Data Breach คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

เช้าวันหนึ่งเจ้าหน้าที่ไอทีของคลินิกแห่งหนึ่งพบว่าระบบจองคิวออนไลน์ที่เชื่อมกับฐานเวชระเบียนถูกเข้าถึงจากบัญชีที่ไม่คุ้นเคย เมื่อไล่ดู log ย้อนหลังจึงพบว่ามีการดึงรายชื่อคนไข้พร้อมประวัติการนัดหมายออกไปหลายพันรายการ นี่คือตัวอย่างของ Data Breach ในบริบทของคลินิก โรงพยาบาล และธุรกิจสุขภาพ ซึ่งต่างจากการรั่วไหลของข้อมูลทั่วไปตรงที่สิ่งที่หลุดออกไปมักไม่ใช่แค่ชื่อกับอีเมล แต่รวมถึงข้อมูลอาการ ผลตรวจ หรือประวัติการรักษาที่เจ้าของข้อมูลไม่สามารถ "เปลี่ยนรหัสผ่าน" เพื่อแก้ไขความเสียหายได้เหมือนบัญชีออนไลน์ทั่วไป

บทความนี้พาไล่ดูตั้งแต่ว่าทำไมข้อมูลสุขภาพจึงต้องได้รับการดูแลเข้มกว่าข้อมูลทั่วไป จุดที่มักเกิดการรั่วไหลจริงในระบบของคลินิกและโรงพยาบาล ขั้นตอนรับมือเมื่อพบเหตุ ไปจนถึงวิธีสื่อสารกับคนไข้และการดูแลผู้ให้บริการภายนอกที่เกี่ยวข้องกับข้อมูลสุขภาพ โดยไม่ลงรายละเอียดตัวเลขค่าปรับหรือกรอบเวลาแจ้งเหตุตามกฎหมาย เพราะรายละเอียดเหล่านั้นขึ้นอยู่กับข้อเท็จจริงเฉพาะกรณีและควรตรวจสอบกับที่ปรึกษากฎหมายโดยตรง

ข้อมูลสุขภาพรั่วไหลต่างจากข้อมูลทั่วไปตรงไหน

ข้อมูลสุขภาพจัดอยู่ในกลุ่มข้อมูลอ่อนไหว (sensitive data) ตาม PDPA เช่นเดียวกับข้อมูลศาสนา เชื้อชาติ หรือประวัติอาชญากรรม การเก็บและประมวลผลข้อมูลกลุ่มนี้จึงต้องมีมาตรการป้องกันเพิ่มเติมกว่าข้อมูลติดต่อทั่วไป เพราะหากรั่วไหล ผลกระทบที่ตามมาไม่ใช่แค่สแปมหรือโทรศัพท์กวนใจ แต่อาจกระทบต่อการทำประกันชีวิต การสมัครงาน หรือความสัมพันธ์ส่วนตัวของคนไข้ในระยะยาว ซึ่งเป็นความเสียหายที่แก้ไขคืนไม่ได้ง่าย ๆ

อีกจุดที่ทำให้ Data Breach ในธุรกิจสุขภาพมีความซับซ้อนคือ ข้อมูลเวชระเบียนมักถูกเก็บกระจายในหลายระบบพร้อมกัน ทั้งระบบ HIS/EMR หลัก ระบบผลแล็บจากห้องปฏิบัติการภายนอก ระบบนัดหมายผ่าน LINE Official Account และระบบเรียกเก็บเงินที่เชื่อมกับบริษัทประกัน การประเมินว่า "ข้อมูลอะไรหลุดไปบ้าง" จึงต้องไล่ตรวจทุกระบบ ไม่ใช่แค่ระบบที่พบสัญญาณผิดปกติเป็นจุดแรก

จุดที่มักเกิดการรั่วไหลในระบบคลินิกและโรงพยาบาล

ตารางด้านล่างสรุประบบที่พบเหตุการณ์รั่วไหลบ่อยในธุรกิจสุขภาพ พร้อมความเสี่ยงเฉพาะของแต่ละระบบ

ขั้นตอนรับมือเมื่อพบว่าเกิดเหตุการณ์รั่วไหล

เมื่อทีมไอทีหรือผู้ดูแลระบบของคลินิกพบสัญญาณผิดปกติ ลำดับงานที่ควรทำทันทีมีดังนี้

