วิธีวางระบบ Data Mapping สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นขั้นตอน

การวางระบบ Data Mapping สำหรับธุรกิจสุขภาพเริ่มจากไล่ระบุจุดที่ข้อมูลผู้ป่วยเข้าสู่ระบบครั้งแรก ตามด้วยการติดตามว่าข้อมูลนั้นถูกส่งต่อไปยังระบบภายในหรือผู้ให้บริการภายนอกรายใดบ้าง จากนั้นตรวจการเข้ารหัสและสัญญาประมวลผลข้อมูลของแต่ละจุด แล้วรวบรวมทั้งหมดเป็นแผนภาพเส้นทางข้อมูลที่มีเจ้าของและรอบทบทวนชัดเจน ไม่ใช่แค่ทำรายการข้อมูลที่มีอยู่เฉย ๆ

ผู้จัดการฝ่ายไอทีของคลินิกเวชกรรมความงามแห่งหนึ่งเล่าให้ทีมงานฟังว่า วันที่เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลถามคำถามง่าย ๆ ว่า “ถ้าคนไข้คนหนึ่งขอให้ลบข้อมูลทั้งหมด เราต้องแจ้งใครบ้าง” ทีมงานทั้งห้องนิ่งไปพักหนึ่ง เพราะมีรายการข้อมูลที่เก็บไว้ครบทุกประเภท แต่ไม่มีใครรู้จริงว่าข้อมูลของคนไข้คนหนึ่งถูกส่งต่อไปกี่ระบบ กี่บริษัทภายนอก และใครถือสำเนาอยู่บ้าง เหตุการณ์นั้นเป็นจุดเริ่มต้นที่คลินิกแห่งนี้ตัดสินใจวางระบบ Data Mapping อย่างจริงจัง ไม่ใช่แค่มีรายการข้อมูลไว้โชว์เฉย ๆ แต่ต้องรู้เส้นทางจริงของข้อมูลทุกจุด

ทำความเข้าใจก่อนเริ่ม: Data Mapping ต่างจาก Data Inventory อย่างไร

ก่อนลงมือทำ ต้องแยกให้ชัดว่า Data Inventory คือรายการว่ามีข้อมูลประเภทใดอยู่ในองค์กรบ้าง ส่วน Data Mapping คือการไล่เส้นทางว่าข้อมูลแต่ละชุดเดินทางจากจุดหนึ่งไปอีกจุดหนึ่งอย่างไร ผ่านระบบใดบ้าง และมีผู้ให้บริการภายนอกรายใดเข้ามาเกี่ยวข้อง สำหรับธุรกิจสุขภาพ ข้อมูลผู้ป่วยหนึ่งชุดมักไหลผ่านมือหลายฝ่ายในเวลาไม่กี่ชั่วโมง ตั้งแต่พยาบาลที่เคาน์เตอร์ แพทย์ที่ตรวจ ห้องแล็บที่ประมวลผลตัวอย่าง จนถึงบริษัทประกันที่รับเรื่องเคลม การวางระบบ Data Mapping คือการทำให้เส้นทางเหล่านี้มองเห็นได้ทั้งหมดในภาพเดียว

ขั้นตอนที่ 1: รวบรวมทีมงานที่รู้จริงจากทุกแผนก

เริ่มต้นด้วยการเชิญตัวแทนจากทุกแผนกที่แตะข้อมูลผู้ป่วยมาร่วมประชุม ไม่ใช่แค่ทีมไอที เพราะทีมไอทีมักรู้แค่ระบบหลักที่ตัวเองดูแล แต่ไม่รู้ว่าทีมการตลาดใช้เครื่องมือแจ้งเตือนนัดหมายตัวไหน หรือทีมบัญชีส่งข้อมูลไปบริษัทประกันผ่านช่องทางใด หลักฐานที่ควรได้จากขั้นตอนนี้คือรายชื่อผู้เข้าร่วมประชุมและบันทึกการประชุมที่ระบุว่าใครรับผิดชอบระบบใดบ้าง

ขั้นตอนที่ 2: ระบุจุดรับข้อมูลเข้าครั้งแรก (Entry Point)

ไล่ถามทีละแผนกว่าข้อมูลผู้ป่วยแต่ละประเภทถูกกรอกเข้าสู่ระบบครั้งแรกที่จุดใด เช่น แบบฟอร์มกระดาษที่เคาน์เตอร์ลงทะเบียน แอปนัดหมายออนไลน์ หรือระบบ Telemedicine ที่คนไข้กรอกข้อมูลก่อนวิดีโอคอลกับแพทย์ ในกรณีคลินิกเวชกรรมความงามที่ยกตัวอย่างข้างต้น พบว่ามีจุดรับข้อมูลเข้าถึงห้าจุดที่แตกต่างกัน ทั้งที่ทีมงานเคยคิดว่ามีแค่จุดเดียวคือเคาน์เตอร์ลงทะเบียน หลักฐานที่ควรเก็บคือภาพหน้าจอฟอร์มแต่ละจุดพร้อมระบุฟิลด์ข้อมูลที่เก็บจริง

