Health Information Privacy & Security Management: Part 1 (November 18, 2019)
•
0 likes•153 views
Presented at the Medical Service Department, Bangkok Metropolitan Administration, Bangkok, Thailand on November 18, 2019.
Recommended
Recommended
More Related Content
Similar to Health Information Privacy & Security Management: Part 1 (November 18, 2019)
Similar to Health Information Privacy & Security Management: Part 1 (November 18, 2019) (20)
More from Nawanan Theera-Ampornpunt
More from Nawanan Theera-Ampornpunt (20)
Health Information Privacy & Security Management: Part 1 (November 18, 2019)
- 1. 1 Health Information Privacy & Security Management นพ.นวนรรน ธีระอัมพรพันธุ์ 18 พฤศจิกายน 2562 http://www.slideshare.net/nawanan หลักสูตรบริหารการแพทย์และสาธารณสุข รุ่นที่ 10 (บพส.10) ของสานักการแพทย์ กรุงเทพมหานคร
- 2. 2 2546 แพทยศาสตรบัณฑิต (รามาธิบดีรุ่นที่ 33) 2554 Ph.D. (Health Informatics), Univ. of Minnesota ผู้ช่วยคณบดีฝ่ายสารสนเทศ อาจารย์ กลุ่มสาขาวิชาระบาดวิทยาคลินิกและชีวสถิติ คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี ความสนใจ: Health IT, Social Media, Security & Privacy nawanan.the@mahidol.ac.th SlideShare.net/Nawanan Nawanan Theera-Ampornpunt Line ID: NawananT แนะนำตัว
- 3. 3 Outline • ทาไมเราต้องแคร์เรื่อง Security & Privacy? • Security/Privacy กับข้อมูลผู้ป่วย • แนวปฏิบัติด้าน Security ของระบบ • แนวปฏิบัติด้าน Privacy ของข้อมูล • แนวปฏิบัติด้านการใช้ Social Media ที่เหมาะสม
- 4. 4 ทำไมเรำต้องแคร์ เรื่อง Security & Privacy?
- 5. 5 เรื่องเล่ำจำกรำมำธิบดี #1: Privacy & Hoax http://news.sanook.com/1262964/
- 9. 9 ภัย Security กับเมืองไทย (Top) http://deadline.com/2014/12/sony-hack-timeline-any-pascal-the-interview-north-korea-1201325501/ (Bottom) http://www.bloomberg.com/news/articles/2014-12-07/sony-s-darkseoul-breach-stretched-from-thai-hotel- to-hollywood
- 13. 13 “Green” Organization & Privacy
- 14. 14 Why Personal Data Protection
- 15. 15 National Healthcare’s Worst Nightmare https://www.straitstimes.com/singapore/personal-info-of-15m-singhealth-patients-including-pm-lee- stolen-in-singapores-most
- 16. 16 ▪ Confidentiality (ข้อมูลความลับ) ▪ Integrity (การแก้ไข/ลบ/เพิ่มข้อมูลโดยมิชอบ) ▪ Availability (ระบบล่ม ใช้การไม่ได้) สิ่งที่เป็นเป้ำหมำยกำรโจมตี: CIA Triad
- 17. 17 ผลกระทบ/ควำมเสียหำย • ความลับถูกเปิดเผย • ความเสี่ยงต่อชีวิต สุขภาพ จิตใจ การเงิน และ การงานของบุคคล • ระบบล่ม การให้บริการมีปัญหา • ภาพลักษณ์ขององค์กรเสียหาย
- 18. 18 แหล่งที่มำของกำรโจมตี • Hackers • Viruses & Malware • ระบบที่มีปัญหาข้อผิดพลาด/ช่องโหว่ • Insiders (บุคลากรที่มีเจตนาร้าย) • การขาดความตระหนักของบุคลากร • ภัยพิบัติ
- 23. 23 Privacy of Health Information http://pantip.com/topic/35330409/
- 24. 24 หลักจริยธรรมที่เกี่ยวกับ Privacy • Autonomy (หลักเอกสิทธิ์/ความเป็นอิสระของผู้ป่วย) • Beneficence (หลักการรักษาประโยชน์สูงสุดของผู้ป่วย) • Non-maleficence (หลักการไม่ทาอันตรายต่อผู้ป่วย) “First, Do No Harm.”
