Vendor Management คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

เช้าวันหนึ่งทีมไอทีของโรงพยาบาลแห่งหนึ่งได้รับอีเมลแจ้งเตือนจากผู้ให้บริการระบบนัดหมายออนไลน์ว่าเซิร์ฟเวอร์ของบริษัทถูกโจมตี และไม่แน่ใจว่าข้อมูลผู้ป่วยที่ส่งผ่านระบบนี้จะรั่วไหลออกไปหรือไม่ ทีมงานเปิดแฟ้มสัญญาเพื่อดูว่าผู้ให้บริการรายนี้ผูกพันตามเงื่อนไขด้านความปลอดภัยข้อมูลอย่างไร แต่กลับพบว่าสัญญาที่เซ็นไว้เมื่อสามปีก่อนไม่มีข้อกำหนดเรื่องการประมวลผลข้อมูลส่วนบุคคลเลยแม้แต่บรรทัดเดียว เหตุการณ์แบบนี้เกิดขึ้นบ่อยกว่าที่คิดในธุรกิจสุขภาพ เพราะคลินิกและโรงพยาบาลมักพึ่งพาผู้ให้บริการภายนอกจำนวนมาก ตั้งแต่ระบบเวชระเบียนอิเล็กทรอนิกส์ ระบบจัดเก็บภาพเอกซเรย์ ไปจนถึงบริการส่งข้อความแจ้งเตือนนัดหมาย และทุกรายล้วนเข้าถึงข้อมูลผู้ป่วยไม่ทางใดก็ทางหนึ่ง Vendor Management คือกระบวนการที่จะป้องกันไม่ให้เหตุการณ์แบบนี้กลายเป็นวิกฤต

Vendor Management คืออะไร

Vendor Management ในบริบทของการคุ้มครองข้อมูลส่วนบุคคล หมายถึงกระบวนการบริหารจัดการผู้ให้บริการภายนอก (third-party vendor หรือ data processor) ที่เข้าถึง จัดเก็บ หรือประมวลผลข้อมูลส่วนบุคคลแทนธุรกิจ ครอบคลุมตั้งแต่ขั้นตอนการคัดเลือกและประเมินความเสี่ยงก่อนเซ็นสัญญา การกำหนดเงื่อนไขในสัญญา การติดตามตรวจสอบระหว่างสัญญายังมีผลบังคับใช้ ไปจนถึงขั้นตอนเมื่อเลิกใช้บริการและต้องให้ผู้ให้บริการลบหรือส่งคืนข้อมูล

สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ ผู้ให้บริการภายนอกที่พบบ่อยได้แก่ ระบบเวชระเบียนอิเล็กทรอนิกส์ (EMR/HIS) ระบบจัดเก็บภาพทางการแพทย์ (PACS) บริการห้องปฏิบัติการภายนอกที่รับส่งผลตรวจ บริษัทรับเก็บและทำลายเอกสารทางการแพทย์ ผู้ให้บริการระบบนัดหมายและแจ้งเตือนผ่าน SMS หรือ LINE รวมถึงผู้ให้บริการคลาวด์ที่จัดเก็บฐานข้อมูลผู้ป่วย แต่ละรายเข้าถึงข้อมูลในระดับที่ต่างกัน จึงต้องประเมินความเสี่ยงเป็นรายกรณี ไม่ใช่ใช้มาตรฐานเดียวกันทุกราย

ทำไมธุรกิจสุขภาพต้องให้ความสำคัญกับ Vendor Management เป็นพิเศษ

ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหว (sensitive personal data) ที่มีความเสี่ยงสูงกว่าข้อมูลทั่วไปหากรั่วไหล ทั้งในแง่ผลกระทบต่อผู้ป่วยและความรับผิดขององค์กร ขณะเดียวกันคลินิกและโรงพยาบาลจำนวนมากไม่ได้พัฒนาระบบไอทีเองทั้งหมด แต่พึ่งพาผู้ให้บริการภายนอกในเกือบทุกจุดของกระบวนการดูแลผู้ป่วย ตั้งแต่การนัดหมายไปจนถึงการเก็บผลตรวจ ทำให้ห่วงโซ่ผู้ให้บริการ (vendor chain) ยาวและซับซ้อนกว่าธุรกิจทั่วไป หากไม่มีระบบติดตามที่ดี องค์กรอาจไม่รู้ด้วยซ้ำว่ามีผู้ให้บริการรายใดบ้างที่กำลังเข้าถึงข้อมูลผู้ป่วยอยู่ในขณะนี้

