Security & Privacy Management (March 19, 2020)
•
1 like•423 views
Presented at the Medical Service Department, Bangkok Metropolitan Administration on March 19, 2020
Recommended
More Related Content
What's hot
What's hot (16)
Similar to Security & Privacy Management (March 19, 2020)
Similar to Security & Privacy Management (March 19, 2020) (20)
More from Nawanan Theera-Ampornpunt
More from Nawanan Theera-Ampornpunt (20)
Security & Privacy Management (March 19, 2020)
- 1. 1 Security & Privacy Management นพ.นวนรรน ธีระอัมพรพันธุ์ 19 มีนาคม 2563 http://www.slideshare.net/nawanan หลักสูตรเสริมสร้างศักยภาพบุคลากรเพื่อ สนับสนุนการบริหารงานโรงพยาบาล รุ่นที่ 3 (สศส.3) สานักการแพทย์ กรุงเทพมหานคร
- 2. 2 Outline • ทาไมเราต้องแคร์เรื่อง Security & Privacy? • Security/Privacy กับข้อมูลผู้ป่วย • แนวปฏิบัติด้าน Security ของระบบ • แนวปฏิบัติด้าน Privacy ของข้อมูล • แนวปฏิบัติด้านการใช้ Social Media ที่เหมาะสม
- 3. 3 ทำไมเรำต้องแคร์ เรื่อง Security & Privacy?
- 4. 4 เรื่องเล่ำจำกรำมำธิบดี #1: Privacy & Hoax http://news.sanook.com/1262964/
- 8. 8 ภัย Security กับเมืองไทย (Top) http://deadline.com/2014/12/sony-hack-timeline-any-pascal-the-interview-north-korea-1201325501/ (Bottom) http://www.bloomberg.com/news/articles/2014-12-07/sony-s-darkseoul-breach-stretched-from-thai-hotel- to-hollywood
- 12. 12 “Green” Organization & Privacy
- 13. 13 Why Personal Data Protection
- 14. 14 National Healthcare’s Worst Nightmare https://www.straitstimes.com/singapore/personal-info-of-15m-singhealth-patients-including-pm-lee- stolen-in-singapores-most
- 15. 15 S: Social Media and Communication S 1 Security and Privacy of Information S 2 Social Media and Communication Professionalism 2P Safety Personnel Safety Goals: S in SIMPLE
- 16. 16 ▪ Confidentiality (ข้อมูลความลับ) ▪ Integrity (การแก้ไข/ลบ/เพิ่มข้อมูลโดยมิชอบ) ▪ Availability (ระบบล่ม ใช้การไม่ได้) สิ่งที่เป็นเป้ำหมำยกำรโจมตี: CIA Triad
- 17. 17 ผลกระทบ/ควำมเสียหำย • ความลับถูกเปิดเผย • ความเสี่ยงต่อชีวิต สุขภาพ จิตใจ การเงิน และ การงานของบุคคล • ระบบล่ม การให้บริการมีปัญหา • ภาพลักษณ์ขององค์กรเสียหาย
- 18. 18 แหล่งที่มำของกำรโจมตี • Hackers • Viruses & Malware • ระบบที่มีปัญหาข้อผิดพลาด/ช่องโหว่ • Insiders (บุคลากรที่มีเจตนาร้าย) • การขาดความตระหนักของบุคลากร • ภัยพิบัติ
- 23. 23 Privacy of Health Information http://pantip.com/topic/35330409/
- 24. 24 หลักจริยธรรมที่เกี่ยวกับ Privacy • Autonomy (หลักเอกสิทธิ์/ความเป็นอิสระของผู้ป่วย) • Beneficence (หลักการรักษาประโยชน์สูงสุดของผู้ป่วย) • Non-maleficence (หลักการไม่ทาอันตรายต่อผู้ป่วย) “First, Do No Harm.”