- 25. 25 Hippocratic Oath ... What I may see or hear in the course of treatment or even outside of the treatment in regard to the life of men, which on no account one must spread abroad, I will keep myself holding such things shameful to be spoken about. ... http://en.wikipedia.org/wiki/Hippocratic_Oath
- 26. 26 กฎหมำยที่เกี่ยวข้องกับ Privacy • พรบ.สุขภาพแห่งชาติ พ.ศ. 2550 • มาตรา 7 ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วน บุคคล ผู้ใดจะนาไปเปิดเผยในประการที่น่าจะทาให้บุคคลนั้น เสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้อง เปิดเผย แต่ไม่ว่าในกรณีใด ๆ ผู้ใดจะอาศัยอานาจหรือสิทธิ ตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการหรือกฎหมาย อื่นเพื่อขอเอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่ ของตนไม่ได้
- 27. 27 ประมวลกฎหมำยอำญำ • มาตรา 323 ผู้ใดล่วงรู้หรือได้มาซึ่งความลับของผู้อื่นโดยเหตุที่เป็น เจ้าพนักงานผู้มีหน้าที่ โดยเหตุที่ประกอบอาชีพเป็นแพทย์ เภสัชกร คนจาหน่ายยา นางผดุงครรภ์ ผู้พยาบาล...หรือโดยเหตุที่เป็นผู้ช่วย ในการประกอบอาชีพนั้น แล้วเปิดเผยความลับนั้นในประการที่ น่าจะเกิดความเสียหายแก่ผู้หนึ่งผู้ใด ต้องระวางโทษจาคุกไม่เกิน หกเดือน หรือปรับไม่เกินหนึ่งพันบาท หรือทั้งจาทั้งปรับ • ผู้รับการศึกษาอบรมในอาชีพดังกล่าวในวรรคแรก เปิดเผย ความลับของผู้อื่น อันตนได้ล่วงรู้หรือได้มาในการศึกษาอบรมนั้น ในประการที่น่าจะเกิดความเสียหายแก่ผู้หนึ่งผู้ใดต้องระวางโทษ เช่นเดียวกัน
- 29. 29 ข้อควำมจริง บน • "อาจารย์ครับ เมื่อวาน ผมออก OPD เจอ คุณ ... คนไข้... ที่อาจารย์ผ่าไปแล้ว มา ฉายรังสีต่อ ที่... ตอนนี้ Happy ดี ไม่ค่อยปวด เดินได้สบาย คนไข้ฝากขอบคุณอาจารย์อีกครั้ง -- อีกอย่าง คนไข้ช่วงนี้ไม่ค่อยสะดวกเลยไม่ได้ไป กทม. บอกว่าถ้าพร้อมจะไป Follow-up กับอาจารย์ ครับ" ข้อมูลผู้ป่วย บน Social Media
- 30. 30 แนวทำงกำรคุ้มครอง Privacy • Informed consent • Privacy culture • User awareness building & education • Organizational policy & regulations ▪ Enforcement ▪ Ongoing privacy & security assessments, monitoring, and protection
- 31. 31 เรื่องเล่ำจำกรำมำธิบดี #4: Enforcement Uniform Enforcement: เรื่องเล่ำเกี่ยวกับ ควำมน่ำศรัทธำของผู้บริหำร
- 32. 32 Line เสี่ยงต่อกำรละเมิด Privacy ผู้ป่วยได้อย่ำงไร? • ข้อความใน Line group มีคนเห็นหลายคน • ถูก capture หรือ forward ไป share ต่อได้ • ข้อมูล cache ที่เก็บใน mobile device อาจถูกอ่านได้ (เช่น ทาอุปกรณ์หาย หรือเผลอวางเอาไว้) • ข้อมูลที่ส่งผ่าน network อาจไม่ได้เข้ารหัส • บริษัท Line เข้าถึงได้ และอาจถูก hack ได้ • มีคนเดา Password ได้ • ส่งผิดกลุ่ม
- 34. 34 ทำงออกสำหรับกำร Consult Case ผู้ป่วย • ใช้ช่องทางอื่นที่ไม่มีการเก็บ record ข้อมูล ถ้าเหมาะสม • หลีกเลี่ยงการระบุหรือ include ชื่อ, HN, เลขที่เตียง หรือ ข้อมูลที่ระบุตัวตนผู้ป่วยได้ (รวมทั้งในภาพ image) • ใช้ app ที่ปลอดภัยกว่า • Limit คนที่เข้าถึง (เช่น ไม่คุยผ่าน Line group) • ใช้อย่างปลอดภัย (Password, ดูแลอุปกรณ์ไว้กับตัว, เช็ค malware ฯลฯ)
- 35. 35 เรื่องเล่ำจำกรำมำธิบดี #5: Passwords Keylogger Attack: เรื่องเล่ำจำกกิจกรรมชมรม สมัยเป็นนักศึกษำแพทย์