1. ตัดการเข้าถึงบัญชีหรือช่องทางที่พบความผิดปกติออกจากระบบ HIS/EMR ทันที เพื่อหยุดไม่ให้ข้อมูลไหลออกเพิ่ม
2. ตรวจสอบ access log ว่าเวชระเบียนของคนไข้รายใดถูกเข้าถึงหรือดึงออกไปบ้าง ในช่วงเวลาใด
3. แจ้งผู้บริหารและเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล (DPO) ของคลินิกให้รับทราบทันทีที่ยืนยันว่าเป็นเหตุการณ์จริง
4. ตรวจสอบว่าผู้ให้บริการ hosting หรือผู้พัฒนาระบบ HIS ภายนอกมีส่วนเกี่ยวข้องกับเหตุการณ์หรือไม่
5. ร่างคำอธิบายสำหรับคนไข้ที่ได้รับผลกระทบไว้ล่วงหน้า โดยยังไม่เผยแพร่จนกว่าจะตรวจสอบขอบเขตความเสียหายครบถ้วน
6. ทบทวนสิทธิ์การเข้าถึงเวชระเบียนของเจ้าหน้าที่ทุกแผนกหลังเหตุการณ์สงบ เพื่อปิดช่องที่อาจถูกใช้ซ้ำ

การแจ้งคนไข้ที่ได้รับผลกระทบ

การสื่อสารกับคนไข้ต้องระมัดระวังมากกว่าการแจ้งลูกค้าทั่วไป เพราะข้อมูลที่เกี่ยวข้องอาจกระทบความรู้สึกของผู้ป่วยโดยตรง ควรอธิบายอย่างตรงไปตรงมาว่าข้อมูลประเภทใดได้รับผลกระทบ โดยไม่จำเป็นต้องระบุรายละเอียดการวินิจฉัยเฉพาะบุคคลผ่านช่องทางสาธารณะ และควรแนะนำสิ่งที่คนไข้ควรระวังต่อจากนี้ เช่น การระวังผู้ที่โทรมาอ้างเป็นเจ้าหน้าที่คลินิกเพื่อสอบถามข้อมูลเพิ่มเติมหรือขอเงินโอน ซึ่งเป็นรูปแบบการหลอกลวงที่มักตามมาหลังเหตุการณ์ข้อมูลรั่วไหลในธุรกิจสุขภาพ

ช่องทางที่ใช้แจ้งก็สำคัญไม่แพ้เนื้อหา ควรหลีกเลี่ยงการส่งรายละเอียดการวินิจฉัยผ่าน LINE หรือ SMS สาธารณะ และพิจารณาใช้ช่องทางที่ยืนยันตัวตนผู้รับได้ก่อน เช่น โทรศัพท์ตรงหรือระบบสมาชิกที่ต้องล็อกอิน เพื่อลดความเสี่ยงที่ข้อมูลอ่อนไหวจะถูกส่งผิดคนซ้ำเป็นครั้งที่สอง

ผู้ให้บริการภายนอกที่เกี่ยวข้องกับข้อมูลสุขภาพ

คลินิกและโรงพยาบาลส่วนใหญ่ไม่ได้ประมวลผลข้อมูลด้วยระบบภายในทั้งหมด แต่ส่งต่อข้อมูลบางส่วนให้ห้องปฏิบัติการภายนอกตรวจวิเคราะห์ ส่งข้อมูลเคลมให้บริษัทประกัน หรือใช้ระบบเทเลเมดิซีนของผู้ให้บริการรายอื่น จุดเชื่อมต่อเหล่านี้คือช่องทางที่ข้อมูลอาจรั่วไหลได้โดยที่คลินิกไม่ได้เป็นต้นเหตุโดยตรง ข้อตกลงการประมวลผลข้อมูล (Data Processing Agreement) กับผู้ให้บริการแต่ละรายจึงควรระบุชัดว่าต้องแจ้งเหตุการณ์ผิดปกติกลับมาที่คลินิกภายในระยะเวลาที่ตกลงกันไว้

