ส่วนที่ 3 ข้อกำหนดด้านความปลอดภัยสารสนเทศสำหรับห้องปฏิบัติการทางการแพทย์

I. สภาพแวดล้อม

  1. ต้องจัดทำเอกสารขั้นตอนปฏิบัติงานเพื่อดูแลรักษาระบบสารสนเทศที่ใช้สำหรับรวบรวม ประมวลผล บันทึก รายงาน จัดเก็บ หรือเรียกดูข้อมูลและสารสนเทศการตรวจวิเคราะห์ เพื่อให้แน่ใจว่าระบบทำงานได้ตามปกติ และมีสภาพแวดล้อมและสภาวะการทำงานที่จำเป็น ต้องรักษาและบันทึกความสมบูรณ์ของข้อมูลและสารสนเทศ; ต้องรักษาความสะอาดของสิ่งอำนวยความสะดวกและอุปกรณ์คอมพิวเตอร์ และตำแหน่งที่วางรวมถึงสภาพแวดล้อมต้องสอดคล้องกับข้อกำหนดที่เกี่ยวข้อง (เช่น การระบายอากาศ ไฟฟ้าสถิต อุณหภูมิ และความชื้น)

  2. การวางตำแหน่งคอมพิวเตอร์ต้องสอดคล้องกับข้อกำหนดด้านความปลอดภัยจากอัคคีภัย

  3. ต้องจัดให้มีมาตรการป้องกันสำหรับสายไฟฟ้าและสายเคเบิลคอมพิวเตอร์ที่อยู่ในบริเวณที่มีการสัญจร

  4. ต้องจัดให้มีเครื่องสำรองไฟฟ้าไม่ขาดสาย (UPS) สำหรับเซิร์ฟเวอร์ระบบสารสนเทศห้องปฏิบัติการ (LIS) และคอมพิวเตอร์ที่เกี่ยวข้องกับการประมวลผลข้อมูล เพื่อป้องกันความเสียหายหรือการสูญหายของข้อมูลใน LIS ที่เกิดจากไฟฟ้าดับกะทันหัน

  5. ต้องจัดทำข้อกำหนดและมาตรการเพื่อป้องกันบุคคลที่ไม่ได้รับอนุญาตเข้าถึงสิ่งอำนวยความสะดวกด้านสารสนเทศ

II. คู่มือขั้นตอนการปฏิบัติงาน

  1. ต้องจัดทำคู่มือขั้นตอนการปฏิบัติงานระบบปฏิบัติการคอมพิวเตอร์และคำแนะนำการทำงาน; อาจจัดทำในรูปแบบอิเล็กทรอนิกส์เพื่อความสะดวกในการใช้งานของผู้ใช้คอมพิวเตอร์ที่ได้รับอนุญาตทุกคน และต้องมีไว้พร้อมใช้งาน ณ สถานที่ที่ดำเนินกิจกรรม

  2. ต้องอธิบายวัตถุประสงค์ของโปรแกรมคอมพิวเตอร์ รูปแบบการทำงาน และการโต้ตอบกับโปรแกรมคอมพิวเตอร์อื่นๆ อย่างชัดเจน ระดับรายละเอียดต้องเพียงพอที่จะสนับสนุนผู้ดูแลระบบสารสนเทศคอมพิวเตอร์ในการแก้ไขปัญหาที่เกี่ยวข้อง และในการทำการเปลี่ยนแปลงระบบ หรือเมื่อจำเป็นต้องแก้ไขโปรแกรมที่ได้รับอนุญาต

  3. ผู้อำนวยการห้องปฏิบัติการหรือบุคลากรที่ได้รับอนุญาตต้องตรวจทบทวนและอนุมัติคู่มือขั้นตอนการปฏิบัติงานระบบคอมพิวเตอร์และคำแนะนำการทำงานเป็นระยะ; คู่มือขั้นตอนการปฏิบัติงานระบบคอมพิวเตอร์และคำแนะนำการทำงานที่ใช้งานอยู่ต้องเป็นเวอร์ชันปัจจุบันและมีผลบังคับใช้

  4. ต้องจัดทำขั้นตอนการปฏิบัติงานเพื่อให้แน่ใจว่าในกรณีที่เกิดอัคคีภัย หรือความเสียหายของซอฟต์แวร์หรือฮาร์ดแวร์ จะมีมาตรการปกป้องข้อมูล สารสนเทศ และอุปกรณ์คอมพิวเตอร์