- 37. 37 User Account Security So, two informaticians walk into a bar... The bouncer says, "What's the password." One says, "Password?" The bouncer lets them in. Credits: @RossMartin & AMIA (2012)
- 39. 39 User Account Security https://www.thaicert.or.th/downloads/files/BROCHURE_security_awareness.png
- 40. 40 ▪ ความยาว 8 ตัวอักษรขึ้นไป ▪ ความซับซ้อน: 3 ใน 4 กลุ่มตัวอักษร ▪ Uppercase letters ▪ Lowercase letters ▪ Numbers ▪ Symbols ▪ ไม่มีความหมาย (ป้องกัน “Dictionary Attacks”) ▪ ไม่ใช่ simple patterns (12345678, 11111111) ▪ ไม่เกี่ยวกับข้อมูลส่วนตัวที่คนสนิทอาจรู้ (เช่น วันเกิด ชื่อคนในครอบครัว ชื่อสัตว์เลี้ยง) Passwords
- 41. 41 เรื่องเล่ำจำกรำมำธิบดี #8: Password ท่องง่ำย (แต่ก็ Hack ง่ำย) Dictionary Attack: เรื่องเล่ำจำกกำรเรียน กำร Hack ระบบ ที่ USA
- 42. 42 Clear Desk, Clear Screen Policy http://pixabay.com/en/post-it-sticky-note-note-corner-148282/
- 43. 43 แล้วจะจำ Password ได้ยังไง? ▪คิดประโยคภาษาอังกฤษสัก 1 ประโยค ▪ประโยคนี้ควรมีคา 8 คาขึ้นไป และควรมีตัวเลข หรือสัญลักษณ์พิเศษด้วย ▪ใช้ตัวอักษรตัวแรกของแต่ละคา เป็น Password
- 45. 45 ตัวอย่ำงกำรตั้ง Password ▪ประโยค: I love reading all 7 Harry Potter books! ▪Password: Ilra7HPb!
- 47. 47 Password Expiration เปลี่ยน Password ทุกๆ 6 เดือน
- 48. 48 เรื่องเล่ำจำกรำมำธิบดี #7: Wi-Fi Wi-Fi Router เถื่อน: พวกชอบสร้ำงปัญหำให้ admin และอำจเป็นจอมขโมย Password
- 49. 49 Logout After Use อย่าลืม Logout หลังใช้งานเสมอ โดยเฉพาะเครื่องสาธารณะ (หากไม่อยู่ที่หน้าจอ แม้เพียงชั่วครู่ ให้ Lock Screen เสมอ)
- 51. 51 Mobile Security ▪ตั้ง PIN สาหรับ Lock Screen เอาไว้ ▪ไม่เก็บข้อมูลสาคัญเอาไว้ ▪ระวังไม่ให้สูญหาย หากสูญหายรีบแจ้งระงับ
- 54. 54 เรื่องเล่ำจำกรำมำธิบดี #8: E-mail หลอกลวง Phishing
- 58. 58 E-mail & Online Security (Phishing) https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg
- 59. 59 E-mail & Online Security (Phishing) https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg
- 60. 60 Secure Log-in สำหรับเว็บที่สำคัญ Microsoft Internet Explorer
- 61. 61 Secure Log-in สำหรับเว็บที่สำคัญ Mozilla Firefox Google Chrome
- 62. 62 ลักษณะสำคัญที่ควรสงสัย Phishing ▪Grammar ห่วยแตก ▪ตัวสะกดผิดเยอะ ▪พยายามอย่างยิ่งให้เปิดไฟล์แนบ หรือกด link หรือตอบเมล แต่ไม่ค่อยให้รายละเอียด ▪E-mail ที่มาจากคนรู้จัก ไม่ได้ปลอดภัยเสมอไป
- 68. 68 The Day We All WannaCry’ed http://www.mirror.co.uk/news/uk-news/ransomware-nhs-cyber-attack-live-10409420
- 70. 70 เครือข่ำยด้ำน IT ในองค์กร Ramathibodi Computer Emergency Readiness Team (RamaCERT) Rama IT Enthusiasts (Open to all Ramathibodi Personnel)
- 71. 71https://www.thaicert.or.th/downloads/files/Tips_to_Secure_Personal_Computer.jpg PC Security, Virus & Malware
- 72. 72 เรื่องเล่ำจำกรำมำธิบดี #10: Back-up Your Data: เรื่องเล่ำจำกคนงำนเยอะ
- 73. 73 World Backup Day: March 31 ของทุกปี
- 74. 74 Cybersecurity Act & Personal Data Protection Act (PDPA)
- 76. 76 How Not to Prepare
- 77. 77 How Not to Prepare
- 78. 78 Social Media Case Studies