ควรมีรายชื่อผู้ให้บริการภายนอกทั้งหมดที่เข้าถึงข้อมูลคนไข้พร้อมช่องทางติดต่อฉุกเฉินที่เป็นปัจจุบัน และทบทวนรายชื่อนี้เป็นระยะ โดยเฉพาะเมื่อเปลี่ยนแล็บที่ใช้บริการหรือเปลี่ยนบริษัทประกันที่เชื่อมระบบเคลม เพราะผู้ให้บริการที่เลิกใช้งานแล้วแต่ยังไม่ได้ตัดสิทธิ์เข้าถึงระบบ มักเป็นช่องโหว่ที่ถูกมองข้าม

การซ้อมแผนและเก็บหลักฐานเฉพาะบริบทคลินิก

นอกจากการมีแผนรับมือเป็นลายลักษณ์อักษร คลินิกควรซ้อมสถานการณ์จำลองที่ตรงกับความเสี่ยงของตัวเอง เช่น จำลองว่าเจ้าหน้าที่ธุรการลาออกโดยยังไม่ได้ปิดสิทธิ์เข้าถึงระบบ HIS หรือจำลองว่าไฟล์ผลแล็บถูกส่งผิดอีเมล เพื่อทดสอบว่าทีมงานรู้ขั้นตอนที่ต้องทำจริงหรือไม่ การซ้อมที่ใกล้เคียงสถานการณ์จริงของธุรกิจสุขภาพช่วยให้ทีมตอบสนองได้เร็วกว่าการซ้อมด้วยสถานการณ์สมมติทั่วไป

หลักฐานที่ควรเก็บไว้เป็นพิเศษคือ audit log การเข้าถึงเวชระเบียนของเจ้าหน้าที่แต่ละคน เพราะนอกจากจะใช้สืบสวนเมื่อเกิดเหตุแล้ว ยังใช้ตรวจสอบเป็นระยะว่ามีการเข้าถึงข้อมูลคนไข้โดยไม่มีเหตุผลทางการรักษารองรับหรือไม่ ซึ่งเป็นความเสี่ยงภายในที่พบได้บ่อยพอ ๆ กับการถูกโจมตีจากภายนอก

ดูแนวทางออกแบบกระบวนการรับมือ Data Breach ในภาพรวมของธุรกิจอื่นเพิ่มเติมได้ที่ คู่มือสำหรับองค์กรการเงิน หรือดูภาพรวมหมวดหมู่ทั้งหมดได้ที่ rights-incidents-risk

ความเสี่ยงจาก Ransomware ในระบบคลินิกและโรงพยาบาล

นอกจากการรั่วไหลของข้อมูลแบบดั้งเดิม ธุรกิจสุขภาพยังเผชิญความเสี่ยงเฉพาะจาก Ransomware ที่เข้ารหัสเวชระเบียนทั้งระบบจนแพทย์ไม่สามารถเปิดดูประวัติการรักษาของคนไข้ได้ ซึ่งกระทบต่อการให้บริการโดยตรง ไม่ใช่แค่ความเสี่ยงด้านข้อมูลเท่านั้น หากระบบ HIS/EMR ถูกล็อกระหว่างที่มีคนไข้รอตรวจ คลินิกอาจต้องเปลี่ยนไปใช้กระดาษชั่วคราว ซึ่งเพิ่มความเสี่ยงที่ข้อมูลจะสับสนหรือสูญหายซ้ำอีกชั้นหนึ่ง

การเตรียมพร้อมรับมือ Ransomware ในบริบทคลินิกจึงต้องมองสองมุมพร้อมกัน คือมุมความต่อเนื่องของการให้บริการคนไข้ และมุมการป้องกันข้อมูลรั่วไหล เพราะผู้โจมตีด้วย Ransomware ยุคใหม่มักขโมยข้อมูลออกไปก่อนเข้ารหัสระบบ แล้วขู่เผยแพร่หากไม่จ่ายค่าไถ่ ทำให้แม้จะกู้คืนระบบจาก backup ได้สำเร็จ ก็ยังต้องดำเนินการเหมือนเป็นเหตุการณ์ข้อมูลรั่วไหลควบคู่กันไปด้วย

