Ramathibodi Security Awareness Training (June 3, 2016)
•
1 like•288 views
Presented at the Faculty of Medicine Ramathibodi Hospital, Mahidol University on June 3, 2016.
Recommended
Recommended
More Related Content
What's hot
What's hot (10)
Viewers also liked
Viewers also liked (13)
Similar to Ramathibodi Security Awareness Training (June 3, 2016)
Similar to Ramathibodi Security Awareness Training (June 3, 2016) (20)
More from Nawanan Theera-Ampornpunt
More from Nawanan Theera-Ampornpunt (20)
Ramathibodi Security Awareness Training (June 3, 2016)
- 1. 1 ใช้ไอทีอย่างปลอดภัย พวกเราสบายใจ คนไข้ได้รับความคุ้มครอง นพ.นวนรรน ธีระอัมพรพันธุ์ 3 มิ.ย. 2559 http://www.slideshare.net/nawanan
- 2. 2 2546 แพทยศาสตรบัณฑิต (รามาธิบดีรุ่นที่ 33) 2554 Ph.D. (Health Informatics), Univ. of Minnesota อาจารย์ ภาควิชาเวชศาสตร์ชุมชน คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี ความสนใจ: Health IT, Social Media, Security & Privacy nawanan.the@mahidol.ac.th SlideShare.net/Nawanan Nawanan Theera-Ampornpunt Line ID: NawananT แนะนาตัว
- 3. 3 Outline • ทำไมเรำต้องแคร์เรื่อง Security & Privacy? • Security/Privacy กับข้อมูลผู้ป่วย • แนวปฏิบัติด้ำน Security ของระบบ • แนวปฏิบัติด้ำน Privacy ของข้อมูล • รำมำธิบดี กับ Security/Privacy • แนวปฏิบัติด้ำนกำรใช้ Social Media ที่เหมำะสม
- 4. 4 ทาไมเราต้องแคร์ เรื่อง Security & Privacy?
- 5. 5 เรื่องเล่าจากรามาธิบดี #1: Privacy & Hoax http://news.sanook.com/1262964/
- 13. 13 ภัย Security กับเมืองไทย (Top) http://deadline.com/2014/12/sony-hack-timeline-any-pascal-the-interview-north-korea-1201325501/ (Bottom) http://www.bloomberg.com/news/articles/2014-12-07/sony-s-darkseoul-breach-stretched-from-thai-hotel- to-hollywood
- 14. 14 Confidentiality (ข้อมูลควำมลับ) Integrity (กำรแก้ไข/ลบ/เพิ่มข้อมูลโดยมิชอบ) Availability (ระบบล่ม ใช้กำรไม่ได้) สิ่งที่เป็นเป้าหมายการโจมตี: CIA Triad
- 15. 15 ผลกระทบ/ความเสียหาย • ควำมลับถูกเปิดเผย • ควำมเสี่ยงต่อชีวิต สุขภำพ จิตใจ กำรเงิน และ กำรงำนของบุคคล • ระบบล่ม กำรให้บริกำรมีปัญหำ • ภำพลักษณ์ขององค์กรเสียหำย
- 16. 16 แหล่งที่มาของการโจมตี • Hackers • Viruses & Malware • ระบบที่มีปัญหำข้อผิดพลำด/ช่องโหว่ • Insiders (บุคลำกรที่มีเจตนำร้ำย) • กำรขำดควำมตระหนักของบุคลำกร • ภัยพิบัติ
- 22. 22 หลักจริยธรรมที่เกี่ยวกับ Privacy • Autonomy (หลักเอกสิทธิ์/ควำมเป็นอิสระของผู้ป่วย) • Beneficence (หลักกำรรักษำประโยชน์สูงสุดของผู้ป่วย) • Non-maleficence (หลักกำรไม่ทำอันตรำยต่อผู้ป่วย) “First, Do No Harm.”