อีกประเด็นหนึ่งคือผู้ให้บริการหลักมักส่งต่องานบางส่วนให้ sub-processor รายอื่นอีกทอดหนึ่ง เช่น ผู้ให้บริการระบบนัดหมายอาจใช้บริการคลาวด์จากผู้ให้บริการรายอื่นในการจัดเก็บข้อมูล หากธุรกิจไม่เคยขอรายชื่อ sub-processor เหล่านี้ไว้ ก็จะไม่สามารถประเมินความเสี่ยงของห่วงโซ่ข้อมูลทั้งหมดได้อย่างครบถ้วน

ขั้นตอนการทำ Vendor Management สำหรับธุรกิจสุขภาพ

ขั้นตอนที่ 1: ทำรายชื่อผู้ให้บริการทั้งหมด

เริ่มต้นด้วยการสำรวจว่าธุรกิจใช้ผู้ให้บริการภายนอกรายใดบ้างที่เข้าถึงข้อมูลผู้ป่วยหรือข้อมูลส่วนบุคคลอื่น ๆ ควรทำเป็นทะเบียนกลาง (vendor inventory) ระบุชื่อผู้ให้บริการ ประเภทบริการ ประเภทข้อมูลที่เข้าถึง ระดับความเสี่ยง และผู้รับผิดชอบภายในองค์กรที่ดูแลความสัมพันธ์กับผู้ให้บริการรายนั้น ทะเบียนนี้ควรเชื่อมโยงกับ Data Inventory ขององค์กร เพื่อให้เห็นภาพรวมว่าข้อมูลผู้ป่วยไหลไปที่ใดบ้าง

ขั้นตอนที่ 2: ประเมินความเสี่ยงก่อนเซ็นสัญญา

ก่อนเริ่มใช้บริการจากผู้ให้บริการรายใหม่ ควรมีแบบสอบถามด้านความปลอดภัยข้อมูล (security questionnaire) ให้ผู้ให้บริการตอบ ครอบคลุมประเด็นเช่น มาตรการเข้ารหัสข้อมูล การควบคุมสิทธิ์เข้าถึง ประวัติเหตุการณ์ข้อมูลรั่วไหลที่ผ่านมา และใบรับรองมาตรฐานความปลอดภัยที่มี (ถ้ามี) ผลการประเมินนี้ใช้กำหนดว่าผู้ให้บริการรายนั้นควรอยู่ในระดับความเสี่ยงสูง กลาง หรือต่ำ ซึ่งจะกำหนดความถี่ในการตรวจสอบต่อไป

ขั้นตอนที่ 3: กำหนดเงื่อนไขในสัญญา (DPA)

สัญญากับผู้ให้บริการที่เข้าถึงข้อมูลผู้ป่วยควรมีข้อกำหนดการประมวลผลข้อมูล (Data Processing Agreement หรือ DPA) แนบท้ายเสมอ ระบุขอบเขตการใช้ข้อมูลให้ชัดเจนว่าใช้ได้เฉพาะเพื่อวัตถุประสงค์ที่ตกลงกัน ห้ามนำไปใช้เพื่อวัตถุประสงค์อื่นโดยไม่ได้รับความยินยอม กำหนดมาตรการรักษาความปลอดภัยขั้นต่ำที่ผู้ให้บริการต้องปฏิบัติตาม กำหนดหน้าที่แจ้งเหตุการณ์ข้อมูลรั่วไหลภายในระยะเวลาที่กำหนด และกำหนดสิทธิ์ขององค์กรในการตรวจสอบผู้ให้บริการ