มาตรการพื้นฐานที่ช่วยลดผลกระทบได้มากคือการสำรองข้อมูลเวชระเบียนแบบแยกเครือข่าย (offline หรือ air-gapped backup) เพื่อไม่ให้ Ransomware เข้าถึง backup พร้อมกับระบบหลัก และการซ้อมแผนสำรองว่าหากระบบ HIS ใช้งานไม่ได้ชั่วคราว เจ้าหน้าที่จะให้บริการคนไข้ต่อเนื่องได้อย่างไรโดยไม่ต้องหยุดรับคนไข้ทั้งหมด รวมถึงการประสานงานล่วงหน้ากับผู้ให้บริการ hosting หรือผู้พัฒนาระบบ HIS ว่าใครเป็นผู้รับผิดชอบกู้คืนระบบภายในกี่ชั่วโมงหลังแจ้งเหตุ เพื่อไม่ให้เสียเวลาช่วงวิกฤตไปกับการตามหาผู้รับผิดชอบ

คลินิกขนาดเล็กที่ไม่มีทีมไอทีของตัวเองมักพึ่งพาผู้ให้บริการภายนอกดูแลระบบ HIS ทั้งหมด จุดนี้ควรตรวจสอบตั้งแต่ตอนเลือกผู้ให้บริการว่ามีแผนรับมือ Ransomware ที่ชัดเจนหรือไม่ เช่น ความถี่ของการสำรองข้อมูล ระยะเวลากู้คืนระบบตามที่ตกลงไว้ในสัญญา และช่องทางติดต่อฉุกเฉินนอกเวลาทำการ เพราะเหตุการณ์ลักษณะนี้มักเกิดขึ้นนอกเวลาทำงานปกติ หากไม่มีช่องทางติดต่อที่ใช้งานได้จริงในวันหยุด ความเสียหายจะยืดเยื้อออกไปอีกหลายเท่า

เช็กลิสต์ปฏิบัติ

• จัดทำรายชื่อระบบทั้งหมดที่เก็บเวชระเบียน พร้อมระบุว่าระบบใดเชื่อมกับผู้ให้บริการภายนอกบ้าง
• ทบทวนสิทธิ์เข้าถึง HIS/EMR ของเจ้าหน้าที่แต่ละแผนกให้ตรงกับหน้าที่จริง
• ทำ DPA กับแล็บภายนอกและบริษัทประกันที่ระบุเงื่อนไขแจ้งเหตุการณ์ผิดปกติชัดเจน
• เตรียมช่องทางแจ้งคนไข้ที่ยืนยันตัวตนผู้รับได้ก่อนส่งข้อมูลอ่อนไหว
• ซ้อมสถานการณ์จำลองที่ตรงกับความเสี่ยงจริงของคลินิกอย่างน้อยปีละครั้ง

ข้อผิดพลาดที่พบบ่อย

• ให้เจ้าหน้าที่ทุกแผนกเข้าถึงเวชระเบียนคนไข้ทุกรายได้เหมือนกันหมด โดยไม่จำกัดตามหน้าที่
• ส่งผลแล็บหรือข้อมูลวินิจฉัยผ่านอีเมลหรือ LINE ทั่วไปโดยไม่เข้ารหัส
• ไม่ตัดสิทธิ์เข้าถึงระบบทันทีเมื่อเจ้าหน้าที่ลาออกหรือเปลี่ยนตำแหน่ง
• ไม่มีรายชื่อผู้ให้บริการภายนอกที่เป็นปัจจุบัน ทำให้ตามหาผู้รับผิดชอบไม่ทันเมื่อเกิดเหตุ

สรุป

Data Breach ในคลินิก โรงพยาบาล และธุรกิจสุขภาพ มีลักษณะเฉพาะที่ต่างจากธุรกิจทั่วไป เพราะข้อมูลที่เกี่ยวข้องเป็นข้อมูลอ่อนไหวและกระจายอยู่หลายระบบ ตั้งแต่ HIS/EMR ระบบจองคิว ไปจนถึงผู้ให้บริการแล็บและประกันภายนอก การมีขั้นตอนรับมือที่ชัดเจน สื่อสารกับคนไข้อย่างระมัดระวัง และทบทวนสิทธิ์เข้าถึงข้อมูลอย่างสม่ำเสมอ คือสิ่งที่ช่วยลดความเสียหายเมื่อเกิดเหตุการณ์จริง

แหล่งข้อมูลอ้างอิง

• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)