เช็กลิสต์ HTTPS และ TLS สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ต้องตรวจอะไรบ้างก่อนเปิดใช้งาน

เว็บไซต์สุขภาพต่างจากเว็บไซต์ทั่วไปตรงที่ข้อมูลซึ่งไหลผ่านฟอร์มมักเข้าข่ายข้อมูลอ่อนไหวตามแนวทาง TRUSTY-20 การตรวจ HTTPS/TLS จึงไม่ใช่แค่เรื่องเทคนิคทั่วไป แต่เป็นด่านแรกที่ช่วยลดความเสี่ยงก่อนที่ข้อมูลผู้ป่วยจะเดินทางออกจากเบราว์เซอร์ของผู้ใช้ไปยัง Server ปลายทาง

เว็บไซต์สุขภาพต่างจากเว็บไซต์ทั่วไปตรงที่ข้อมูลซึ่งไหลผ่านฟอร์มมักเข้าข่ายข้อมูลอ่อนไหวตามแนวทาง TRUSTY-20 การตรวจ HTTPS/TLS จึงไม่ใช่แค่เรื่องเทคนิคทั่วไป แต่เป็นด่านแรกที่ช่วยลดความเสี่ยงก่อนที่ข้อมูลผู้ป่วยจะเดินทางออกจากเบราว์เซอร์ของผู้ใช้ไปยัง Server ปลายทาง

ก่อนเปิดใช้งานเว็บไซต์คลินิกใหม่ หรือก่อนเปิดฟีเจอร์นัดหมายออนไลน์เพิ่มเติม ทีมไอทีของคลินิกมักถูกถามคำถามเดียวกันทุกครั้งคือ HTTPS พร้อมหรือยัง คำตอบสั้น ๆ ว่า "มีแม่กุญแจสีเขียวแล้ว" ไม่พอ เพราะจุดที่ต้องตรวจจริงมีมากกว่านั้น โดยเฉพาะจุดที่ข้อมูลผู้ป่วยไหลผ่าน

เช็กลิสต์นี้แบ่งเป็นสามหมวดตามลำดับความเสี่ยง เริ่มจากพื้นฐานของ Server ไปจนถึงจุดที่สัมผัสข้อมูลผู้ป่วยโดยตรง ใช้ไล่ตรวจก่อนเปิดใช้งานจริงทุกครั้ง ไม่ใช่แค่ตอนเปิดเว็บไซต์ครั้งแรก

หมวดที่ 1 ใบรับรองและการเข้ารหัสระดับ Server

หมวดนี้เป็นพื้นฐานที่ต้องผ่านก่อนหมวดอื่น เพราะถ้า Server ยังตั้งค่าไม่ถูกต้อง หมวดถัดไปก็ไม่มีความหมาย

• ใบรับรอง TLS ยังไม่หมดอายุ และมีระบบต่ออายุอัตโนมัติที่ยืนยันได้ว่าทำงานจริง
• Server เปิดใช้เฉพาะ TLS 1.2 และ TLS 1.3 ไม่มี TLS 1.0 หรือ TLS 1.1 ค้างอยู่
• URL ทุกหน้าของเว็บไซต์ขึ้นต้นด้วย https:// รวมถึงหน้าแรกและหน้าย่อยทั้งหมด ไม่ใช่แค่หน้า Landing Page
• มีการ Redirect จาก http:// ไปยัง https:// อัตโนมัติทุกเส้นทาง ไม่เหลือเส้นทางที่ยังเปิดผ่าน HTTP ตรง ๆ
• Header HSTS (Strict-Transport-Security) ถูกส่งออกอย่างถูกต้องตามแนวทางของ OWASP เพื่อบังคับให้เบราว์เซอร์เชื่อมต่อผ่าน HTTPS เท่านั้นในครั้งถัดไป

หมวดที่ 2 ฟอร์มและหน้าที่สัมผัสข้อมูลผู้ป่วยโดยตรง

หมวดนี้สำคัญที่สุดสำหรับธุรกิจสุขภาพ เพราะข้อมูลที่ไหลผ่านฟอร์มเหล่านี้มักเป็นชื่อ เบอร์โทร อาการเบื้องต้น หรือเอกสารทางการแพทย์ ซึ่งมีความอ่อนไหวสูงกว่าข้อมูลทั่วไปตามแนวทาง TRUSTY-20 ที่แยกความเสี่ยงข้อมูลสุขภาพออกจากความเสี่ยงเทคนิคทั่วไป

• หน้าฟอร์มนัดหมายทุกหน้าโหลดผ่าน HTTPS ทั้งหมด ไม่มีทรัพยากรใดโหลดผ่าน HTTP ธรรมดา (Mixed Content)
• ฟอร์มอัปโหลดผลตรวจ ใบส่งตัว หรือรูปถ่ายอาการ ส่งข้อมูลผ่าน Endpoint ที่เป็น HTTPS เท่านั้น ตรวจสอบด้วยเครื่องมือ Developer Tools ของเบราว์เซอร์
• หน้าประวัติผู้ป่วยหรือระบบ Portal สำหรับติดตามผลตรวจ (ถ้ามี) ไม่มีการเรียกทรัพยากรจากโดเมนที่ไม่ใช่ HTTPS
• ฟอร์มที่ฝังมาจากปลั๊กอินหรือบริการภายนอกถูกตรวจแยกต่างหาก เพราะปลั๊กอินบางตัวโหลดสคริปต์เสริมจากโดเมนอื่นที่อาจไม่ใช่ HTTPS