- 23. 23 Hippocratic Oath ... What I may see or hear in the course of treatment or even outside of the treatment in regard to the life of men, which on no account one must spread abroad, I will keep myself holding such things shameful to be spoken about. ... http://en.wikipedia.org/wiki/Hippocratic_Oath
- 24. 24 กฎหมายที่เกี่ยวข้องกับ Privacy • พรบ.สุขภำพแห่งชำติ พ.ศ. 2550 • มำตรำ 7 ข้อมูลด้ำนสุขภำพของบุคคล เป็นควำมลับส่วน บุคคล ผู้ใดจะนำไปเปิดเผยในประกำรที่น่ำจะทำให้บุคคลนั้น เสียหำยไม่ได้ เว้นแต่กำรเปิดเผยนั้นเป็นไปตำมควำมประสงค์ ของบุคคลนั้นโดยตรง หรือมีกฎหมำยเฉพำะบัญญัติให้ต้อง เปิดเผย แต่ไม่ว่ำในกรณีใด ๆ ผู้ใดจะอำศัยอำนำจหรือสิทธิ ตำมกฎหมำยว่ำด้วยข้อมูลข่ำวสำรของรำชกำรหรือกฎหมำย อื่นเพื่อขอเอกสำรเกี่ยวกับข้อมูลด้ำนสุขภำพของบุคคลที่ไม่ใช่ ของตนไม่ได้
- 25. 25 ประมวลกฎหมายอาญา • มำตรำ 323 ผู้ใดล่วงรู้หรือได้มำซึ่งควำมลับของผู้อื่นโดยเหตุที่เป็น เจ้ำพนักงำนผู้มีหน้ำที่ โดยเหตุที่ประกอบอำชีพเป็นแพทย์ เภสัชกร คนจำหน่ำยยำ นำงผดุงครรภ์ ผู้พยำบำล...หรือโดยเหตุที่เป็นผู้ช่วย ในกำรประกอบอำชีพนั้น แล้วเปิดเผยควำมลับนั้นในประกำรที่ น่ำจะเกิดควำมเสียหำยแก่ผู้หนึ่งผู้ใด ต้องระวำงโทษจำคุกไม่เกิน หกเดือน หรือปรับไม่เกินหนึ่งพันบำท หรือทั้งจำทั้งปรับ • ผู้รับกำรศึกษำอบรมในอำชีพดังกล่ำวในวรรคแรก เปิดเผย ควำมลับของผู้อื่น อันตนได้ล่วงรู้หรือได้มำในกำรศึกษำอบรมนั้น ในประกำรที่น่ำจะเกิดควำมเสียหำยแก่ผู้หนึ่งผู้ใดต้องระวำงโทษ เช่นเดียวกัน
- 27. 27 ข้อควำมจริง บน • "อาจารย์ครับ เมื่อวาน ผมออก OPD เจอ คุณ ... คนไข้... ที่อาจารย์ผ่าไปแล้ว มา ฉายรังสีต่อ ที่... ตอนนี้ Happy ดี ไม่ค่อยปวด เดินได้สบาย คนไข้ฝากขอบคุณอาจารย์อีกครั้ง -- อีกอย่าง คนไข้ช่วงนี้ไม่ค่อยสะดวกเลยไม่ได้ไป กทม. บอกว่าถ้าพร้อมจะไป Follow-up กับอาจารย์ ครับ" ข้อมูลผู้ป่วย บน Social Media
- 28. 28 แนวทางการคุ้มครอง Privacy • Informed consent • Privacy culture • User awareness building & education • Organizational policy & regulations Enforcement Ongoing privacy & security assessments, monitoring, and protection
- 29. 29 เรื่องเล่าจากรามาธิบดี #4: Enforcement Uniform Enforcement: เรื่องเล่าเกี่ยวกับ ความน่ารักของผู้บริหาร (ท่าน ศ. นพ.รัชตะ รัชตะนาวิน)