ขั้นตอนที่ 4: ขอรายชื่อ sub-processor

ผู้ให้บริการหลักหลายรายส่งต่องานบางส่วนให้ sub-processor เช่น บริการคลาวด์ที่จัดเก็บข้อมูล หรือบริการส่ง SMS ควรขอให้ผู้ให้บริการหลักเปิดเผยรายชื่อ sub-processor ทั้งหมดที่เกี่ยวข้อง และกำหนดในสัญญาว่าหากมีการเปลี่ยนแปลงหรือเพิ่ม sub-processor รายใหม่ ต้องแจ้งให้องค์กรทราบล่วงหน้าเพื่อให้มีโอกาสคัดค้านหรือขอข้อมูลเพิ่มเติม

ขั้นตอนที่ 5: ตรวจสอบและติดตามอย่างต่อเนื่อง

Vendor Management ไม่ใช่งานที่ทำครั้งเดียวจบ ควรกำหนดรอบตรวจสอบผู้ให้บริการตามระดับความเสี่ยง เช่น ผู้ให้บริการความเสี่ยงสูงตรวจสอบทุก 6-12 เดือน ผู้ให้บริการความเสี่ยงต่ำตรวจสอบทุก 12-24 เดือน การตรวจสอบอาจทำผ่านแบบสอบถามซ้ำ ขอเอกสารรับรองที่อัปเดต หรือสัมภาษณ์ทีมงานของผู้ให้บริการ

ขั้นตอนที่ 6: วางแผน offboarding

เมื่อเลิกใช้บริการจากผู้ให้บริการรายใด ต้องมีขั้นตอนที่ชัดเจนให้ผู้ให้บริการลบหรือส่งคืนข้อมูลผู้ป่วยทั้งหมดภายในระยะเวลาที่กำหนด และควรขอเอกสารยืนยันการลบข้อมูล (deletion certificate) เก็บไว้เป็นหลักฐาน ขั้นตอนนี้ควรระบุไว้ล่วงหน้าในสัญญาตั้งแต่ต้น ไม่ใช่มาคิดตอนเลิกใช้บริการแล้ว

Evidence ที่ควรเก็บไว้เป็นหลักฐาน

เพื่อให้สามารถแสดงต่อผู้ตรวจสอบหรือผู้กำกับดูแลได้ว่าองค์กรมีการบริหารจัดการผู้ให้บริการอย่างเป็นระบบ ควรเก็บเอกสารต่อไปนี้ไว้อย่างเป็นระเบียบ

รายการหลักฐาน	รายละเอียด
ทะเบียนผู้ให้บริการ (Vendor Register)	รายชื่อผู้ให้บริการทั้งหมด ประเภทข้อมูลที่เข้าถึง ระดับความเสี่ยง
ผลแบบสอบถามความปลอดภัย	คำตอบของผู้ให้บริการต่อ security questionnaire ก่อนเซ็นสัญญา
สัญญาและ DPA	ฉบับที่ลงนามแล้ว พร้อมภาคผนวกด้านการประมวลผลข้อมูล
รายชื่อ sub-processor	รายการที่ผู้ให้บริการหลักเปิดเผย พร้อมวันที่อัปเดตล่าสุด
บันทึกการตรวจสอบประจำปี	ผลการตรวจสอบแต่ละรอบ พร้อมข้อสังเกตและแผนแก้ไข
เอกสารยืนยันการลบข้อมูล	ใบรับรองการลบข้อมูลเมื่อสิ้นสุดการใช้บริการ

เอกสารเหล่านี้ควรเก็บรวมศูนย์ไว้ในที่เดียว เช่น ระบบจัดการเอกสารกลาง หรือแฟ้มดิจิทัลที่กำหนดสิทธิ์เข้าถึง เพื่อให้เมื่อถึงเวลาต้องตอบคำถามผู้ตรวจสอบหรือผู้ป่วยที่ใช้สิทธิ์ตามกฎหมาย องค์กรสามารถดึงหลักฐานมาแสดงได้ทันที ไม่ต้องไล่หาแฟ้มกระดาษที่กระจัดกระจายตามแผนกต่าง ๆ

ผู้ให้บริการที่เข้าถึงข้อมูลผู้ป่วยควรถูกจัดระดับความเสี่ยงตั้งแต่วันแรกที่เริ่มพิจารณาใช้บริการ ไม่ใช่หลังจากเกิดเหตุการณ์ผิดปกติแล้วจึงย้อนกลับมาประเมิน

การจัดระดับความเสี่ยงผู้ให้บริการ (Vendor Risk Tiering)