III. ความปลอดภัยของระบบ

  1. ผู้ใช้ระบบสารสนเทศห้องปฏิบัติการ (LIS) ต้องได้รับอนุญาต การอนุญาตใช้งาน LIS ต้องมีรายละเอียดครบถ้วน และต้องมอบการอนุญาตให้กับบุคลากรที่เข้าถึงข้อมูลผู้ป่วย ป้อนผลการตรวจของผู้ป่วย แก้ไขผลการตรวจ แก้ไขบิล หรือเปลี่ยนแปลงโปรแกรมคอมพิวเตอร์

  2. บุคคลทุกคนที่ได้รับอนุญาตให้เข้าสู่ LIS ของห้องปฏิบัติการต้องรักษาความลับของข้อมูลผู้ป่วยในคอมพิวเตอร์และระบบสารสนเทศทุกระบบ ห้องปฏิบัติการและศูนย์จัดการเครือข่ายต้องรับประกันว่า: (1) มีการจัดทำและนำไปใช้ขั้นตอนการปฏิบัติงานเพื่อปกป้องความสมบูรณ์ของข้อมูลในคอมพิวเตอร์และระบบสารสนเทศทุกระบบตลอดเวลา; (2) โปรแกรมคอมพิวเตอร์และวิธีการอื่นๆ มีประสิทธิภาพเพียงพอที่จะปกป้องกระบวนการรวบรวม ประมวลผล บันทึก รายงาน จัดเก็บ หรือเรียกดูข้อมูลและสารสนเทศการตรวจวิเคราะห์ ป้องกันการเข้าถึง การแก้ไข หรือการทำลายโดยไม่ได้ตั้งใจหรือโดยไม่ได้รับอนุญาต

  3. ห้ามติดตั้งซอฟต์แวร์ผิดกฎหมายบนคอมพิวเตอร์ของห้องปฏิบัติการ และห้ามใช้แฟลชไดรฟ์ USB และอุปกรณ์ถ่ายโอนข้อมูลอื่นๆ

  4. หากสามารถเข้าถึงสารสนเทศจากระบบคอมพิวเตอร์อื่นๆ (เช่น ระบบเภสัชกรรมหรือระบบเวชระเบียน) ผ่านระบบคอมพิวเตอร์ของห้องปฏิบัติการได้ ต้องจัดให้มีมาตรการความปลอดภัยคอมพิวเตอร์ที่เหมาะสมเพื่อป้องกันการเข้าถึงสารสนเทศดังกล่าวโดยไม่ได้รับอนุญาต

  5. ต้องจัดให้มีมาตรการความปลอดภัยคอมพิวเตอร์ที่เหมาะสมเพื่อป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต และการแก้ไขโดยไม่ได้รับอนุญาตต่อข้อมูลห้องปฏิบัติการของผู้ป่วยใดๆ ผ่านระบบคอมพิวเตอร์อื่นๆ (เช่น ระบบเภสัชกรรมหรือระบบเวชระเบียน)

  6. ต้องปกป้องข้อมูลที่ส่งผ่านเครือข่าย ทั้งภายในและภายนอกสถาบัน จากการดักรับหรือรับข้อมูลอย่างผิดกฎหมาย

IV. การป้อนข้อมูลและการรายงาน

  1. ต้องตรวจสอบความสอดคล้องระหว่างผลรายงานการตรวจขั้นสุดท้ายในระบบสารสนเทศห้องปฏิบัติการ (LIS) กับข้อมูลนำเข้าเดิมเป็นระยะ และต้องเก็บรักษาเอกสารขั้นตอนการปฏิบัติงานและบันทึกที่ใช้ป้องกันข้อผิดพลาดในการส่งผ่านข้อมูล ต้องตรวจสอบข้อมูลเป็นระยะเพื่อค้นหาข้อผิดพลาดที่เกิดขึ้นระหว่างการประมวลผลและการจัดเก็บ ตัวอย่างเช่น (1) ต้องตรวจสอบความสอดคล้องระหว่างข้อมูลในระบบสอบถามผลการตรวจ เช่น สถานีงานของแพทย์และพยาบาล กับข้อมูลเดิมเป็นระยะ (2) เมื่อมีการเชื่อมต่อเครื่องมือใหม่เข้ากับ LIS ต้องดำเนินการเปรียบเทียบข้อมูลระหว่างเครื่องมือกับข้อมูลใน LIS ตามจำนวนที่กำหนด