- 30. 30 Line เสี่ยงต่อกำรละเมิด Privacy ผู้ป่วยได้อย่ำงไร? • ข้อมูลใน Line group มีคนเห็นหลายคน • ข้อมูลถูก capture หรือ forward ไป share ต่อได้ • ข้อมูล cache ที่เก็บใน mobile device อาจถูกอ่านได้ (เช่น ทาอุปกรณ์หาย หรือเผลอวางเอาไว้) • ข้อมูลที่ส่งผ่าน network ไม่ได้เข้ารหัส • ข้อมูลที่เก็บใน server ของ Line ทางบริษัทเข้าถึงได้ และ อาจถูก hack ได้ • มีคนเดา Password ได้
- 31. 31 ทำงออกสำหรับกำร Consult Case ผู้ป่วย • ใช้ช่องทางอื่นที่ไม่มีการเก็บ record ข้อมูล ถ้าเหมาะสม • หลีกเลี่ยงการระบุหรือ include ชื่อ, HN, เลขที่เตียง หรือ ข้อมูลที่ระบุตัวตนผู้ป่วยได้ (รวมทั้งในภาพ image) • ใช้ app ที่ปลอดภัยกว่า • Limit คนที่เข้าถึง (เช่น ไม่คุยผ่าน Line group) • ใช้อย่างปลอดภัย (Password, ดูแลอุปกรณ์ไว้กับตัว, เช็ค malware ฯลฯ)
- 32. 32 เรื่องเล่าจากรามาธิบดี #5: PR Nightmare เหตุการณ์ไม่จริง ที่สร้างความ เสียหาย กลายเป็น viral
- 33. 33 เรื่องเล่าจากรามาธิบดี #5: PR Nightmare & Response http://new.khaosod.co.th.khaosod.online/dek3/win.html (อันตรำย! ไม่ควรเข้ำเว็บนี้) ข่าวนี้ไม่เป็นความจริง
- 34. 34 เรื่องเล่าจากรามาธิบดี #5: PR Nightmare & Response
- 35. 35 เรื่องเล่าจากรามาธิบดี #6: Passwords Keylogger Attack: เรื่องเล่าจากกิจกรรมชมรม สมัยเป็นนักศึกษาแพทย์
- 37. 37 User Account Security So, two informaticians walk into a bar... The bouncer says, "What's the password." One says, "Password?" The bouncer lets them in. Credits: @RossMartin & AMIA (2012)
- 38. 38 User Account Security https://www.thaicert.or.th/downloads/files/BROCHURE_security_awareness.png
- 39. 39 ควำมยำว 8 ตัวอักษรขึ้นไป ควำมซับซ้อน: 3 ใน 4 กลุ่มตัวอักษร Uppercase letters Lowercase letters Numbers Symbols ไม่มีควำมหมำย (ป้องกัน “Dictionary Attacks”) ไม่ใช่ simple patterns (12345678, 11111111) ไม่เกี่ยวกับข้อมูลส่วนตัวที่คนสนิทอำจรู้ (เช่น วันเกิด ชื่อคนในครอบครัว ชื่อสัตว์เลี้ยง) Passwords
- 40. 40 เรื่องเล่าจากรามาธิบดี #7: Password ท่องง่าย (แต่ก็ Hack ง่าย) Dictionary Attack: เรื่องเล่าจากการเรียน การ Hack ระบบ ที่ USA
- 41. 41 Clear Desk, Clear Screen Policy http://pixabay.com/en/post-it-sticky-note-note-corner-148282/
- 42. 42 แล้วจะจา Password ได้ยังไง? คิดประโยคภำษำอังกฤษสัก 1 ประโยค ประโยคนี้ควรมีคำ 8 คำขึ้นไป และควรมีตัวเลข หรือสัญลักษณ์พิเศษด้วย ใช้ตัวอักษรตัวแรกของแต่ละคำ เป็น Password
- 44. 44 ตัวอย่างการตั้ง Password ประโยค: I love reading all 7 Harry Potter books! Password: Ilra7HPb!
