HTTPS และ TLS คืออะไร? คู่มือสำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ

คลินิกและโรงพยาบาลจำนวนมากมีเว็บไซต์ที่ให้ผู้ป่วยจองคิว กรอกอาการเบื้องต้น หรืออัปโหลดผลตรวจก่อนเข้ารับบริการ ข้อมูลเหล่านี้เดินทางจากเบราว์เซอร์ของผู้ป่วยไปยัง Server ของคลินิกทุกครั้งที่มีการกรอกฟอร์ม หาก HTTPS ไม่ได้ตั้งค่าไว้ถูกต้อง ข้อมูลเหล่านั้นอาจเดินทางแบบไม่เข้ารหัสโดยที่ทั้งคลินิกและผู้ป่วยไม่รู้ตัว เรื่องนี้ไม่ใช่ปัญหาเฉพาะโรงพยาบาลขนาดใหญ่เท่านั้น คลินิกขนาดเล็กที่มีเว็บไซต์เพียงไม่กี่หน้าก็มีความเสี่ยงเดียวกันหากไม่เคยตรวจสอบการตั้งค่านี้เลย

คู่มือนี้อธิบาย HTTPS และ TLS ตั้งแต่พื้นฐาน สำหรับทีมการตลาดและผู้ดูแลเว็บไซต์คลินิกที่อาจไม่ได้มีพื้นฐานด้านเทคนิคโดยตรง แต่ต้องเข้าใจภาพรวมพอที่จะสื่อสารกับทีมไอทีหรือผู้ให้บริการ Hosting ได้ถูกจุด

HTTPS และ TLS คืออะไร เกี่ยวข้องกับคลินิกและโรงพยาบาลอย่างไร

HTTPS คือโปรโตคอลที่ใช้ส่งข้อมูลระหว่างเบราว์เซอร์กับเว็บไซต์ โดยข้อมูลถูกเข้ารหัสด้วยเทคโนโลยีที่เรียกว่า TLS ก่อนออกจากเบราว์เซอร์ของผู้ใช้ ทำให้ผู้ที่ดักฟังระหว่างทาง เช่น บนเครือข่ายไวไฟสาธารณะ ไม่สามารถอ่านเนื้อหาที่ส่งได้โดยตรง สำหรับเว็บไซต์คลินิก นี่หมายถึงข้อมูลที่ผู้ป่วยกรอกในฟอร์มนัดหมาย เช่น ชื่อ เบอร์โทร และอาการเบื้องต้น จะถูกเข้ารหัสตลอดเส้นทางจนถึง Server ของคลินิก

ความต่างระหว่าง HTTPS กับ TLS

หลายคนใช้สองคำนี้สลับกันจนสับสน HTTPS คือโปรโตคอลระดับบนที่ผู้ใช้เห็นในแถบที่อยู่เว็บไซต์ ส่วน TLS คือเทคโนโลยีเข้ารหัสที่ทำงานอยู่เบื้องหลัง HTTPS พูดง่าย ๆ คือ HTTPS ใช้ TLS เป็นกลไกเข้ารหัส เมื่อพูดถึงใบรับรองความปลอดภัยของเว็บไซต์ก็คือใบรับรอง TLS ที่เว็บไซต์ต้องมีเพื่อให้ HTTPS ทำงานได้

ทำไมช่องโหว่ HTTPS/TLS ยิ่งเสี่ยงเมื่อเว็บไซต์เก็บข้อมูลสุขภาพ

เว็บไซต์ขายของทั่วไปที่ HTTPS มีช่องโหว่ อาจทำให้ข้อมูลบัตรเครดิตหรืออีเมลรั่วไหล แต่เว็บไซต์คลินิกที่มีช่องโหว่เดียวกัน อาจทำให้ข้อมูลอาการ ประเภทการรักษา หรือผลตรวจของผู้ป่วยรั่วไหลไปด้วย ซึ่งเข้าข่ายข้อมูลสุขภาพที่มีความอ่อนไหวสูงกว่าข้อมูลทั่วไปตามหลัก TRUSTY-20 ที่แยกความเสี่ยงข้อมูลอ่อนไหวออกจากความเสี่ยงเทคนิคทั่วไปอย่างชัดเจน ความเสี่ยงจึงไม่ได้อยู่ที่ความรุนแรงของช่องโหว่ทางเทคนิคเพียงอย่างเดียว แต่อยู่ที่ประเภทของข้อมูลที่ไหลผ่านช่องโหว่นั้นด้วย

ข้อมูลอะไรบ้างที่ผ่านฟอร์มนัดหมายและระบบจองคิว

ฟอร์มนัดหมายทั่วไปของคลินิกมักเก็บชื่อ เบอร์โทร อีเมล และช่องให้กรอกอาการเบื้องต้นหรือแผนกที่ต้องการเข้ารับบริการ บางคลินิกยังมีฟอร์มให้อัปโหลดผลตรวจเดิมหรือใบส่งตัวแนบมาด้วย ข้อมูลเหล่านี้แม้ดูเหมือนไม่มากในแต่ละครั้ง แต่เมื่อรวมกันจากผู้ป่วยหลายคนต่อวัน กลายเป็นข้อมูลอ่อนไหวจำนวนมากที่ไหลผ่านเว็บไซต์ทุกวัน หาก HTTPS ไม่ครอบคลุมทุกจุดที่ข้อมูลเหล่านี้ไหลผ่าน ความเสี่ยงจะสะสมไปเรื่อย ๆ โดยไม่มีใครสังเกตเห็น ทีมการตลาดที่ออกแบบฟอร์มเหล่านี้มักโฟกัสที่จำนวนผู้ป่วยที่กรอกฟอร์มสำเร็จ มากกว่าที่จะตรวจสอบว่าข้อมูลที่กรอกเดินทางผ่านช่องทางที่เข้ารหัสครบทุกจุดหรือไม่ ซึ่งเป็นช่องว่างที่ทีมไอทีควรเข้ามาช่วยตรวจสอบร่วมกันตั้งแต่ขั้นตอนออกแบบฟอร์ม ไม่ใช่ตรวจหลังจากเปิดใช้งานไปแล้ว

จุดที่ต้องดูแลเป็นพิเศษในเว็บไซต์สุขภาพ

นอกจากการตั้งค่า HTTPS พื้นฐานที่เว็บไซต์ทั่วไปต้องมี เว็บไซต์สุขภาพมีจุดเฉพาะที่ควรดูแลเพิ่มเติม เพราะเป็นจุดที่มักถูกเพิ่มเข้ามาทีหลังโดยทีมการตลาดหรือผู้ให้บริการภายนอก ไม่ใช่สิ่งที่ทีมไอทีตั้งค่าไว้ตั้งแต่ต้น

• วิดเจ็ตจองคิวออนไลน์จากผู้ให้บริการภายนอกที่ฝังอยู่ในหน้าเว็บไซต์ ต้องตรวจว่าโหลดผ่าน HTTPS ทั้งหมด ไม่มีบางส่วนโหลดผ่าน HTTP ธรรมดา
• ระบบแชทหรือปุ่มติดต่อด่วนสำหรับสอบถามอาการเบื้องต้น ซึ่งอาจมีการพิมพ์ข้อมูลอาการก่อนได้พบแพทย์จริง
• ระบบวิดีโอคอลสำหรับปรึกษาแพทย์ทางไกล ที่ต้องเข้ารหัสตลอดเส้นทางไม่ใช่แค่หน้าเว็บหลักที่แสดงสัญลักษณ์ความปลอดภัย
• ฟอร์มอัปโหลดเอกสารทางการแพทย์ที่มักถูกเพิ่มเข้ามาทีหลังผ่านปลั๊กอินหรือบริการภายนอก โดยไม่มีการตรวจ HTTPS ซ้ำก่อนเปิดใช้งาน

ใครควรรับผิดชอบเรื่อง HTTPS/TLS ในทีมงานคลินิก

คลินิกขนาดเล็กหลายแห่งไม่มีตำแหน่งงานด้านความปลอดภัยเว็บไซต์แยกต่างหาก ความรับผิดชอบเรื่องนี้จึงมักตกอยู่กับผู้ดูแลเว็บไซต์คนเดียวที่ทำหน้าที่ทั้งเขียนเนื้อหาและดูแลเทคนิคไปพร้อมกัน ปัญหาที่พบบ่อยคือทีมการตลาดกับทีมไอทีสื่อสารกันไม่ทั่วถึง ทีมการตลาดอยากเพิ่มวิดเจ็ตใหม่เพื่อเพิ่มยอดจองคิว แต่ไม่รู้ว่าต้องแจ้งใครให้ตรวจ HTTPS ก่อนเปิดใช้งานจริง

สำหรับโรงพยาบาลขนาดกลางถึงใหญ่ที่มีทีมไอทีแยกต่างหาก ควรตกลงกันเป็นกระบวนการชัดเจนว่าทุกครั้งที่ทีมการตลาดหรือแผนกใดต้องการเพิ่มฟอร์มหรือวิดเจ็ตใหม่บนเว็บไซต์ ต้องแจ้งทีมไอทีให้ตรวจ HTTPS/TLS ก่อนเปิดใช้งานจริงเสมอ ไม่ใช่ตรวจย้อนหลังหลังจากมีผู้ป่วยใช้งานไปแล้วหลายเดือน เพราะช่วงเวลาที่ยังไม่ผ่านการตรวจคือช่วงที่ข้อมูลผู้ป่วยเสี่ยงที่สุด

เมื่อใดควรส่งต่อให้ผู้เชี่ยวชาญด้านความปลอดภัยตรวจเพิ่มเติม

คู่มือนี้ครอบคลุมเฉพาะพื้นฐาน HTTPS/TLS ที่ผู้ดูแลเว็บไซต์คลินิกทั่วไปตรวจเองได้ หากพบสัญญาณที่ซับซ้อนกว่านั้น เช่น ระบบ Portal ผู้ป่วยที่เชื่อมต่อกับฐานข้อมูลโรงพยาบาลโดยตรง ระบบแลกเปลี่ยนข้อมูลกับห้องปฏิบัติการภายนอก หรือคำเตือนด้านความปลอดภัยที่เกิดขึ้นซ้ำโดยไม่ทราบสาเหตุ ควรส่งต่อให้ผู้เชี่ยวชาญด้านความปลอดภัยตรวจเชิงลึกแยกต่างหาก เพราะคู่มือนี้ไม่ใช่การตรวจเจาะระบบหรือการประเมินความเสี่ยงทางกฎหมายด้านข้อมูลสุขภาพ

ในทำนองเดียวกัน หากคลินิกกำลังพิจารณาเปิดบริการใหม่ที่เก็บข้อมูลสุขภาพเพิ่มเติม เช่น ระบบติดตามอาการระยะยาวหรือแอปพลิเคชันสำหรับผู้ป่วยเฉพาะโรค ควรให้ทีมกฎหมายหรือผู้เชี่ยวชาญด้าน PDPA ร่วมพิจารณาตั้งแต่ขั้นตอนออกแบบระบบ ไม่ใช่รอให้ทีมไอทีตั้งค่า HTTPS ให้ครบก่อนแล้วค่อยตรวจสอบด้านกฎหมายทีหลัง

คำถามที่พบบ่อย

เว็บไซต์คลินิกขนาดเล็กที่ไม่มีระบบนัดหมายออนไลน์ยังต้องมี HTTPS ไหม ยังต้องมี เพราะแม้ไม่มีระบบนัดหมายออนไลน์ เว็บไซต์ที่มีฟอร์มติดต่อทั่วไปก็ยังรับข้อมูลผู้ใช้ที่ควรเข้ารหัส และเบราว์เซอร์ปัจจุบันแสดงคำเตือนบนเว็บไซต์ที่ไม่มี HTTPS อยู่แล้ว

ใครควรเป็นเจ้าของงานตรวจ HTTPS/TLS ในคลินิกที่ไม่มีทีมไอทีประจำ มักเป็นผู้ดูแลเว็บไซต์คนเดียวที่รับผิดชอบทั้งเนื้อหาและเทคนิค ควรกำหนดปฏิทินตรวจซ้ำอย่างน้อยปีละครั้ง แยกจากการเชื่อระบบต่ออายุอัตโนมัติเพียงอย่างเดียว

ทำไมวิดเจ็ตจองคิวจากผู้ให้บริการภายนอกถึงต้องตรวจแยกต่างหาก เพราะวิดเจ็ตเหล่านี้มักถูกเพิ่มหรือเปลี่ยนผู้ให้บริการโดยทีมการตลาดโดยไม่ผ่านการตรวจของทีมไอที หากสคริปต์บางส่วนโหลดผ่าน HTTP ธรรมดาจะเกิด Mixed Content ที่กระทบข้อมูลผู้ป่วยที่กรอกผ่านวิดเจ็ตนั้นโดยตรง

มี HTTPS แล้วเท่ากับข้อมูลผู้ป่วยปลอดภัยครบทุกด้านหรือไม่ ไม่เท่ากัน HTTPS ปกป้องเฉพาะข้อมูลระหว่างทางจากเบราว์เซอร์ถึง Server เท่านั้น ไม่ครอบคลุมความปลอดภัยของฐานข้อมูลที่เก็บข้อมูลผู้ป่วยหลังจากรับข้อมูลเข้ามาแล้ว และไม่ใช่การรับรองว่าเว็บไซต์ปฏิบัติตามข้อกำหนดด้านข้อมูลสุขภาพครบทุกด้าน

