมูลตามประเภทชั้นความลบั ในการควบคมุ การเขาถงึ ขอมลู แตล ะประเภทช้ันความลับทั้งการเขาถงึ โดยตรงและการเขา ถงึ ผานระบบงาน รวมถงึ วธิ ี การทาํ ลายขอมูลแตละประเภทชัน้ ความลบั มีดงั ตอไปนี้ (๑) ควบคุมการเขา ถึงขอมูลแตละประเภทชนั้ ความลบั ทั้งการเขาถึงโดยตรงและการ เขา ถงึ ผา นระบบงาน 38

(๒) กําหนดรายช่ือผูใชงาน (Username) และรหสั ผาน (Password) เพื่อใชใ นการ ตรวจสอบตวั ตนจรงิ ของผใู ชงานขอมูลในแตล ะช้ันความลบั ของขอ มูล (๓) กําหนดระยะเวลาการใชงานและระงบั การใชงานทันทเี ม่ือพนระยะเวลาดงั กลาว (๔) การรับสงขอมูลสําคัญผา นระบบเครือขายสาธารณะ ควรไดร บั การเขา รหัส (Encryption) ที่เปน มาตรฐานสากล เชน SSL, VPN หรือ XML Encryption เปน ตน (๕) กําหนดการเปล่ยี นรหสั ผา น (Password) ตามระยะเวลาที่กาํ หนดของระดบั ความสาํ คญั ของขอมูล (๖) กําหนดมาตรการรักษาความม่นั คงปลอดภัยของขอ มลู ในกรณีท่ีนาํ สินทรัพยอ อก นอกหนวยงาน เชน บํารุงรักษา ตรวจซอม ใหด ําเนนิ การสํารองและลบขอ มูลท่เี ก็บ อยูในสอ่ื บันทกึ กอน เปนตน (๗) เจา ของขอ มูลตอ งมีการตรวจสอบความเหมาะสมของสิทธใ์ิ นการเขาถึงขอมลู ของ ผูใ ชง าน อยา งนอยปล ะ ๑ ครั้ง เพ่ือใหม่นั ใจไดว า สิทธติ์ าง ๆ ทใี่ หไวย งั คงมี ความเหมาะสม ขอ ๑๓. ระบบงานสารสนเทศทางธรุ กิจที่เช่ือมโยงกัน (Business Information Systems) ใหหวั หนาหนว ยงานพจิ ารณาประเดน็ ตาง ๆ ทางดา นความม่ันคงปลอดภัย และจุดออนตาง ๆ กอนตัดสินใจ ใชขอมลู รวมกันในระบบงาน หรือระบบเทคโนโลยีสารสนเทศทีจ่ ะเช่ือมโยงเขา ดว ยกนั เชน ระหวาง กระทรวงสาธารณสขุ หรือหนวยงานท่ีมาขอเชอ่ื มโยง (๑) กาํ หนดนโยบายและมาตรการเพ่อื ควบคมุ ปองกนั และบรหิ ารจัดการการใชขอ มลู รวมกนั (๒) พจิ ารณาจาํ กัดหรอื ไมอนญุ าตการเขา ถึงขอมูลสวนบคุ คล (๓) พิจารณาวา มบี ุคลากรใดบางทม่ี ีสิทธหิ์ รอื ไดรบั อนุญาตใหเ ขา ใชงาน (๔) พจิ ารณาเร่อื งการลงทะเบียนผใู ชง าน (๕) ไมอนุญาตใหมีการใชง านขอ มูลสําคญั หรอื ขอมูลลับรว มกนั ในกรณที ร่ี ะบบไมมี มาตรการปองกนั เพียงพอ สว นที่ ๓ การกําหนดหนาทีค่ วามรับผดิ ชอบของผูใ ชง าน (User Responsibilities) ขอ ๑๔. การใชง านรหัสผาน ผใู ชง านตองปฏบิ ัติ ดงั นี้ (๑) ผูใชง านมหี นาท่ีในการปอ งกนั ดแู ล รกั ษาขอมูลบัญชีช่อื ผูใชง าน (Username) และ รหัสผาน (Password) โดยผใู ชง านแตล ะคนตอ งมบี ญั ชชี ่ือผใู ชง าน (Username) ของตนเอง หา มใชรวมกบั ผอู ื่น รวมทัง้ หา มทาํ การเผยแพร แจกจาย ทาํ ใหผูอน่ื ลวงรู รหัสผา น (Password) 39