- 46. 46 Password Expiration เปลี่ยน Password ทุกๆ 3-6 เดือน
- 47. 47 เรื่องเล่าจากรามาธิบดี #8: Wi-Fi Wi-Fi Router เถื่อน: พวกชอบสร้างปัญหาให้ admin และอาจเป็นจอมขโมย Password
- 48. 48 Logout After Use อย่ำลืม Logout หลังใช้งำนเสมอ โดยเฉพำะเครื่องสำธำรณะ (หำกไม่อยู่ที่หน้ำจอ แม้เพียงชั่วครู่ ให้ Lock Screen เสมอ)
- 50. 50 Mobile Security ตั้ง PIN สำหรับ Lock Screen เอำไว้ ไม่เก็บข้อมูลสำคัญเอำไว้ ระวังไม่ให้สูญหำย หำกสูญหำยรีบแจ้งระงับ
- 53. 53 เรื่องเล่าจากรามาธิบดี #9: E-mail หลอกลวง Phishing
- 59. 59 E-mail & Online Security (Phishing) https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg
- 60. 60 E-mail & Online Security (Phishing) https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing.jpg
- 61. 61 Secure Log-in สาหรับเว็บที่สาคัญ Microsoft Internet Explorer
- 62. 62 Secure Log-in สาหรับเว็บที่สาคัญ Mozilla Firefox Google Chrome
- 63. 63 ลักษณะสาคัญที่ควรสงสัย Phishing Grammar ห่วยแตก ตัวสะกดผิดเยอะ พยำยำมอย่ำงยิ่งให้เปิดไฟล์แนบ หรือกด link หรือตอบเมล แต่ไม่ค่อยให้รำยละเอียด E-mail ที่มำจำกคนรู้จัก ไม่ได้ปลอดภัยเสมอไป
- 64. 64 เรื่องเล่าจากรามาธิบดี #10: ถูก E-mail หลอก Phishing Attack: เรื่องเล่าจากชีวิต ประธานนักเรียนไทยใน Minnesota
- 66. 66 ประกาศเตือนภัย Ransomware ในรามาธิบดี ขอบคุณภำพ Screen Saver จำกฝ่ำยสำรสนเทศ คณะแพทยศำสตร์โรงพยำบำลรำมำธิบดี
- 69. 69 เครือข่ายด้าน IT ในองค์กร Ramathibodi Computer Emergency Readiness Team (RamaCERT)
- 70. 70 PC Security, Virus & Malware https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing_Malicious-Code.jpg
- 71. 71 PC Security, Virus & Malware https://www.thaicert.or.th/downloads/files/info_ThaiCERT_Phishing_Malicious-Code.jpg
- 72. 72 เรื่องเล่าจากรามาธิบดี #12: แชร์ไฟล์ File Sharing: เรื่องเล่าจากชีวิต นักศึกษาแพทย์รามาธิบดี (ที่อยากรู้อยากเห็น)
- 73. 73 เรื่องเล่าจากรามาธิบดี #13: Virus & Patch Updates Virus/Malware Attack & Windows Update: เรื่องเล่าจากบทบาท Chief IT Admin รามาธิบดี (ที่ต้องดูแลระบบล่ม)
- 74. 74 เรื่องเล่าจากรามาธิบดี #14: Apple False Sense of Security เรื่องเล่าจาก Apple Fanboy
- 75. 75 เรื่องเล่าจากรามาธิบดี #15: Back-up Your Data: เรื่องเล่าจากคนงานเยอะ
- 76. 76 World Backup Day: March 31 ของทุกปี
- 78. 78 http://intranet.mahidol/op/orla/law/index.php /announcement/146-2556/770-social-network นโยบำยด้ำน Social Media ของมหำวิทยำลัยมหิดล