เช็กลิสต์ปฏิบัติ

• ตรวจว่าทุกหน้าของเว็บไซต์คลินิกโหลดผ่าน HTTPS รวมถึงหน้าฟอร์มนัดหมาย
• ตรวจใบรับรอง TLS ว่ายังไม่หมดอายุและระบบต่ออายุอัตโนมัติทำงานจริง
• ไล่ตรวจ Mixed Content บนหน้าฟอร์มนัดหมายและฟอร์มอัปโหลดเอกสารทุกหน้า
• ตรวจวิดเจ็ตจองคิว แชท และระบบวิดีโอคอลว่าโหลดผ่าน HTTPS ทั้งหมด
• กำหนดผู้รับผิดชอบตรวจ HTTPS/TLS ซ้ำเป็นรอบอย่างน้อยปีละครั้ง
• แจ้งทีมไอทีทุกครั้งที่ทีมการตลาดจะเพิ่มวิดเจ็ตหรือฟอร์มใหม่ ก่อนเปิดใช้งานจริง

ข้อผิดพลาดที่พบบ่อย

• เข้าใจว่าเห็นสัญลักษณ์กุญแจในเบราว์เซอร์แล้วแปลว่าเว็บไซต์ปลอดภัยครบทุกด้าน
• ทีมการตลาดเพิ่มวิดเจ็ตจองคิวหรือแชทใหม่โดยไม่แจ้งทีมไอทีให้ตรวจ HTTPS ก่อน
• ไม่แยกฟอร์มที่สัมผัสข้อมูลสุขภาพออกจากฟอร์มทั่วไปเวลาจัดลำดับความสำคัญการตรวจสอบ
• เชื่อว่าตั้งค่า HTTPS ไว้ครั้งเดียวตอนเปิดเว็บแล้วไม่ต้องตรวจซ้ำอีกเลย

สื่อสารกับผู้ป่วยเรื่องความปลอดภัยของเว็บไซต์อย่างตรงไปตรงมา

คลินิกบางแห่งใช้คำว่าเว็บไซต์ปลอดภัย 100 เปอร์เซ็นต์ หรือข้อมูลผู้ป่วยได้รับการปกป้องอย่างสมบูรณ์เพื่อสร้างความมั่นใจให้ผู้ป่วย ซึ่งเป็นคำที่เกินจริงและอาจสร้างความเข้าใจผิด เพราะ HTTPS เป็นเพียงเลเยอร์หนึ่งของความปลอดภัยเว็บไซต์เท่านั้น ไม่ได้ครอบคลุมความปลอดภัยของระบบทั้งหมด แนวทางที่ตรงไปตรงมากว่าคืออธิบายว่าเว็บไซต์เข้ารหัสข้อมูลระหว่างทางด้วย HTTPS และมีการตรวจสอบตามรอบที่กำหนด โดยไม่ใช้ถ้อยคำที่ยืนยันความปลอดภัยเกินขอบเขตที่ตรวจสอบได้จริง

ผู้ป่วยที่กังวลเรื่องความปลอดภัยของข้อมูลมักสังเกตสัญลักษณ์กุญแจในเบราว์เซอร์เป็นหลัก คลินิกจึงควรอธิบายเพิ่มเติมในหน้านโยบายความเป็นส่วนตัวว่าเว็บไซต์มีการเข้ารหัสข้อมูลระหว่างทาง และแนะนำให้ผู้ป่วยหลีกเลี่ยงการกรอกข้อมูลอ่อนไหวผ่านเครือข่ายไวไฟสาธารณะที่ไม่น่าเชื่อถือ เพื่อเสริมความเข้าใจร่วมกันว่าความปลอดภัยของข้อมูลเป็นความรับผิดชอบร่วมกันระหว่างเว็บไซต์และผู้ใช้งาน

สรุป

HTTPS และ TLS คือพื้นฐานที่เว็บไซต์คลินิกและโรงพยาบาลต้องมี แต่ความเสี่ยงเมื่อเกิดช่องโหว่สูงกว่าเว็บไซต์ทั่วไป เพราะข้อมูลที่ไหลผ่านฟอร์มนัดหมายและวิดเจ็ตต่าง ๆ มักเป็นข้อมูลสุขภาพที่อ่อนไหว การตั้งค่า HTTPS ให้ครอบคลุมทุกจุดสัมผัสข้อมูลผู้ป่วยจึงสำคัญกว่าการมีสัญลักษณ์กุญแจเพียงอย่างเดียว แต่การตรวจนี้เป็นความพร้อมด้านเทคนิคเบื้องต้น ไม่ใช่การประเมินความเสี่ยงทางกฎหมายที่ต้องให้ผู้เชี่ยวชาญด้าน PDPA พิจารณาแยกต่างหาก

แหล่งข้อมูลอ้างอิง

• OWASP HTTP Security Response Headers Cheat Sheet
• คู่มือรวม Website Security ของ trusty
• เช็กลิสต์ HTTPS และ TLS สำหรับธุรกิจสุขภาพ