ขั้นตอนที่ 3: ไล่ปลายทางภายในองค์กร

สำหรับแต่ละจุดรับข้อมูล ให้ถามต่อว่าข้อมูลนั้นถูกคัดลอกหรือซิงก์ไปยังระบบอื่นภายในองค์กรหรือไม่ เช่น จากระบบ HIS ไปยังระบบบัญชีเพื่อออกใบแจ้งหนี้ หรือไปยังสเปรดชีตของทีมการตลาดเพื่อส่งข้อความนัดหมายซ้ำ จุดนี้มักถูกมองข้ามเพราะดูเหมือนเป็นงานภายในที่ปลอดภัยอยู่แล้ว แต่ในความเป็นจริง ถ้าไม่มีการควบคุมสิทธิ์เข้าถึงที่ชัดเจน ข้อมูลที่กระจายไปหลายจุดภายในก็เสี่ยงพอ ๆ กับการส่งออกไปภายนอก

ขั้นตอนที่ 4: ไล่รายชื่อผู้ให้บริการภายนอกทุกราย

รวบรวมรายชื่อผู้ให้บริการภายนอกทั้งหมดที่ได้รับข้อมูลผู้ป่วย ไม่ว่าจะเป็นห้องแล็บภายนอกที่รับตัวอย่างเลือด บริษัทประกันที่รับเรื่องเคลม ผู้ให้บริการ SMS หรืออีเมลแจ้งเตือนนัด ผู้ให้บริการคลาวด์ที่เก็บภาพเอกซเรย์หรือ MRI และผู้ให้บริการชำระเงินออนไลน์ สำหรับแต่ละราย ต้องระบุให้ชัดว่าส่งข้อมูลอะไรไปบ้าง ไม่ใช่แค่ชื่อบริษัท เพราะบางรายอาจรับแค่เบอร์โทรกับชื่อ ในขณะที่บางรายรับข้อมูลประวัติการรักษาทั้งหมด ระดับความละเอียดของข้อมูลที่ส่งต่างกันมากมีผลต่อระดับความเสี่ยงที่ต้องจัดการ

ขั้นตอนที่ 5: ตรวจการเข้ารหัสระหว่างส่งทุกจุด

ไล่ตรวจทุกจุดที่ข้อมูลเดินทางออกจากระบบ ไม่ว่าจะภายในหรือภายนอก ว่ามีการเข้ารหัสระหว่างส่งหรือไม่ เช่น ใช้ HTTPS/TLS แทนการส่งไฟล์ Excel ผ่านอีเมลธรรมดา หรือส่งผลแล็บผ่านไลน์กลุ่มทั่วไปที่ไม่ได้ตรวจสอบมาตรฐานความปลอดภัย ในกรณีของคลินิกเวชกรรมความงาม ทีมงานพบว่าผลตรวจเลือดจากห้องแล็บภายนอกถูกส่งกลับมาทางไฟล์แนบอีเมลที่ไม่ได้เข้ารหัสมาตลอดสามปี โดยไม่มีใครตั้งคำถามเลยเพราะเป็นวิธีที่ทำต่อกันมาตั้งแต่เปิดคลินิก

ขั้นตอนที่ 6: ตรวจสัญญาประมวลผลข้อมูลกับผู้ให้บริการภายนอก

สำหรับผู้ให้บริการภายนอกทุกรายที่ระบุไว้ในขั้นตอนที่ 4 ให้ตรวจว่ามีสัญญาหรือข้อตกลงประมวลผลข้อมูลที่ระบุขอบเขตการใช้ข้อมูลชัดเจนหรือไม่ หากยังไม่มี ต้องบันทึกไว้เป็นรายการความเสี่ยงที่ต้องปิดก่อนเปิดใช้งานเต็มรูปแบบ และเริ่มติดต่อผู้ให้บริการเพื่อร่างข้อตกลงทันที ไม่ควรปล่อยผ่านเพราะเป็นผู้ให้บริการรายเล็กหรือใช้งานมานานแล้วโดยไม่มีปัญหา