- 79. 79 • ข้อความบน Social Network สามารถเข้าถึงได้โดยสาธารณะ ผู้เผยแพร่ต้องรับผิดชอบ ทั้งทางสังคมและกฎหมาย และอาจ ส่งผลกระทบต่อชื่อเสียง การทางาน และวิชาชีพของตน MU Social Media Policy
- 80. 80 • บุคลากรทางการแพทย์หรือผู้ให้บริการสุขภาพ – ระวังการใช้ Social Network ในการปฏิสัมพันธ์กับผู้ป่วย – ปฏิบัติตามจริยธรรมของวิชาชีพ – ระวังเรื่องความเป็นส่วนตัว (Privacy) และความลับของข้อมูล ผู้ป่วย – การเผยแพร่ข้อมูล/ภาพผู้ป่วย เพื่อการศึกษา ต้องขออนุญาตผู้ป่วย ก่อนเสมอ และลบข้อมูลที่เป็น identifiers ทั้งหมด (เช่น ชื่อ, HN, ภาพใบหน้า หรือ ID อื่นๆ) ยกเว้นผู้ป่วยอนุญาต (รวมถึงกรณีการ โพสต์ใน closed groups ด้วย) • ตั้งค่า Privacy Settings ให้เหมาะสม MU Social Media Policy
- 81. 81 • ประกาศคณะฯ เรื่อง นโยบายความปลอดภัยสารสนเทศ คณะ แพทยศาสตร์โรงพยาบาลรามาธิบดี พ.ศ. 2551 • ประกาศคณะฯ เรื่อง หลักเกณฑ์การปฏิบัติของผู้ได้รับอนุญาตให้ เข้าถึงข้อมูลทางอิเล็กทรอนิกส์ พ.ศ. 2554 • ประกาศคณะฯ เรื่อง การขอคัดถ่ายสาเนาเวชระเบียนผู้ป่วย พ.ศ. 2556 • ประกาศคณะฯ เรื่อง ข้อกาหนดการใช้สื่อสังคมออนไลน์ ของ คณะฯ พ.ศ. 2556 • ประกาศคณะฯ เรื่อง แนวทางปฏิบัติ การขอบันทึกภาพและเสียง ในโรงพยาบาลสังกัดของคณะฯ พ.ศ. 2557 ระเบียบต่ำงๆ ของคณะฯ ด้ำน Information Security
- 82. 82 Social Media Case Studies
- 83. 83 Social Media Case Study #1: พฤติกรรมไม่เหมำะสม Disclaimer (นพ.นวนรรน): นาเสนอเป็นกรณีศึกษาเพื่อการเรียนรู้ เรื่อง Social Media เท่านั้น ไม่มี เจตนาลบหลู่ ดูหมิ่น หรือทาให้ผู้ใด องค์กรใด หรือวิชาชีพใดเสียหาย โปรดใช้วิจารณญาณในการอ่านเนื้อหา
- 84. 84 Disclaimer (นพ.นวนรรน): นาเสนอเป็นกรณีศึกษาเพื่อการเรียนรู้ เรื่อง Social Media เท่านั้น ไม่มี เจตนาลบหลู่ ดูหมิ่น หรือทาให้ผู้ใด องค์กรใด หรือวิชาชีพใดเสียหาย โปรดใช้วิจารณญาณในการอ่านเนื้อหา Social Media Case Study #1: พฤติกรรมไม่เหมำะสม
- 85. 85http://news.mthai.com/hot-news/world-news/453842.html Social Media Case Study #2: Selfie มีประเด็น
- 86. 86 http://pantip.com/topic/33678081 https://www.facebook.com/photo.php?fbid=971229119583658&set=a.37957656541558 6.90794.100000897364762&type=1&theater Social Media Case Study #3: Selfie มีประเด็น
- 87. 87http://www.matichon.co.th/news_detail.php?newsid=1429341430 Social Media Case Study #4: ดูหมิ่นผู้ป่วย