ไม่ใช่ผู้ให้บริการทุกรายจะมีความเสี่ยงเท่ากัน การจัดระดับความเสี่ยงช่วยให้ทีมงานจัดสรรเวลาและทรัพยากรในการตรวจสอบได้อย่างเหมาะสม แทนที่จะตรวจสอบทุกรายด้วยมาตรฐานเดียวกันซึ่งจะทำให้ทีมงานเหนื่อยล้าโดยไม่จำเป็นและอาจมองข้ามผู้ให้บริการความเสี่ยงสูงจริง ๆ ไป โดยทั่วไปแบ่งได้เป็นสามระดับ

ระดับความเสี่ยง	ลักษณะการเข้าถึงข้อมูล	ตัวอย่างผู้ให้บริการ	ความถี่ในการตรวจสอบ
สูง	เข้าถึงหรือจัดเก็บข้อมูลผู้ป่วยโดยตรงในปริมาณมาก	ระบบเวชระเบียนอิเล็กทรอนิกส์ ระบบ PACS ผู้ให้บริการคลาวด์หลัก	ทุก 6-12 เดือน
กลาง	เข้าถึงข้อมูลผู้ป่วยบางส่วนเพื่อให้บริการเฉพาะจุด	บริการแจ้งเตือนนัดหมาย ระบบคิวหน้าคลินิก	ทุก 12 เดือน
ต่ำ	ไม่เข้าถึงข้อมูลผู้ป่วยโดยตรง หรือเข้าถึงข้อมูลที่ไม่ระบุตัวตน	ผู้ให้บริการทำความสะอาด ผู้ให้บริการบำรุงรักษาอุปกรณ์ทั่วไป	ทุก 24 เดือน หรือเมื่อมีการเปลี่ยนแปลงขอบเขตงาน

เมื่อจัดระดับความเสี่ยงแล้ว ควรบันทึกผลไว้ในทะเบียนผู้ให้บริการเดียวกับที่ใช้เก็บรายชื่อทั้งหมด เพื่อให้ทีมงานที่รับผิดชอบสามารถวางแผนตารางตรวจสอบล่วงหน้าได้ทั้งปี แทนที่จะต้องมานั่งไล่ทบทวนทีละรายเมื่อใกล้ถึงกำหนด และควรทบทวนระดับความเสี่ยงใหม่ทุกครั้งที่ผู้ให้บริการเปลี่ยนขอบเขตการให้บริการ เช่น จากเดิมให้บริการเฉพาะระบบนัดหมาย แต่ภายหลังขยายไปเก็บข้อมูลผลตรวจด้วย ก็ต้องยกระดับความเสี่ยงขึ้นตามไปด้วย

บทบาทหน้าที่ภายในองค์กรที่ต้องเกี่ยวข้อง

Vendor Management ที่ได้ผลต้องอาศัยความร่วมมือจากหลายฝ่าย ไม่ใช่หน้าที่ของทีมไอทีหรือทีมกฎหมายเพียงฝ่ายเดียว ฝ่ายจัดซื้อควรมีขั้นตอนตรวจสอบด้านข้อมูลส่วนบุคคลรวมอยู่ในกระบวนการคัดเลือกผู้ให้บริการตั้งแต่ต้น ไม่ใช่พิจารณาเฉพาะราคาและคุณภาพบริการ ฝ่ายกฎหมายหรือที่ปรึกษาภายนอกควรตรวจร่าง DPA ให้ครอบคลุมความเสี่ยงเฉพาะของธุรกิจสุขภาพ ฝ่ายไอทีควรมีส่วนร่วมในการประเมินมาตรการความปลอดภัยทางเทคนิคของผู้ให้บริการ และผู้บริหารระดับสูงควรได้รับรายงานสรุปความเสี่ยงจากผู้ให้บริการเป็นระยะ เพื่อให้เห็นภาพรวมและตัดสินใจได้ทันหากพบความเสี่ยงที่ต้องยกระดับการจัดการ