- 25. 25 Hippocratic Oath ... What I may see or hear in the course of treatment or even outside of the treatment in regard to the life of men, which on no account one must spread abroad, I will keep myself holding such things shameful to be spoken about. ... http://en.wikipedia.org/wiki/Hippocratic_Oath
- 26. 26 กฎหมำยที่เกี่ยวข้องกับ Privacy • พรบ.สุขภาพแห่งชาติ พ.ศ. 2550 • มาตรา 7 ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วน บุคคล ผู้ใดจะนาไปเปิดเผยในประการที่น่าจะทาให้บุคคลนั้น เสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์ ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้อง เปิดเผย แต่ไม่ว่าในกรณีใด ๆ ผู้ใดจะอาศัยอานาจหรือสิทธิ ตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการหรือกฎหมาย อื่นเพื่อขอเอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่ ของตนไม่ได้
- 27. 27 ประมวลกฎหมำยอำญำ • มาตรา 323 ผู้ใดล่วงรู้หรือได้มาซึ่งความลับของผู้อื่นโดยเหตุที่เป็น เจ้าพนักงานผู้มีหน้าที่ โดยเหตุที่ประกอบอาชีพเป็นแพทย์ เภสัชกร คนจาหน่ายยา นางผดุงครรภ์ ผู้พยาบาล...หรือโดยเหตุที่เป็นผู้ช่วย ในการประกอบอาชีพนั้น แล้วเปิดเผยความลับนั้นในประการที่ น่าจะเกิดความเสียหายแก่ผู้หนึ่งผู้ใด ต้องระวางโทษจาคุกไม่เกิน หกเดือน หรือปรับไม่เกินหนึ่งพันบาท หรือทั้งจาทั้งปรับ • ผู้รับการศึกษาอบรมในอาชีพดังกล่าวในวรรคแรก เปิดเผย ความลับของผู้อื่น อันตนได้ล่วงรู้หรือได้มาในการศึกษาอบรมนั้น ในประการที่น่าจะเกิดความเสียหายแก่ผู้หนึ่งผู้ใดต้องระวางโทษ เช่นเดียวกัน
- 29. 29 ข้อควำมจริง บน • "อาจารย์ครับ เมื่อวาน ผมออก OPD เจอ คุณ ... คนไข้... ที่อาจารย์ผ่าไปแล้ว มา ฉายรังสีต่อ ที่... ตอนนี้ Happy ดี ไม่ค่อยปวด เดินได้สบาย คนไข้ฝากขอบคุณอาจารย์อีกครั้ง -- อีกอย่าง คนไข้ช่วงนี้ไม่ค่อยสะดวกเลยไม่ได้ไป กทม. บอกว่าถ้าพร้อมจะไป Follow-up กับอาจารย์ ครับ" ข้อมูลผู้ป่วย บน Social Media
- 30. 30 แนวทำงกำรคุ้มครอง Privacy • Informed consent • Privacy culture • User awareness building & education • Organizational policy & regulations ▪ Enforcement ▪ Ongoing privacy & security assessments, monitoring, and protection
- 31. 31 เรื่องเล่ำจำกรำมำธิบดี #4: Enforcement Uniform Enforcement: เรื่องเล่ำเกี่ยวกับ ควำมน่ำศรัทธำของผู้บริหำร
- 32. 32 Line เสี่ยงต่อกำรละเมิด Privacy ผู้ป่วยได้อย่ำงไร? • ข้อความใน Line group มีคนเห็นหลายคน • ถูก capture หรือ forward ไป share ต่อได้ • ข้อมูล cache ที่เก็บใน mobile device อาจถูกอ่านได้ (เช่น ทาอุปกรณ์หาย หรือเผลอวางเอาไว้) • ข้อมูลที่ส่งผ่าน network อาจไม่ได้เข้ารหัส • บริษัท Line เข้าถึงได้ และอาจถูก hack ได้ • มีคนเดา Password ได้ • ส่งผิดกลุ่ม
- 34. 34 ทำงออกสำหรับกำร Consult Case ผู้ป่วย • ใช้ช่องทางอื่นที่ไม่มีการเก็บ record ข้อมูล ถ้าเหมาะสม • หลีกเลี่ยงการระบุหรือ include ชื่อ, HN, เลขที่เตียง หรือ ข้อมูลที่ระบุตัวตนผู้ป่วยได้ (รวมทั้งในภาพ image) • ใช้ app ที่ปลอดภัยกว่า • Limit คนที่เข้าถึง (เช่น ไม่คุยผ่าน Line group) • ใช้อย่างปลอดภัย (Password, ดูแลอุปกรณ์ไว้กับตัว, เช็ค malware ฯลฯ)
- 35. 35 เรื่องเล่ำจำกรำมำธิบดี #5: Passwords Keylogger Attack: เรื่องเล่ำจำกกิจกรรมชมรม สมัยเป็นนักศึกษำแพทย์
- 37. 37 User Account Security So, two informaticians walk into a bar... The bouncer says, "What's the password." One says, "Password?" The bouncer lets them in. Credits: @RossMartin & AMIA (2012)
- 38. 38 What’s the Password? Unknown Internet sources, via http://pikabu.ru/story/interesno_kakoy_zhe_u_nikh_parol_4274737, via Facebook page “สอนแฮกเว็บแบบแมวๆ”
- 40. 40 User Account Security https://www.thaicert.or.th/downloads/files/BROCHURE_security_awareness.png
- 41. 41 ▪ ความยาว 8 ตัวอักษรขึ้นไป ▪ ความซับซ้อน: 3 ใน 4 กลุ่มตัวอักษร ▪ Uppercase letters ▪ Lowercase letters ▪ Numbers ▪ Symbols ▪ ไม่มีความหมาย (ป้องกัน “Dictionary Attacks”) ▪ ไม่ใช่ simple patterns (12345678, 11111111) ▪ ไม่เกี่ยวกับข้อมูลส่วนตัวที่คนสนิทอาจรู้ (เช่น วันเกิด ชื่อคนในครอบครัว ชื่อสัตว์เลี้ยง) Passwords
- 42. 42 เรื่องเล่ำจำกรำมำธิบดี #8: Password ท่องง่ำย (แต่ก็ Hack ง่ำย) Dictionary Attack: เรื่องเล่ำจำกกำรเรียน กำร Hack ระบบ ที่ USA
- 43. 43 Clear Desk, Clear Screen Policy http://pixabay.com/en/post-it-sticky-note-note-corner-148282/
- 44. 44 แล้วจะจำ Password ได้ยังไง? ▪คิดประโยคภาษาอังกฤษสัก 1 ประโยค ▪ประโยคนี้ควรมีคา 8 คาขึ้นไป และควรมีตัวเลข หรือสัญลักษณ์พิเศษด้วย ▪ใช้ตัวอักษรตัวแรกของแต่ละคา เป็น Password
- 46. 46 ตัวอย่ำงกำรตั้ง Password ▪ประโยค: I love reading all 7 Harry Potter books! ▪Password: Ilra7HPb!