ขั้นตอนที่ 7: จัดทำแผนภาพเส้นทางข้อมูล

รวบรวมข้อมูลทั้งหมดจากขั้นตอนก่อนหน้าเป็นแผนภาพเดียวที่แสดงลูกศรจากจุดรับข้อมูลไปยังปลายทางแต่ละจุด ทั้งภายในและภายนอก พร้อมระบุว่าจุดใดเข้ารหัสแล้ว จุดใดมีสัญญาประมวลผลข้อมูลแล้ว และจุดใดยังเป็นความเสี่ยงที่รอแก้ไข แผนภาพนี้ไม่จำเป็นต้องใช้ซอฟต์แวร์ราคาแพง ใช้เครื่องมือวาดไดอะแกรมทั่วไปก็เพียงพอ สิ่งสำคัญคือความครบถ้วนและความเป็นปัจจุบันของข้อมูล ไม่ใช่ความสวยงามของภาพ

ขั้นตอนที่ 8: กำหนดเจ้าของข้อมูลและรอบทบทวน

ระบุว่าใครหรือแผนกใดรับผิดชอบดูแลข้อมูลในแต่ละจุดของแผนที่ พร้อมกำหนดรอบทบทวนแผนที่อย่างน้อยปีละครั้ง หรือทุกครั้งที่มีการเปลี่ยนหรือเพิ่มผู้ให้บริการภายนอกรายใหม่ คลินิกเวชกรรมความงามที่ยกตัวอย่างในบทความนี้ กำหนดให้หัวหน้าแผนกไอทีเป็นผู้รับผิดชอบหลัก และให้ตัวแทนแต่ละแผนกแจ้งทุกครั้งที่มีการเพิ่มเครื่องมือหรือผู้ให้บริการใหม่ ก่อนที่จะเปิดใช้งานจริงในระบบการผลิต

ผลลัพธ์หลังวางระบบ Data Mapping ให้ครบ

หลังผ่านทั้งแปดขั้นตอนนี้ คลินิกเวชกรรมความงามที่ยกตัวอย่างพบว่าจุดเสี่ยงที่ใหญ่ที่สุดคือผลแล็บที่ส่งผ่านอีเมลไม่เข้ารหัส และผู้ให้บริการ SMS แจ้งเตือนนัดหมายที่ยังไม่มีสัญญาประมวลผลข้อมูลรองรับ ทีมงานใช้เวลาประมาณหกสัปดาห์ในการปิดทั้งสองจุดนี้ พร้อมทำแผนภาพเส้นทางข้อมูลฉบับสมบูรณ์ที่ใช้ตอบคำถามผู้ตรวจสอบได้ทันทีเมื่อถูกถามอีกครั้งในปีถัดมา สิ่งที่ต้องย้ำคือ การมีแผนที่เส้นทางข้อมูลที่ครบถ้วนไม่ได้แปลว่าจะไม่มีข้อมูลรั่วไหลไปยังผู้ให้บริการที่ไม่ได้รับอนุญาตเลย แต่มันทำให้ทีมงานตรวจจับและปิดความเสี่ยงได้เร็วกว่าการปล่อยให้ไม่มีใครรู้เส้นทางข้อมูลจริงเลย

ทำให้ Data Mapping เป็นงานประจำ ไม่ใช่โปรเจกต์ครั้งเดียว

บทเรียนสำคัญที่สุดจากกรณีคลินิกเวชกรรมความงามคือ การวางระบบ Data Mapping ที่ดีต้องกลายเป็นส่วนหนึ่งของกระบวนการทำงานปกติ ไม่ใช่โปรเจกต์พิเศษที่ทำครั้งเดียวแล้วเก็บเข้าลิ้นชัก ทีมงานจึงกำหนดให้ทุกครั้งที่มีการเสนอใช้ระบบหรือเครื่องมือใหม่ที่แตะข้อมูลผู้ป่วย ต้องผ่านขั้นตอนตรวจสอบเส้นทางข้อมูลก่อนอนุมัติเสมอ เช่น เมื่อทีมการตลาดอยากเพิ่มระบบแชตบอตตอบคำถามลูกค้าใหม่ ต้องแนบข้อมูลว่าแชตบอตนั้นจะเก็บและส่งต่อข้อมูลอะไรไปที่ไหนบ้างก่อนที่ผู้บริหารจะอนุมัติงบประมาณ วิธีนี้ทำให้แผนภาพเส้นทางข้อมูลไม่มีวันล้าสมัยเหมือนที่เคยเป็นมาก่อน และยังช่วยให้ทีมงานคิดเรื่องความปลอดภัยของข้อมูลตั้งแต่ขั้นตอนเลือกเครื่องมือ ไม่ใช่มาแก้ไขทีหลังเมื่อเกิดปัญหาแล้ว