(๒) กําหนดรหัสผานประกอบดวยตวั อักษรไมนอยกวา ๖ ตวั อักษร ซ่ึงตอ งประกอบดว ย ตวั เลข (Numerical character) ตวั อกั ษร (Alphabet) และตัวอักษรพิเศษ (Special character) (๓) ไมกําหนดรหสั ผานสว นบุคคลจากชอ่ื หรอื นามสกลุ ของตนเอง หรือบุคคลใน ครอบครัว (๔) ไมใชร หสั ผา นสวนบคุ คลสําหรับการใชแ ฟมขอมลู รว มกบั บุคคลอนื่ ผา นเครือขาย คอมพิวเตอร (๕) ไมใ ชโปรแกรมคอมพิวเตอรช ว ยในการจาํ รหัสผา นสวนบคุ คลอตั โนมตั ิ (save password) สําหรบั เครื่องคอมพวิ เตอรส ว นบคุ คลที่ผูใ ชง านครอบครองอยู (๖) ไมจ ดหรือบันทึกรหสั ผานสว นบคุ คลไวในสถานที่ ท่งี ายตอการสังเกตเหน็ ของบุคคลอื่น (๗) กําหนดรหัสผา นเร่มิ ตน ใหกับผใู ชงานใหยากตอการเดา และการสงมอบรหัสผาน ใหกับผูใชงานตองเปนไปอยา งปลอดภยั (๘) ผูใชง านตอ งเปลีย่ นรหสั ผา น (Password) ไมเกิน ๑๘๐ วนั หรือทกุ ครัง้ ท่ีมีการ แจงเตือนใหเปล่ยี นรหสั ผา น ขอ ๑๕. การนําการเขารหัส มาใชก ับขอมูลทเ่ี ปนความลับ ผูใชง านจะตอ งปฏิบตั ิตามระเบยี บการ รกั ษาความลบั ทางราชการ พ.ศ. ๒๕๔๔ และตอ งใชว ิธกี ารเขา รหสั (Encryption) ที่เปน มาตรฐานสากล ขอ ๑๖. การกระทาํ ใด ๆ ทีเ่ กดิ จากการใชบญั ชขี องผูใชง าน (Username) อนั มกี ฎหมายกําหนดให เปนความผดิ ไมวา การกระทํานัน้ จะเกดิ จากผูใชง านหรอื ไมก็ตาม ใหถอื วาเปนความรับผิดชอบสวนบุคคล ซง่ึ ผูใ ชง านจะตองรบั ผิดชอบตอความผิดทเ่ี กิดขึ้นเอง ขอ ๑๗. ผใู ชง านตอ งทาํ การพิสูจนต ัวตนทุกคร้งั กอ นท่จี ะใชสนิ ทรพั ยหรอื ระบบสารสนเทศของ หนว ยงาน และหากการพสิ จู นต ัวตนน้นั มปี ญหา ไมวาจะเกดิ จากรหสั ผา นลอ็ กก็ดี หรือเกิดจากความผดิ พลาด ใด ๆ กด็ ี ผใู ชงานตองแจง ใหผูดแู ลระบบทราบทันที โดยปฏบิ ัติตามแนวทาง ดังน้ี (๑) คอมพิวเตอรทุกประเภท กอ นการเขา ถึงระบบปฏบิ ัติการตองทาํ การพสิ ูจนตวั ตนทกุ คร้งั (๒) การใชงานระบบคอมพิวเตอรอน่ื ในเครือขา ยจะตองทาํ การพสิ จู นต ัวตนทุกครง้ั (๓) การใชงานอินเตอรเ นต็ (Internet) ตอ งทาํ การพิสจู นต วั ตน และตองมกี ารบันทกึ ขอมลู ซึ่งสามารถบงบอกตวั ตนบคุ คลผใู ชง านได (๔) เม่อื ผใู ชงานไมอ ยทู ่เี ครอื่ งคอมพิวเตอร ตองทาํ การลอ็ กหนา จอทกุ คร้ัง และตอ ง ทาํ การพิสูจนต วั ตนกอนการใชง านทุกครง้ั (๕) เครอื่ งคอมพิวเตอรทุกเคร่ืองตองทาํ การตงั้ เวลาพักหนา จอ (screen saver) โดยต้งั เวลาอยา งนอ ย ๑๕ นาที ขอ ๑๘. ผูใชงานตองตระหนกั และระมัดระวงั ตอ การใชง านขอมูล ไมวาขอ มูลนนั้ จะเปนของ กระทรวงสาธารณสขุ หรอื เปน ขอ มลู ของบุคคลภายนอก 40

