Presented at the Faculty of Dentistry, Mahidol University on June 15, 2016.

1. 1
Patient Privacy and Security of Health Information
for Dental Students:
เรื่องเล่าจากรามาธิบดี
นพ.นวนรรน ธีระอัมพรพันธุ์
15 มิ.ย. 2559
http://www.slideshare.net/nawanan

2. 2
2546 แพทยศาสตรบัณฑิต
2554 Ph.D. (Health Informatics), Univ. of Minnesota
อาจารย์ ภาควิชาเวชศาสตร์ชุมชน
คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี
ความสนใจ: Health IT, Social Media, Security & Privacy
nawanan.the@mahidol.ac.th
SlideShare.net/Nawanan
Nawanan Theera-Ampornpunt
Line ID: NawananT
แนะนาตัว

3. 3
Outline
• ทำไมเรำต้องแคร์เรื่อง Security & Privacy?
• Security/Privacy กับข้อมูลผู้ป่วย
• แนวปฏิบัติด้ำน Security ของระบบ
• แนวปฏิบัติด้ำน Privacy ของข้อมูล

4. 4
ทาไมเราต้องแคร์
เรื่อง Security & Privacy?

5. 5
เรื่องเล่าจากรามาธิบดี #1: Privacy & Hoax
http://news.sanook.com/1262964/

6. 6
ภัย Privacy กับโรงพยาบาล
http://usatoday30.usatoday.com/life/people/2007-10-10-clooney_N.htm

7. 7
Malware
ตัวอย่างภัยคุกคามด้าน Security

8. 8
เรื่องเล่าจากรามาธิบดี #2: Malware

9. 9
ภัย Security กับเมืองไทย
https://www.thaicert.or.th/downloads/files/ThaiCERT_Annual_Report_th_2013.pdf
ThaiCERT (2013)

10. 10
ภัย Security กับเมืองไทย
https://www.thaicert.or.th/downloads/files/ThaiCERT_Annual_Report_th_2013.pdf
ThaiCERT (2013)

11. 11
ภัย Security กับเมืองไทย
https://www.thaicert.or.th/downloads/files/ThaiCERT_Annual_Report_th_2013.pdf
ThaiCERT (2013)

12. 12
ภัย Security กับเมืองไทย
https://www.facebook.com/longhackz

13. 13
ภัย Security กับเมืองไทย
(Top) http://deadline.com/2014/12/sony-hack-timeline-any-pascal-the-interview-north-korea-1201325501/
(Bottom) http://www.bloomberg.com/news/articles/2014-12-07/sony-s-darkseoul-breach-stretched-from-thai-hotel-
to-hollywood

14. 14
 Confidentiality (ข้อมูลควำมลับ)
 Integrity (กำรแก้ไข/ลบ/เพิ่มข้อมูลโดยมิชอบ)
 Availability (ระบบล่ม ใช้กำรไม่ได้)
สิ่งที่เป็นเป้าหมายการโจมตี: CIA Triad

15. 15
ผลกระทบ/ความเสียหาย
• ควำมลับถูกเปิดเผย
• ควำมเสี่ยงต่อชีวิต สุขภำพ จิตใจ กำรเงิน และ
กำรงำนของบุคคล
• ระบบล่ม กำรให้บริกำรมีปัญหำ
• ภำพลักษณ์ขององค์กรเสียหำย

16. 16
แหล่งที่มาของการโจมตี
• Hackers
• Viruses & Malware
• ระบบที่มีปัญหำข้อผิดพลำด/ช่องโหว่
• Insiders (บุคลำกรที่มีเจตนำร้ำย)
• กำรขำดควำมตระหนักของบุคลำกร
• ภัยพิบัติ

17. 17
เรื่องเล่าจากรามาธิบดี #3: Privacy

18. 18
Security/Privacy
กับข้อมูลผู้ป่วย

19. 19
Security & Privacy
http://en.wikipedia.org/wiki/A._S._Bradford_House

20. 20
แนวปฏิบัติด้าน Privacy
ของข้อมูล

21. 21
หลักจริยธรรมที่เกี่ยวกับ Privacy
• Autonomy (หลักเอกสิทธิ์/ควำมเป็นอิสระของผู้ป่วย)
• Beneficence (หลักกำรรักษำประโยชน์สูงสุดของผู้ป่วย)
• Non-maleficence (หลักกำรไม่ทำอันตรำยต่อผู้ป่วย)
“First, Do No Harm.”