หมวดที่ 3 สคริปต์และบริการภายนอกที่คลินิกใช้งาน

หมวดนี้มักถูกมองข้ามเพราะเป็นสิ่งที่ทีมการตลาดเพิ่มเข้ามาทีหลัง ไม่ใช่สิ่งที่ทีมไอทีตั้งค่าตั้งแต่แรก จึงต้องมีรอบตรวจแยกต่างหากทุกครั้งที่มีการเพิ่มบริการใหม่

• ระบบจองคิวออนไลน์จากผู้ให้บริการภายนอกโหลดผ่าน HTTPS ทั้งหมด รวมถึงไฟล์ CSS/JavaScript ที่ระบบเรียกใช้เพิ่มเติม
• วิดเจ็ตแชทหรือปุ่มติดต่อด่วนไม่มีทรัพยากรที่โหลดผ่าน HTTP แม้แต่ชิ้นเดียว เพราะเบราว์เซอร์บางตัวบล็อกทันทีเมื่อพบ Mixed Content
• ระบบวิดีโอคอลสำหรับปรึกษาแพทย์ทางไกล (ถ้ามี) เชื่อมต่อผ่าน HTTPS ตลอดเส้นทาง ไม่ใช่แค่หน้าเว็บหลักที่แสดงกุญแจล็อก
• ทุกครั้งที่ทีมการตลาดเปลี่ยนผู้ให้บริการวิดเจ็ตหรือแชทรายใหม่ ต้องแจ้งทีมไอทีให้ตรวจ HTTPS ก่อนเปิดใช้งานจริง

หมวดที่ 4 ขั้นตอนตรวจซ้ำหลังเปิดใช้งาน

สามหมวดแรกเน้นตรวจก่อนเปิดใช้งาน แต่เว็บไซต์คลินิกเปลี่ยนแปลงตลอดเวลา ทั้งจากการอัปเดตปลั๊กอิน การเปลี่ยนผู้ให้บริการวิดเจ็ต หรือการย้าย Hosting หมวดนี้จึงเป็นขั้นตอนที่ควรทำซ้ำเป็นรอบ ไม่ใช่ทำครั้งเดียวจบ

• ตั้งรอบตรวจ HTTPS/TLS ซ้ำอย่างน้อยทุกไตรมาส โดยเฉพาะหลังอัปเดตปลั๊กอินหรือธีมเว็บไซต์
• ทุกครั้งที่ทีมการตลาดเพิ่มสคริปต์หรือวิดเจ็ตใหม่ ให้บันทึกไว้ในรายการที่ทีมไอทีตรวจซ้ำได้ ไม่ใช่ปล่อยให้เพิ่มเองโดยไม่มีการแจ้ง
• ตรวจว่าใบรับรองหลังย้าย Hosting หรือเปลี่ยน CDN ยังออกและต่ออายุอัตโนมัติตามปกติ เพราะการย้ายระบบเป็นจุดที่ระบบอัตโนมัติมักหยุดทำงานเงียบ ๆ
• เก็บผลตรวจแต่ละรอบพร้อมวันที่และผู้ตรวจไว้เป็นหลักฐานภายใน สำหรับใช้เทียบกับรอบตรวจถัดไปว่ามีอะไรเปลี่ยนแปลงไปบ้าง

สำหรับคลินิกที่ไม่มีทีมไอทีประจำ อาจมอบหมายให้ผู้ดูแลเว็บไซต์คนเดียวรับผิดชอบรอบตรวจนี้ควบคู่กับงานอัปเดตเนื้อหาปกติ โดยใช้เช็กลิสต์สามหมวดแรกเป็นแนวทางทุกครั้งที่มีการเปลี่ยนแปลงเว็บไซต์ที่เกี่ยวข้องกับฟอร์มหรือวิดเจ็ตใหม่ แทนที่จะรอให้ครบรอบปีเพียงอย่างเดียว

คำถามที่พบบ่อย

เช็กลิสต์นี้ควรใช้ตรวจตอนไหน ควรใช้ก่อนเปิดใช้งานเว็บไซต์หรือฟีเจอร์ใหม่ทุกครั้ง และควรใช้ซ้ำเป็นรอบทุกปีสำหรับเว็บไซต์ที่เปิดใช้งานอยู่แล้ว โดยเฉพาะหลังเพิ่มวิดเจ็ตหรือฟอร์มใหม่

ถ้าเห็นแม่กุญแจสีเขียวแล้วแปลว่าผ่านเช็กลิสต์นี้ทั้งหมดหรือไม่ ไม่ใช่ สัญลักษณ์กุญแจในเบราว์เซอร์บอกแค่ว่าหน้านั้นเชื่อมต่อผ่าน HTTPS เท่านั้น ไม่ได้ยืนยันว่าทุกฟอร์มหรือวิดเจ็ตภายในหน้าปลอดภัยครบตามหมวดที่ 2 และ 3