ความเชื่อมโยงกับ Data Retention และ ROPA

องค์กรที่มีผู้ให้บริการจำนวนมากมักพบว่าการทำ Vendor Management แยกจากงานด้านข้อมูลอื่น ๆ ทำให้เกิดช่องว่าง เช่น ทีมที่ดูแลสัญญาไม่รู้ว่าทีมที่ดูแลตารางการลบข้อมูลกำหนดระยะเวลาเก็บข้อมูลไว้เท่าใด การเชื่อมโยงข้อมูลทั้งสามเรื่องเข้าด้วยกันจึงช่วยลดความเสี่ยงที่จะมีข้อมูลตกหล่นระหว่างทาง Vendor Management เกี่ยวข้องกับ Data Retention ตรงที่สัญญากับผู้ให้บริการควรระบุระยะเวลาที่ผู้ให้บริการเก็บข้อมูลได้ และเมื่อครบกำหนดต้องลบหรือส่งคืนตามตารางเวลาที่องค์กรกำหนด แต่ตัวกระบวนการ Vendor Management เองไม่ใช่ตารางการลบข้อมูล เป็นเพียงการควบคุมว่าใครมีสิทธิ์เข้าถึงข้อมูลและมีเงื่อนไขอย่างไร ในทำนองเดียวกัน ทะเบียน ROPA (Record of Processing Activities) ขององค์กรควรมีช่องระบุผู้รับข้อมูล (recipients) ซึ่งรวมถึงผู้ให้บริการภายนอกที่ประมวลผลข้อมูลแทนองค์กรด้วย การเชื่อมโยงข้อมูลระหว่างสองระบบนี้ช่วยให้ภาพรวมการกำกับดูแลข้อมูลสมบูรณ์ยิ่งขึ้น

ข้อผิดพลาดที่พบบ่อยในการทำ Vendor Management

• เซ็นสัญญากับผู้ให้บริการโดยไม่มี DPA แนบท้าย ทำให้ไม่มีข้อผูกพันด้านความปลอดภัยข้อมูลที่ชัดเจน
• ไม่เคยขอรายชื่อ sub-processor จึงไม่รู้ว่าข้อมูลผู้ป่วยไหลไปถึงมือใครบ้างนอกจากผู้ให้บริการหลัก
• ตรวจสอบผู้ให้บริการครั้งเดียวตอนเริ่มสัญญา แล้วไม่กลับมาทบทวนอีกเลยตลอดหลายปีที่ใช้บริการ
• ไม่มีขั้นตอน offboarding ที่ชัดเจน ทำให้เมื่อเลิกใช้บริการไม่มีใครติดตามว่าข้อมูลถูกลบจริงหรือไม่

สรุป

Vendor Management สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ คือกระบวนการต่อเนื่องในการคัดกรอง ทำสัญญา และติดตามผู้ให้บริการภายนอกที่เข้าถึงข้อมูลผู้ป่วย เริ่มตั้งแต่การทำทะเบียนผู้ให้บริการ ประเมินความเสี่ยงก่อนเซ็นสัญญา กำหนดเงื่อนไขในสัญญาให้ชัดเจน ขอรายชื่อ sub-processor ตรวจสอบเป็นรอบตามระดับความเสี่ยง และวางแผน offboarding ให้ผู้ให้บริการลบหรือส่งคืนข้อมูลเมื่อเลิกใช้บริการ การเก็บหลักฐานทุกขั้นตอนไว้อย่างเป็นระบบจะช่วยให้องค์กรตอบคำถามจากผู้ตรวจสอบหรือผู้ป่วยได้ทันทีเมื่อจำเป็น สามารถดูภาพรวมการกำกับดูแลข้อมูลเพิ่มเติมได้ที่ ศูนย์ความรู้ Data Governance

แหล่งข้อมูลอ้างอิง

บทความนี้อ้างอิงแนวทางจาก NIST Privacy Framework ซึ่งเป็นกรอบการบริหารความเสี่ยงด้านความเป็นส่วนตัวที่ครอบคลุมการบริหารจัดการผู้ให้บริการภายนอก องค์กรควรปรับใช้ให้เหมาะกับบริบทของธุรกิจสุขภาพและกฎหมายที่เกี่ยวข้องในแต่ละประเทศ โดยควรปรึกษาที่ปรึกษากฎหมายหรือผู้เชี่ยวชาญด้านการคุ้มครองข้อมูลส่วนบุคคลประกอบการตัดสินใจ