  2. ต้องตรวจสอบสำเนาตารางหลายชุดที่เก็บรักษาในระบบต่างๆ เป็นระยะ (ตัวอย่างเช่น ตารางช่วงอ้างอิงชีวภาพในระบบสารสนเทศห้องปฏิบัติการและระบบสารสนเทศโรงพยาบาล) เพื่อให้แน่ใจว่าสำเนาทุกชุดมีความสอดคล้องกันในระหว่างการใช้งาน ต้องมีขั้นตอนการจำลองข้อมูลหรือการเปรียบเทียบที่เหมาะสม และดำเนินการตรวจสอบเป็นระยะ

  3. ห้องปฏิบัติการต้องตรวจประเมินและบันทึกกระบวนการและผลลัพธ์ของการประมวลผลข้อมูลผู้ป่วยด้วยคอมพิวเตอร์เป็นระยะ หมายเหตุ: กระบวนการและผลลัพธ์ของการประมวลผลข้อมูลผู้ป่วย หมายถึง การแก้ไขใดๆ ที่ทำกับบันทึกผู้ป่วยบนพื้นฐานของข้อมูลที่ป้อนเข้าไป รวมถึงการคำนวณตัวเลข ฟังก์ชันตรรกะ การตรวจสอบผลอัตโนมัติ และการเพิ่มหมายเหตุ

  4. เมื่อมีการป้อนข้อมูลเข้าสู่คอมพิวเตอร์หรือระบบสารสนเทศอื่นด้วยวิธีแบบแมนนวลหรือแบบอัตโนมัติ ต้องตรวจสอบและยืนยันความถูกต้องของข้อมูลที่ป้อนเข้ามาก่อนการตรวจทานขั้นสุดท้ายด้วยคอมพิวเตอร์และการออกรายงาน หากเป็นไปได้ ต้องตรวจสอบการป้อนผลเทียบกับช่วงตัวเลขที่กำหนดไว้ล่วงหน้าสำหรับการตรวจนั้นๆ เพื่อค้นพบผลที่ไม่สมเหตุสมผลหรือเป็นไปไม่ได้ก่อนการตรวจทานและออกรายงานขั้นสุดท้าย

  5. ผู้อำนวยการห้องปฏิบัติการต้องตรวจทานและอนุมัติเนื้อหาและรูปแบบของรายงานห้องปฏิบัติการใน LIS และต้องรับฟังความคิดเห็นของบุคลากรทางคลินิก

  6. LIS ต้องมีขั้นตอนการตรวจทานรายงานในการดำเนินงานปกติ ฝ่ายจัดการห้องปฏิบัติการหรือบุคลากรที่ได้รับมอบหมายต้องรับผิดชอบในการส่งผ่านผลการตรวจไปยังผู้รับที่ได้รับอนุญาตอย่างถูกต้องและมีประสิทธิภาพ และต้องอนุมัติการแก้ไขใดๆ ในระบบสารสนเทศที่อาจส่งผลกระทบต่อการรักษาพยาบาลผู้ป่วย

  7. LIS ควรมีขั้นตอนที่สามารถตรวจจับผลที่ไม่สมเหตุสมผลหรือเป็นไปไม่ได้ก่อนที่คอมพิวเตอร์จะออกรายงาน; หลังจากมีการแก้ไขข้อมูลผู้ป่วย ข้อมูลเดิมต้องยังคงสามารถแสดงผลได้ LIS ต้องสามารถแสดงข้อมูลประวัติของผู้ป่วยได้ เพื่อให้บุคลากรตรวจสามารถเปรียบเทียบข้อมูลการทดสอบในระหว่างการตรวจทานรายงาน

  8. รูปแบบรายงานใน LIS ต้องมีฟังก์ชันการเพิ่มหมายเหตุ เช่น คุณภาพตัวอย่างและการตีความผล