ขอ ๑๙. ขอ มลู ที่เปนความลบั หรือมีระดับความสาํ คัญ ที่อยใู นการครอบครอง/ดูแลของ หนวยงาน หามไมใ หทาํ การเผยแพร เปลย่ี นแปลง ทาํ ซ้าํ หรือทาํ ลาย โดยไมไ ดร ับอนุญาตจากหัวหนา หนวยงาน ขอ ๒๐. ผูใชง านมสี วนรวมในการดแู ลรกั ษาและรับผิดชอบตอขอมูลของกระทรวงสาธารณสุข และ ขอ มูลของผรู บั บริการ หากเกิดการสญู หาย โดยนาํ ไปใชใ นทางท่ีผิด การเผยแพรโดยไมไดร ับอนญุ าต ผใู ชงาน ตอ งมสี วนรว มในการรบั ผิดชอบตอ ความเสียหายน้นั ดวย ขอ ๒๑. ผใู ชงานตองปองกัน ดูแล รกั ษาไวซงึ่ ความลับ ความถูกตอง และความพรอมใชของขอมูล ตลอดจนเอกสาร สอ่ื บันทึกขอมูลคอมพิวเตอร หรอื สารสนเทศตา ง ๆ ที่เส่ยี งตอ การเขาถึงโดยผซู ่งึ ไมมสี ิทธิ์ ขอ ๒๒. ผใู ชง านมสี ทิ ธโ์ิ ดยชอบธรรมที่จะเกบ็ รักษา ใชงาน และปองกันขอ มลู สว นบคุ คลตาม เห็นสมควร กระทรวงสาธารณสุขจะใหการสนบั สนนุ และเคารพตอสิทธิสวนบคุ คล และไมอนุญาตใหบุคคล หนึ่งบคุ คลใดทาํ การละเมิดตอขอมูลสว นบคุ คลโดยไมไ ดรับอนญุ าตจากผใู ชง านทีค่ รอบครองขอมูลน้นั ยกเวน ในกรณที ี่กระทรวงสาธารณสขุ ตอ งการตรวจสอบขอมูล หรือคาดวา ขอมลู นน้ั เกย่ี วขอ งกับกระทรวงสาธารณสุข ซง่ึ กระทรวงสาธารณสุขอาจแตง ตง้ั ใหผทู าํ หนา ทีต่ รวจสอบ ทําการตรวจสอบขอมลู เหลา น้นั ไดตลอดเวลา โดย ไมตอ งแจงใหผ ูใชงานทราบ ขอ ๒๓. หามเปดหรอื ใชงาน (Run) โปรแกรมประเภท Peer-to-Peer (หมายถึง วิธีการจดั เครอื ขาย คอมพวิ เตอรแ บบหน่ึง ท่กี าํ หนดใหค อมพิวเตอรในเครอื ขายทุกเคร่ืองเหมือนกันหรือเทาเทยี มกัน หมายความ วา แตละเครอื่ งตางมโี ปรแกรมหรอื มีแฟม ขอมลู เกบ็ ไวเ อง การจดั แบบน้ที ําใหส ามารถใชโปรแกรมหรอื แฟมขอมูลของคอมพิวเตอรเครอื่ งใดก็ได แทนทีจ่ ะตองใชจากเครอื่ งบริการแฟม (File Server) เทานนั้ ) หรอื โปรแกรมทมี่ ีความเสย่ี งในระดบั เดียวกัน เชน บิทเทอรเ รนท( Bittorrent), อีมูล (Emule) เปนตน เวน แตจ ะ ไดรบั อนุญาตจากหัวหนาหนวยงาน ขอ ๒๔. หามเปด หรอื ใชง าน (Run) โปรแกรมออนไลนทกุ ประเภท เพ่ือความบันเทงิ เชน การดูหนัง ฟงเพลง เกมส เปน ตน ในระหวา งเวลาปฏิบตั ริ าชการ ขอ ๒๕. หา มใชสนิ ทรพั ยของหนวยงาน ทีจ่ ัดเตรยี มให เพอื่ การเผยแพร ขอมูล ขอความ รปู ภาพ หรือส่ิงอน่ื ใด ทมี่ ลี กั ษณะขดั ตอศีลธรรม ความมนั่ คงของประเทศ กฎหมาย หรอื กระทบตอภารกิจของ กระทรวงสาธารณสุข ขอ ๒๖. หา มใชส นิ ทรพั ยของหนวยงาน เพื่อการรบกวน กอใหเ กิดความเสียหาย หรอื ใชใ นการ โจรกรรมขอ มูล หรือสิ่งอื่นใดอนั เปนการขัดตอกฎหมายและศีลธรรม หรือกระทบตอภารกจิ ของกระทรวง สาธารณสขุ ขอ ๒๗. หามใชส นิ ทรพั ยข องกระทรวงสาธารณสขุ เพ่ือประโยชนทางการคา ขอ ๒๘. หามกระทําการใด ๆ เพื่อการดกั ขอมูล ไมว า จะเปนขอความ ภาพ เสียง หรือส่งิ อ่นื ใด ในเครือขายระบบสารสนเทศของกระทรวงสาธารณสขุ โดยเดด็ ขาด ไมวาจะดวยวิธกี ารใด ๆ ก็ตาม ขอ ๒๙. หา มกระทาํ การรบกวน ทาํ ลาย หรอื ทําใหระบบสารสนเทศของหนว ยงานตองหยุดชะงัก 41

ขอ ๓๐. หา มใชระบบสารสนเทศของกระทรวงสาธารณสขุ เพอ่ื การควบคุมคอมพิวเตอรห รือระบบ สารสนเทศภายนอก โดยไมไดรับอนุญาตจากหัวหนาหนว ยงานหรือผดู ูแลระบบทไ่ี ดรับมอบหมาย ขอ ๓๑. หามกระทาํ การใด ๆ อนั มีลักษณะเปน การลักลอบใชง านหรอื รับรรู หสั สว นบุคคลของผอู ่ืน ไมวาจะเปนกรณใี ด ๆ เพ่ือประโยชนใ นการเขา ถงึ ขอมลู หรือเพ่ือการใชทรพั ยากรกต็ าม ขอ ๓๒. หามติดตง้ั อุปกรณหรอื กระทําการใด ๆ เพ่อื เขา ถงึ ระบบสารสนเทศของกระทรวง สาธารณสขุ โดยไมไดรบั อนุญาตจากหัวหนา หนวยงานหรือผดู แู ลระบบท่ีไดร บั มอบหมาย สวนที่ ๔ การบรหิ ารจดั การสนิ ทรพั ย (Assets Management) ขอ ๓๓. ผใู ชงานตองไมเขาไปในหองปฏิบตั กิ ารเครอื ขา ยคอมพวิ เตอร (Operation Center หมายถึง สถานทท่ี ใ่ี ชสาํ หรับติดตงั้ เครอ่ื งคอมพวิ เตอรแ มข ายและ/หรอื อปุ กรณบรหิ ารจัดการเครือขาย) ทเี่ ปน เขตหวงหามโดยเด็ดขาด เวน แตไดร ับอนญุ าตจากผูดแู ลระบบ ขอ ๓๔. ผูใชง านตองไมนาํ อปุ กรณหรือชน้ิ สว นใดออกจากหองปฏิบัติการเครอื ขายคอมพวิ เตอร เวน แตจ ะไดรบั อนญุ าตจากผูดูแลระบบ ขอ ๓๕. ผใู ชงานตองไมน าํ เครอื่ งมอื หรืออปุ กรณอ่นื ใด เชือ่ มเขาเครอื ขายเพ่ือการประกอบธรุ กิจ สวนบคุ คล ขอ ๓๖. ผใู ชง านตอ งไมคดั ลอกหรือทําสําเนาแฟมขอมลู ทมี่ ลี ิขสิทธก์ิ ํากับการใชง าน กอ นได รับอนญุ าต และผูใชง านตองไมใ ช หรือลบแฟมขอมลู ของผูอ่ืน ไมวากรณีใด ๆ ขอ ๓๗. ผใู ชง านตองทําลายขอ มูลสาํ คัญในอปุ กรณส อื่ บนั ทกึ ขอมูล แฟมขอมลู กอนทจี่ ะกาํ จัด อปุ กรณดังกลาว และใชเทคนิคในการลบหรือเขยี นขอมลู ทับบนขอ มลู ทีม่ ีความสาํ คัญในอปุ กรณสําหรับจัดเก็บ ขอ มูลกอนท่ีจะอนญุ าตใหผ ูอื่นนําอุปกรณน ัน้ ไปใชง านตอ เพอื่ ปองกนั ไมใหมีการเขา ถึงขอมลู สาํ คัญน้ันได และ พิจารณาวิธีการทําลายขอ มูลบนส่อื บนั ทกึ ขอ มูลแตละประเภท ดังน้ี ประเภทสือ่ บันทึกขอมลู วธิ ที ําลาย กระดาษ Flash Drive ใชการหั่นดวยเครื่องห่นั ทําลายเอกสาร - ใหก ารทาํ ลายขอมลู บน Flash Drive ตามมาตรฐาน DOD 5220.22 M ของกระทรวงกลาโหมสหรัฐอเมรกิ า ซ่งึ เปนมาตรฐานการทาํ ลายขอมูลโดยการเขยี นทับขอมลู เดิมหลายรอบ 42

- ใชว ิธกี ารทุบหรอื บดใหเ สยี หาย แผน CD/DVD ใชการห่นั ดว ยเคร่ืองหน่ั ทาํ ลายเอกสาร เทป ใชว ิธีการทบุ หรอื บดใหเสยี หาย หรือเผาทําลาย ฮารดดิสก - ใชการทําลายขอมลู บนฮารดดิสกต ามมาตรฐาน DOD 5220.22 M ของกระทรวงกลาโหมสหรฐั อเมรกิ า ซึง่ เปน มาตรฐานการทําลายขอ มลู โดยการเขียนทับขอ มูลเดิม หลายรอบ - ใชว ิธีการทุบหรอื บดใหเ สียหาย ขอ ๓๘. ผใู ชงานมีหนาทตี่ องรบั ผิดชอบตอสินทรัพยทห่ี นวยงานมอบไวใหใชง านเสมือนหน่งึ เปน สินทรพั ยข องผูใชง านเอง โดยบรรดารายการสนิ ทรัพย (Asset lists) ทผี่ ใู ชงานตอ งรับผดิ ชอบ การรบั หรอื คืน สินทรพั ย จะถูกบันทึกและตรวจสอบทุกครั้งโดยเจา หนา ทท่ี ี่หนว ยงานมอบหมาย ขอ ๓๙. กรณีทาํ งานนอกสถานทีผ่ ูใชงานตองดแู ลและรับผดิ ชอบสินทรัพยของหนว ยงานที่ไดร บั มอบหมาย ขอ ๔๐. ผใู ชง านมีหนาท่ีตองชดใชคา เสียหายไมว า ทรัพยสนิ นนั้ จะชํารดุ หรือสูญหายตามมลู คา ทรัพยสิน หากความเสียหายน้ันเกิดจากความประมาทของผูใชงาน ขอ ๔๑. ผูใชง านตองไมใ หผ อู ่นื ยมื คอมพิวเตอร หรอื โนต บคุ ไมวาในกรณใี ด ๆ เวนแตก ารยืมนัน้ ไดร ับการอนมุ ตั ิเปนลายลักษณอ กั ษรจากหวั หนา หนวยงาน ขอ ๔๒. ผูใชง านมสี ทิ ธใิ์ ชส ินทรัพยและระบบสารสนเทศตาง ๆ ท่ีหนว ยงานจดั เตรียมไวใหใชง าน โดยมีวัตถปุ ระสงคเ พื่อการใชง านของหนว ยงานเทา นั้น หา มมใิ หผ ใู ชงานนําสนิ ทรพั ยและระบบสารสนเทศ ตา ง ๆ ไปใชในกจิ กรรมทหี่ นวยงานไมไดก าํ หนด หรือทาํ ใหเ กิดความเสยี หายตอ กระทรวงสาธารณสขุ ขอ ๔๓. ความเสยี หายใด ๆ ทเี่ กิดจากการละเมดิ ตามขอ ๔๒ ใหถ ือเปน ความผดิ สว นบคุ คลโดย ผใู ชงานตอ งรบั ผิดชอบตอความเสียหายทีเ่ กดิ ข้ึน 43