- 48. 48 Password Expiration เปลี่ยน Password ทุกๆ 6 เดือน
- 49. 49 เรื่องเล่ำจำกรำมำธิบดี #7: Wi-Fi Wi-Fi Router เถื่อน: พวกชอบสร้ำงปัญหำให้ admin และอำจเป็นจอมขโมย Password
- 50. 50 Logout After Use อย่าลืม Logout หลังใช้งานเสมอ โดยเฉพาะเครื่องสาธารณะ (หากไม่อยู่ที่หน้าจอ แม้เพียงชั่วครู่ ให้ Lock Screen เสมอ)
- 51. 51 เรื่องเล่ำจำกรำมำธิบดี #8: E-mail หลอกลวง Phishing
- 55. 55 Secure Log-in สำหรับเว็บที่สำคัญ Google Chrome
- 56. 56 Secure Log-in สำหรับเว็บที่สำคัญ Mozilla Firefox Google Chrome 1
- 57. 57 Secure Log-in สำหรับเว็บที่สำคัญ Mozilla Firefox Google Chrome 2 1
- 58. 58 Secure Log-in สำหรับเว็บที่สำคัญ Mozilla Firefox Google Chrome 2 1 3
- 59. 59 1 Secure Log-in สำหรับเว็บที่สำคัญ Mozilla Firefox Google Chrome 2 3 4
- 60. 60 1 Secure Log-in สำหรับเว็บที่สำคัญ Mozilla Firefox Google Chrome 2 3 4
- 61. 61 ลักษณะสำคัญที่ควรสงสัย Phishing ▪Grammar ห่วยแตก ▪ตัวสะกดผิดเยอะ ▪พยายามอย่างยิ่งให้เปิดไฟล์แนบ หรือกด link หรือตอบเมล แต่ไม่ค่อยให้รายละเอียด ▪E-mail ที่มาจากคนรู้จัก ไม่ได้ปลอดภัยเสมอไป
- 65. 65 The Day We All WannaCry’ed http://www.mirror.co.uk/news/uk-news/ransomware-nhs-cyber-attack-live-10409420
- 67. 67 เครือข่ำยด้ำน IT ในองค์กร Ramathibodi Computer Emergency Readiness Team (RamaCERT) Rama IT Enthusiasts (Open to all Ramathibodi Personnel)
- 68. 68https://www.thaicert.or.th/downloads/files/Tips_to_Secure_Personal_Computer.jpg PC Security, Virus & Malware
- 69. 69 เรื่องเล่ำจำกรำมำธิบดี #10: แชร์ไฟล์ File Sharing: เรื่องเล่ำจำกชีวิต นักศึกษำแพทย์รำมำธิบดี (ที่อยำกรู้อยำกเห็น) แล้วเจอลำยเซ็น สแกนคณบดี (ในขณะนั้น)
- 70. 70 เรื่องเล่ำจำกรำมำธิบดี #11: Virus & Patch Updates Virus/Malware Attack & Windows Update: เรื่องเล่ำจำกบทบำท Chief IT Admin รำมำธิบดี (ที่ต้องดูแลระบบล่ม)
- 71. 71 เรื่องเล่ำจำกรำมำธิบดี #12: Apple False Sense of Security เรื่องเล่ำจำก Apple Fanboy
- 72. 72 เรื่องเล่ำจำกรำมำธิบดี #13: Back-up Your Data: เรื่องเล่ำจำกคนงำนเยอะ
- 73. 73 World Backup Day: March 31 ของทุกปี
- 74. 74 Cybersecurity Act & Personal Data Protection Act (PDPA)
- 76. 76 How Not to Prepare
- 77. 77 How Not to Prepare
- 78. 78 Summary of Talk • ทาไมเราต้องแคร์เรื่อง Security & Privacy? • Security/Privacy กับข้อมูลผู้ป่วย • แนวปฏิบัติด้าน Security ของระบบ • แนวปฏิบัติด้าน Privacy ของข้อมูล • แนวปฏิบัติด้านการใช้ Social Media ที่เหมาะสม
- 79. 79 Security & Privacy Management นพ.นวนรรน ธีระอัมพรพันธุ์ 19 มีนาคม 2563 http://www.slideshare.net/nawanan หลักสูตรเสริมสร้างศักยภาพบุคลากรเพื่อ สนับสนุนการบริหารงานโรงพยาบาล รุ่นที่ 3 (สศส.3) สานักการแพทย์ กรุงเทพมหานคร