Mixed Content คืออะไรและทำไมต้องตรวจ Mixed Content คือกรณีที่หน้าเว็บโหลดผ่าน HTTPS แต่มีทรัพยากรบางส่วน เช่น รูปภาพหรือสคริปต์ ยังโหลดผ่าน HTTP ธรรมดา ซึ่งเบราว์เซอร์อาจบล็อกหรือเตือนผู้ใช้ และเป็นจุดที่ข้อมูลบางส่วนอาจไม่ได้เข้ารหัสตลอดเส้นทาง

ต้องตรวจ HSTS ด้วยหรือไม่ถ้ามี HTTPS อยู่แล้ว ควรตรวจ เพราะ HTTPS อย่างเดียวไม่ได้บังคับให้เบราว์เซอร์ปฏิเสธการเชื่อมต่อ HTTP ในครั้งถัดไป Header HSTS ตามแนวทางของ OWASP ช่วยลดโอกาสที่ผู้ใช้จะเผลอเข้าเว็บไซต์ผ่านลิงก์ HTTP เดิม

เช็กลิสต์ปฏิบัติ

• ตรวจใบรับรอง TLS ว่ายังไม่หมดอายุและระบบต่ออายุอัตโนมัติทำงานจริง
• ยืนยันว่า Server เปิดใช้เฉพาะ TLS 1.2 และ TLS 1.3 เท่านั้น
• ตรวจว่าทุก URL Redirect จาก HTTP ไป HTTPS อัตโนมัติครบทุกเส้นทาง
• ไล่ตรวจ Mixed Content บนหน้าฟอร์มนัดหมายและฟอร์มอัปโหลดเอกสารทุกหน้า
• ตรวจวิดเจ็ตจองคิว แชท และวิดีโอคอลว่าโหลดผ่าน HTTPS ทั้งหมด
• ตรวจ Header HSTS ว่าถูกส่งออกถูกต้องตามแนวทางของ OWASP

ข้อผิดพลาดที่พบบ่อย

• ตรวจแค่หน้าแรกแล้วสรุปว่าทั้งเว็บไซต์ปลอดภัย โดยไม่ไล่ตรวจหน้าฟอร์มนัดหมายแยกต่างหาก
• เห็นสัญลักษณ์กุญแจแล้วหยุดตรวจ โดยไม่เปิด Developer Tools ดู Mixed Content จริง
• เพิ่มวิดเจ็ตจองคิวหรือแชทใหม่แล้วเปิดใช้งานทันทีโดยไม่ตรวจ HTTPS ก่อน
• ไม่แยกฟอร์มที่สัมผัสข้อมูลสุขภาพออกจากฟอร์มทั่วไปเวลาจัดลำดับความสำคัญการตรวจ

เมื่อใดควรส่งต่อให้ผู้เชี่ยวชาญด้านความปลอดภัยตรวจเพิ่มเติม

เช็กลิสต์นี้ครอบคลุมเฉพาะการตั้งค่า HTTPS/TLS ระดับพื้นฐานที่ทีมไอทีของคลินิกตรวจเองได้ หากพบสัญญาณที่ซับซ้อนกว่านั้น เช่น ใบรับรองที่แสดงชื่อโดเมนไม่ตรงกับเว็บไซต์จริง คำเตือนด้านความปลอดภัยที่เกิดขึ้นซ้ำ ๆ โดยไม่ทราบสาเหตุ หรือระบบ Portal ผู้ป่วยที่เชื่อมต่อกับฐานข้อมูลภายนอก ควรส่งต่อให้ผู้เชี่ยวชาญด้านความปลอดภัยตรวจเชิงลึกแยกต่างหาก เพราะเช็กลิสต์นี้ไม่ใช่การตรวจเจาะระบบหรือ Pentest

สรุป

เช็กลิสต์ HTTPS/TLS สำหรับเว็บไซต์สุขภาพต้องครอบคลุมสามหมวดคือใบรับรองระดับ Server ฟอร์มที่สัมผัสข้อมูลผู้ป่วยโดยตรง และวิดเจ็ตจากผู้ให้บริการภายนอก การไล่ตรวจครบทั้งสามหมวดก่อนเปิดใช้งานช่วยลดโอกาสที่ข้อมูลผู้ป่วยจะเดินทางแบบไม่เข้ารหัส แต่การตรวจนี้เป็นการตรวจความพร้อมด้านเทคนิคเท่านั้น ไม่ใช่การรับรองว่าเว็บไซต์ปฏิบัติตามข้อกำหนดด้านข้อมูลสุขภาพครบทุกด้าน

แหล่งข้อมูลอ้างอิง

• OWASP HTTP Security Response Headers Cheat Sheet
• คู่มือรวม Website Security ของ trusty
• คู่มือ HTTPS และ TLS สำหรับธุรกิจสุขภาพฉบับเต็ม