22. 22
Hippocratic Oath
...
What I may see or hear in the course of
treatment or even outside of the treatment
in regard to the life of men, which on no
account one must spread abroad, I will keep
myself holding such things shameful to be
spoken about.
...
http://en.wikipedia.org/wiki/Hippocratic_Oath

23. 23
กฎหมายที่เกี่ยวข้องกับ Privacy
• พรบ.สุขภำพแห่งชำติ พ.ศ. 2550
• มำตรำ 7 ข้อมูลด้ำนสุขภำพของบุคคล เป็นควำมลับส่วน
บุคคล ผู้ใดจะนำไปเปิดเผยในประกำรที่น่ำจะทำให้บุคคลนั้น
เสียหำยไม่ได้ เว้นแต่กำรเปิดเผยนั้นเป็นไปตำมควำมประสงค์
ของบุคคลนั้นโดยตรง หรือมีกฎหมำยเฉพำะบัญญัติให้ต้อง
เปิดเผย แต่ไม่ว่ำในกรณีใด ๆ ผู้ใดจะอำศัยอำนำจหรือสิทธิ
ตำมกฎหมำยว่ำด้วยข้อมูลข่ำวสำรของรำชกำรหรือกฎหมำย
อื่นเพื่อขอเอกสำรเกี่ยวกับข้อมูลด้ำนสุขภำพของบุคคลที่ไม่ใช่
ของตนไม่ได้

24. 24
ประมวลกฎหมายอาญา
• มำตรำ 323 ผู้ใดล่วงรู้หรือได้มำซึ่งควำมลับของผู้อื่นโดยเหตุที่เป็น
เจ้ำพนักงำนผู้มีหน้ำที่ โดยเหตุที่ประกอบอำชีพเป็นแพทย์ เภสัชกร
คนจำหน่ำยยำ นำงผดุงครรภ์ ผู้พยำบำล...หรือโดยเหตุที่เป็นผู้ช่วย
ในกำรประกอบอำชีพนั้น แล้วเปิดเผยควำมลับนั้นในประกำรที่
น่ำจะเกิดควำมเสียหำยแก่ผู้หนึ่งผู้ใด ต้องระวำงโทษจำคุกไม่เกิน
หกเดือน หรือปรับไม่เกินหนึ่งพันบำท หรือทั้งจำทั้งปรับ
• ผู้รับกำรศึกษำอบรมในอำชีพดังกล่ำวในวรรคแรก เปิดเผย
ควำมลับของผู้อื่น อันตนได้ล่วงรู้หรือได้มำในกำรศึกษำอบรมนั้น
ในประกำรที่น่ำจะเกิดควำมเสียหำยแก่ผู้หนึ่งผู้ใดต้องระวำงโทษ
เช่นเดียวกัน

25. 25
คำประกำศสิทธิและข้อพึงปฏิบัติของผู้ป่วย
7. ผู้ป่วยมีสิทธิได้รับกำรปกปิดข้อมูลของตนเอง เว้นแต่
ผู้ป่วยจะให้ควำมยินยอมหรือเป็นกำรปฏิบัติตำมหน้ำที่
ของผู้ประกอบวิชำชีพด้ำนสุขภำพเพื่อประโยชน์โดยตรง
ของผู้ป่วยหรือตำมกฎหมำย

26. 26
แนวทางการคุ้มครอง Privacy
• Informed consent
• Privacy culture
• User awareness building & education
• Organizational policy & regulations
 Enforcement
 Ongoing privacy & security assessments,
monitoring, and protection

27. 27
เรื่องเล่าจากรามาธิบดี #4: Passwords
Keylogger Attack:
เรื่องเล่าจากกิจกรรมชมรม
สมัยเป็นนักศึกษาแพทย์

28. 28
แนวปฏิบัติด้าน Security
ของระบบ

29. 29
User Account Security
So, two informaticians
walk into a bar...
The bouncer says,
"What's the password."
One says, "Password?"
The bouncer lets them
in.
Credits: @RossMartin & AMIA (2012)

30. 30
User Account Security
https://www.thaicert.or.th/downloads/files/BROCHURE_security_awareness.png

31. 31
 ควำมยำว 8 ตัวอักษรขึ้นไป
 ควำมซับซ้อน: 3 ใน 4 กลุ่มตัวอักษร
 Uppercase letters
 Lowercase letters
 Numbers
 Symbols
 ไม่มีควำมหมำย (ป้องกัน “Dictionary Attacks”)
 ไม่ใช่ simple patterns (12345678, 11111111)
 ไม่เกี่ยวกับข้อมูลส่วนตัวที่คนสนิทอำจรู้ (เช่น วันเกิด
ชื่อคนในครอบครัว ชื่อสัตว์เลี้ยง)
Passwords

32. 32
เรื่องเล่าจากรามาธิบดี #5: Password ท่องง่าย (แต่ก็ Hack ง่าย)
Dictionary Attack:
เรื่องเล่าจากการเรียน
การ Hack ระบบ ที่ USA

33. 33
Clear Desk, Clear Screen Policy
http://pixabay.com/en/post-it-sticky-note-note-corner-148282/

34. 34
แล้วจะจา Password ได้ยังไง?
คิดประโยคภำษำอังกฤษสัก 1 ประโยค
ประโยคนี้ควรมีคำ 8 คำขึ้นไป และควรมีตัวเลข
หรือสัญลักษณ์พิเศษด้วย
ใช้ตัวอักษรตัวแรกของแต่ละคำ เป็น Password

35. 35
ตัวอย่างการตั้ง Password
http://www.thedigitalshift.com/2012/05/ebooks/amazon-offers-harry-potter-for-free-through-lending-library/

36. 36
ตัวอย่างการตั้ง Password
ประโยค:
I love reading all 7 Harry Potter books!
Password:
Ilra7HPb!