เครื่องมือและรูปแบบเอกสารที่ใช้ได้จริงในธุรกิจสุขภาพขนาดกลาง

ธุรกิจสุขภาพส่วนใหญ่ไม่จำเป็นต้องซื้อซอฟต์แวร์บริหารจัดการข้อมูลราคาแพงเพื่อเริ่มทำ Data Mapping สิ่งที่ใช้ได้จริงและเพียงพอในช่วงเริ่มต้นคือตารางในสเปรดชีตที่มีคอลัมน์ระบุจุดรับข้อมูล ปลายทางแต่ละจุด สถานะการเข้ารหัส สถานะสัญญาประมวลผลข้อมูล และผู้รับผิดชอบ ควบคู่กับแผนภาพลูกศรง่าย ๆ ที่วาดด้วยเครื่องมือฟรีอย่างไดอะแกรมออนไลน์ทั่วไป คลินิกเวชกรรมความงามที่ยกตัวอย่างในบทความนี้เลือกใช้วิธีนี้เพราะทีมงานไม่มีงบซื้อซอฟต์แวร์เฉพาะทาง แต่ยังได้ผลลัพธ์ที่ตอบคำถามผู้ตรวจสอบได้ครบถ้วนเหมือนองค์กรขนาดใหญ่ที่ใช้ระบบซับซ้อนกว่า สิ่งที่ทำให้วิธีง่าย ๆ นี้ได้ผลคือความสม่ำเสมอในการอัปเดต ไม่ใช่ความซับซ้อนของเครื่องมือที่ใช้ทำ อีกจุดหนึ่งที่ทีมงานให้ความสำคัญคือการตั้งชื่อไฟล์และเวอร์ชันของแผนภาพให้ชัดเจน เพื่อไม่ให้เกิดความสับสนว่าไฟล์ใดเป็นเวอร์ชันล่าสุดเมื่อมีคนหลายคนเข้าไปแก้ไขพร้อมกันในช่วงที่ทบทวนแผนที่รอบใหญ่

ข้อผิดพลาดที่พบบ่อยเมื่อวางระบบ Data Mapping

• เชิญแค่ทีมไอทีมาทำแผนที่ โดยไม่ได้ถามทีมการตลาดหรือทีมบัญชีว่าใช้เครื่องมืออะไรบ้าง
• หยุดแค่ขั้นตอนรวบรวมรายการข้อมูล โดยไม่ไล่ต่อว่าข้อมูลไปที่ไหนต่อจริง ๆ
• มองข้ามผู้ให้บริการรายเล็กที่ใช้งานมานานแล้วเพราะคิดว่าคงปลอดภัยดีอยู่แล้ว
• ทำแผนภาพครั้งเดียวตอนเริ่มโครงการแล้วไม่เคยอัปเดตซ้ำอีกเลย
• ไม่มีใครรับผิดชอบชัดเจนว่าต้องแจ้งใครเมื่อเพิ่มผู้ให้บริการภายนอกรายใหม่

สรุป

การวางระบบ Data Mapping สำหรับธุรกิจสุขภาพเริ่มต้นจากการรวบรวมทีมงานที่รู้จริงจากทุกแผนก ไล่ระบุจุดรับข้อมูลครั้งแรก ติดตามปลายทางทั้งภายในและภายนอก ตรวจการเข้ารหัสและสัญญาประมวลผลข้อมูล แล้วรวบรวมทั้งหมดเป็นแผนภาพที่มีเจ้าของและรอบทบทวนชัดเจน กระบวนการนี้ต่างจากการทำ Data Inventory ตรงที่โฟกัสไปที่เส้นทางการเดินทางของข้อมูล ไม่ใช่แค่รายการว่ามีข้อมูลอะไรอยู่ ดูภาพรวมของแนวปฏิบัติด้านธรรมาภิบาลข้อมูลเพิ่มเติมได้ที่ ศูนย์ความรู้ Data Governance และดูเช็กลิสต์ก่อนเปิดใช้งานจริงได้ที่ เช็กลิสต์ Data Mapping สำหรับธุรกิจสุขภาพ

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางจาก NIST Privacy Framework ซึ่งเป็นกรอบการจัดการความเป็นส่วนตัวขององค์กรที่ครอบคลุมเรื่องการทำความเข้าใจเส้นทางข้อมูล (data mapping) เป็นหนึ่งในฟังก์ชันหลัก แนะนำให้ตรวจสอบเวอร์ชันล่าสุดของกรอบนี้ประกอบกับกฎหมาย PDPA ของไทยก่อนนำไปปรับใช้จริง เพราะรายละเอียดปฏิบัติอาจต่างกันตามบริบทกฎหมายแต่ละประเทศ และควรปรึกษาผู้เชี่ยวชาญด้านกฎหมายคุ้มครองข้อมูลส่วนบุคคลของไทยโดยตรงเมื่อพบกรณีที่ซับซ้อน เช่น การส่งข้อมูลข้ามพรมแดนไปยังผู้ให้บริการวิเคราะห์ข้อมูลทางการแพทย์ในต่างประเทศ