- 79. 79 Social Media Case Study #1: พฤติกรรมไม่เหมำะสม Disclaimer (นพ.นวนรรน): นาเสนอเป็นกรณีศึกษาเพื่อการเรียนรู้ เรื่อง Social Media เท่านั้น ไม่มี เจตนาลบหลู่ ดูหมิ่น หรือทาให้ผู้ใด องค์กรใด หรือวิชาชีพใดเสียหาย โปรดใช้วิจารณญาณในการอ่านเนื้อหา
- 80. 80 Disclaimer (นพ.นวนรรน): นาเสนอเป็นกรณีศึกษาเพื่อการเรียนรู้ เรื่อง Social Media เท่านั้น ไม่มี เจตนาลบหลู่ ดูหมิ่น หรือทาให้ผู้ใด องค์กรใด หรือวิชาชีพใดเสียหาย โปรดใช้วิจารณญาณในการอ่านเนื้อหา Social Media Case Study #1: พฤติกรรมไม่เหมำะสม
- 81. 81http://news.mthai.com/hot-news/world-news/453842.html Social Media Case Study #2: Selfie มีประเด็น
- 82. 82 http://pantip.com/topic/33678081 https://www.facebook.com/photo.php?fbid=971229119583658&set=a.37957656541558 6.90794.100000897364762&type=1&theater Social Media Case Study #3: Selfie มีประเด็น
- 83. 83 Social Media Case Study #4: ละเมิดผู้รับบริกำร Disclaimer (นพ.นวนรรน): นาเสนอเป็น กรณีศึกษาเพื่อการเรียนรู้เรื่อง Social Media เท่านั้น ไม่มีเจตนาดูหมิ่น หรือทาให้ผู้ใด เสียหาย และไม่มีเจตนาสร้างประเด็นทาง การเมือง ชื่อ สัญลักษณ์ หรือเครื่องหมายของบุคคล หรือองค์กรใด เป็นเพียงการให้ข้อมูลแวดล้อม เพื่อการทาความเข้าใจกรณีศึกษาเท่านั้น ไม่ใช่ การใส่ความว่าผู้นั้นกระทาการใด อันจะทาให้ ผู้นั้นเสียชื่อเสียง ถูกดูหมิ่น หรือถูกเกลียดชัง โปรดใช้วิจารณญาณในการอ่านเนื้อหา
- 84. 84 http://manager.co.th/Entertainment/Vie wNews.aspx?NewsID=9580000076405 Social Media Case Study #5: ละเมิดผู้รับบริกำร
- 85. 85 Social Media Case Study #6: ไม่แยก Account
- 86. 86 Social Media Case Study #7: ไม่ตรวจสอบข้อมูล Disclaimer (นพ.นวนรรน): นาเสนอเป็น กรณีศึกษาเพื่อการเรียนรู้เรื่อง Social Media เท่านั้น ไม่มีเจตนาดูหมิ่น หรือทาให้ผู้ใด เสียหาย ชื่อ สัญลักษณ์ หรือเครื่องหมายของบุคคล หรือองค์กรใด เป็นเพียงการให้ข้อมูลแวดล้อม เพื่อการทาความเข้าใจกรณีศึกษาเท่านั้น ไม่ใช่ การใส่ความว่าผู้นั้นกระทาการใด อันจะทาให้ ผู้นั้นเสียชื่อเสียง ถูกดูหมิ่น หรือถูกเกลียดชัง โปรดใช้วิจารณญาณในการอ่านเนื้อหา
- 87. 87 Social Media Case Study #8: ไม่ตรวจสอบข้อมูล Source: Facebook Page โหดสัส V2 อ้างอิงภาพจากหน้า 7 นสพ.ไทยรัฐ วันที่ 6 พ.ค. 2557 และ http://www.reuters.com/article/2013/10/16/us-philippines-quake-idUSBRE99E01R20131016
- 88. 88 Social Media Best Practices https://www.thaicert.or.th/downloads/files/BROCHURE_Social_Network.jpg
- 89. 89 Social Media Best Practices https://www.thaicert.or.th/downloads/files/BROCHURE_Social_Network.jpg
- 90. 90 Social Media Best Practices จัดทาโดย นพ.นวนรรน ธีระอัมพรพันธุ์ http://www.ratchakitcha.soc.go.th/DATA/PDF/2560/E/088/12.PDF
- 91. 91 Summary of Talk • ทาไมเราต้องแคร์เรื่อง Security & Privacy? • Security/Privacy กับข้อมูลผู้ป่วย • แนวปฏิบัติด้าน Security ของระบบ • แนวปฏิบัติด้าน Privacy ของข้อมูล • แนวปฏิบัติด้านการใช้ Social Media ที่เหมาะสม
- 92. 92 Health Information Privacy & Security Management นพ.นวนรรน ธีระอัมพรพันธุ์ 18 พฤศจิกายน 2562 http://www.slideshare.net/nawanan หลักสูตรบริหารการแพทย์และสาธารณสุข รุ่นที่ 10 (บพส.10) ของสานักการแพทย์ กรุงเทพมหานคร