37. 37
Password Sharing
อย่ำแชร์ Password
กับคนอื่น

38. 38
Password Expiration
เปลี่ยน Password
ทุกๆ 3-6 เดือน

39. 39
เรื่องเล่าจากรามาธิบดี #6: Wi-Fi
Wi-Fi Router เถื่อน:
พวกชอบสร้างปัญหาให้
admin และอาจเป็นจอมขโมย
Password

40. 40
Logout After Use
อย่ำลืม Logout หลังใช้งำนเสมอ
โดยเฉพำะเครื่องสำธำรณะ
(หำกไม่อยู่ที่หน้ำจอ แม้เพียงชั่วครู่
ให้ Lock Screen เสมอ)

41. 41
Mobile Security
https://www.thaicert.or.th/downloads/files/BROCHURE_mobile_malware.png

42. 42
Mobile Security
ตั้ง PIN สำหรับ Lock Screen เอำไว้
ไม่เก็บข้อมูลสำคัญเอำไว้
ระวังไม่ให้สูญหำย หำกสูญหำยรีบแจ้งระงับ

43. 43
E-mail Security
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Mail-Scam.jpg

44. 44
E-mail Security
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Mail-Scam.jpg

45. 45
เรื่องเล่าจากรามาธิบดี #7: E-mail หลอกลวง
Phishing

46. 46
Phishing E-mail

47. 47
Phishing E-mail

48. 48
Phishing E-mail

49. 49
Phishing E-mail

50. 50
Phishing Web Site

51. 51
E-mail & Online Security (Phishing)
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg

52. 52
E-mail & Online Security (Phishing)
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg

53. 53
Secure Log-in สาหรับเว็บที่สาคัญ
Microsoft Internet Explorer

54. 54
Secure Log-in สาหรับเว็บที่สาคัญ
Mozilla Firefox
Google Chrome

55. 55
ลักษณะสาคัญที่ควรสงสัย Phishing
Grammar ห่วยแตก
ตัวสะกดผิดเยอะ
พยำยำมอย่ำงยิ่งให้เปิดไฟล์แนบ หรือกด link
หรือตอบเมล แต่ไม่ค่อยให้รำยละเอียด
E-mail ที่มำจำกคนรู้จัก ไม่ได้ปลอดภัยเสมอไป

56. 56
เรื่องเล่าจากรามาธิบดี #8: ถูก E-mail หลอก
Phishing Attack:
เรื่องเล่าจากชีวิต
ประธานนักเรียนไทยใน
Minnesota

57. 57
เรื่องเล่าจากรามาธิบดี #9: เรียกค่าไถ่
Ransomware

58. 58
ประกาศเตือนภัย Ransomware ในรามาธิบดี
ขอบคุณภำพ Screen Saver จำกฝ่ำยสำรสนเทศ คณะแพทยศำสตร์โรงพยำบำลรำมำธิบดี

59. 59
PC Security, Virus & Malware
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing_Malicious-Code.jpg

60. 60
PC Security, Virus & Malware
https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing_Malicious-Code.jpg

61. 61
เรื่องเล่าจากรามาธิบดี #10: แชร์ไฟล์
File Sharing:
เรื่องเล่าจากชีวิต
นักศึกษาแพทย์รามาธิบดี
(ที่อยากรู้อยากเห็น)

62. 62
เรื่องเล่าจากรามาธิบดี #11: Virus & Patch Updates
Virus/Malware Attack &
Windows Update:
เรื่องเล่าจากบทบาท
Chief IT Admin รามาธิบดี
(ที่ต้องดูแลระบบล่ม)

63. 63
เรื่องเล่าจากรามาธิบดี #12:
Back-up Your Data:
เรื่องเล่าจากคนงานเยอะ

64. 64
World Backup Day:
March 31 ของทุกปี

65. 65
Summary of Talk: เรียนรู้จากเรื่องเล่า
• ทำไมเรำต้องแคร์เรื่อง Security & Privacy?
• Security/Privacy กับข้อมูลผู้ป่วย
• แนวปฏิบัติด้ำน Security ของระบบ
• แนวปฏิบัติด้ำน Privacy ของข้อมูล

66. 66
Patient Privacy and Security of Health Information
for Dental Students:
เรื่องเล่าจากรามาธิบดี
นพ.นวนรรน ธีระอัมพรพันธุ์
15 มิ.ย. 2559
http://www.slideshare.net/nawanan