- 88. 88 Social Media Case Study #5: ละเมิดผู้รับบริกำร Disclaimer (นพ.นวนรรน): นาเสนอเป็น กรณีศึกษาเพื่อการเรียนรู้เรื่อง Social Media เท่านั้น ไม่มีเจตนาดูหมิ่น หรือทาให้ผู้ใด เสียหาย และไม่มีเจตนาสร้างประเด็นทาง การเมือง ชื่อ สัญลักษณ์ หรือเครื่องหมายของบุคคล หรือองค์กรใด เป็นเพียงการให้ข้อมูลแวดล้อม เพื่อการทาความเข้าใจกรณีศึกษาเท่านั้น ไม่ใช่ การใส่ความว่าผู้นั้นกระทาการใด อันจะทาให้ ผู้นั้นเสียชื่อเสียง ถูกดูหมิ่น หรือถูกเกลียดชัง โปรดใช้วิจารณญาณในการอ่านเนื้อหา
- 89. 89 http://manager.co.th/Entertainment/Vie wNews.aspx?NewsID=9580000076405 Social Media Case Study #6: ละเมิดผู้รับบริกำร
- 90. 90 Social Media Case Study #7: ไม่แยก Account
- 91. 91 Facebook Profile vs. Page vs. Group • ใช้ Profile สำหรับ user แต่ละคน (แยกคนกัน) • ใช้ Page สำหรับกำร PR องค์กร/หน่วยงำน/ทีม/ กลุ่ม (สำมำรถตั้ง user คนละคน เป็น admin ได้ โดยแยก account กัน) • ใช้ Group สำหรับกำรสื่อสำรกันภำยในกลุ่ม (ตั้งระดับ privacy ที่เหมำะสมได้)
- 92. 92 Social Media Case Study #8: ไม่ตรวจสอบข้อมูล Disclaimer (นพ.นวนรรน): นาเสนอเป็น กรณีศึกษาเพื่อการเรียนรู้เรื่อง Social Media เท่านั้น ไม่มีเจตนาดูหมิ่น หรือทาให้ผู้ใด เสียหาย ชื่อ สัญลักษณ์ หรือเครื่องหมายของบุคคล หรือองค์กรใด เป็นเพียงการให้ข้อมูลแวดล้อม เพื่อการทาความเข้าใจกรณีศึกษาเท่านั้น ไม่ใช่ การใส่ความว่าผู้นั้นกระทาการใด อันจะทาให้ ผู้นั้นเสียชื่อเสียง ถูกดูหมิ่น หรือถูกเกลียดชัง โปรดใช้วิจารณญาณในการอ่านเนื้อหา
- 93. 93 Social Media Case Study #9: ไม่ตรวจสอบข้อมูล Source: Facebook Page โหดสัส V2 อ้ำงอิงภำพจำกหน้ำ 7 นสพ.ไทยรัฐ วันที่ 6 พ.ค. 2557 และ http://www.reuters.com/article/2013/10/16/us-philippines-quake-idUSBRE99E01R20131016
- 94. 94 Social Media Best Practices https://www.thaicert.or.th/downloads/files/BROCHURE_Social_Network.jpg
- 95. 95 Social Media Best Practices https://www.thaicert.or.th/downloads/files/BROCHURE_Social_Network.jpg
- 96. 96 Line Group: Rama IT Enthusiasts (Open to all Ramathibodi faculty members, staff, personnel & students) • ยินดีให้ผู้ที่เข้ากลุ่มแล้ว ส่ง Invite ให้เพื่อนๆ ที่สนใจ • ติดต่อขอเข้ากลุ่มได้ที่ Line ID: NawananT ติดตามอัปเดตความรู้ www.facebook.com/InformaticsRound
- 97. 97 Summary of Talk: เรียนรู้จากเรื่องเล่า • ทำไมเรำต้องแคร์เรื่อง Security & Privacy? • Security/Privacy กับข้อมูลผู้ป่วย • แนวปฏิบัติด้ำน Security ของระบบ • แนวปฏิบัติด้ำน Privacy ของข้อมูล • รำมำธิบดี กับ Security/Privacy • แนวปฏิบัติด้ำนกำรใช้ Social Media ที่เหมำะสม
- 98. 98 ใช้ไอทีอย่างปลอดภัย พวกเราสบายใจ คนไข้ได้รับความคุ้มครอง นพ.นวนรรน ธีระอัมพรพันธุ์ 3 มิ.ย. 2559 http://www.slideshare.net/nawanan