  9. LIS ต้องสามารถระบุและบันทึกข้อมูลของบุคลากรที่เข้าถึงหรือแก้ไขข้อมูลผู้ป่วย เอกสารควบคุม หรือโปรแกรมคอมพิวเตอร์ได้

  10. LIS ต้องมีขั้นตอนที่สามารถตรวจจับผลค่าวิกฤตและออกการแจ้งเตือนล่วงหน้าก่อนที่คอมพิวเตอร์จะออกรายงาน และต้องแจ้งให้ฝ่ายคลินิกทราบทันเวลาผ่านขั้นตอนที่เกี่ยวข้อง (ตัวอย่างเช่น การกะพริบของหน้าจอที่สถานีงานของแพทย์และพยาบาล) และเก็บบันทึก (รวมถึงวันที่และเวลาที่ฝ่ายคลินิกได้รับผลค่าวิกฤต ผลค่าวิกฤต ผู้รับผลค่าวิกฤต ผู้แจ้ง และวันที่และเวลาของการแจ้ง)

  11. LIS ต้องมีฟังก์ชันสำหรับการเลือกวิธีการควบคุมคุณภาพภายใน การวิเคราะห์ข้อมูล การวาดแผนภูมิ การเริ่มต้นการแจ้งเตือน และการเตือนสถานะที่ไม่อยู่ในการควบคุม รวมถึงฟังก์ชันการเก็บรักษาข้อมูลหลังพ้นสถานะควบคุมและข้อมูลดั้งเดิม ตลอดจนฟังก์ชันการวิเคราะห์ย้อนหลังและการจัดทำสถิติ

  12. LIS ต้องมีฟังก์ชันที่แสดงบันทึกเวลา สถานะการทำงาน เหตุการณ์ฉุกเฉิน และเนื้อหาอื่นๆ ครอบคลุมตั้งแต่ขั้นตอนการเก็บตัวอย่าง การขนส่ง การส่งมอบมายังห้องปฏิบัติการ ไปจนถึงการตรวจวิเคราะห์และการออกรายงาน

  13. ระบบสารสนเทศห้องปฏิบัติการ (LIS) ต้องมีฟังก์ชันที่ครอบคลุมการจัดเก็บในคลังสินค้า การเบิกใช้ การใช้งาน และการตรวจนับสต็อกวัสดุสิ้นเปลืองห้องปฏิบัติการ และต้องแสดงข้อความแจ้งเตือนล่วงหน้าเมื่อวัสดุสิ้นเปลืองใกล้หมด

V. การดึงและจัดเก็บข้อมูล

  1. ข้อมูลผลการตรวจของผู้ป่วยและข้อมูลจดเก็บถาวรที่จัดเก็บในระบบสารสนเทศต้องสามารถดึงออกมาเพื่อสอบถามได้ง่าย ห้องปฏิบัติการต้องกำหนดระยะเวลาเก็บรักษาข้อมูลผลการตรวจของผู้ป่วยและข้อมูลจดเก็บถาวรในระบบสารสนเทศของตน ระยะเวลาเก็บรักษาต้องสอดคล้องกับข้อกำหนดระยะเวลาของประเทศสำหรับเวชระเบียนอิเล็กทรอนิกส์ วิธีการดึงข้อมูลและการสอบถามต้องผ่านการปรึกษากับบุคลากรทางคลินิก

  2. ระบบสารสนเทศห้องปฏิบัติการ (LIS) ต้องสามารถเรียกดูผลการตรวจที่จดเก็บถาวรและข้อมูลเพิ่มเติมที่จำเป็นอื่นๆ ได้อย่างสมบูรณ์ ซึ่งรวมถึงความไม่แน่นอนของการวัด ช่วงอ้างอิงทางชีวภาพ และคำเตือน เชิงอรรถ หรือข้อความอธิบายที่แนบมากับผลการตรวจ

  3. หากไม่มีวิธีการอื่นใด ต้องสามารถดึงข้อมูลผู้ป่วยและข้อมูลห้องปฏิบัติการแบบ “ออนไลน์” ได้ภายในระยะเวลาที่กำหนด

  4. ต้องจัดทำเอกสารขั้นตอนการปฏิบัติงานเพื่อติดฉลากบนสื่อจัดเก็บข้อมูลอย่างถูกต้อง เก็บรักษาอย่างเหมาะสม และป้องกันการใช้งานโดยบุคคลที่ไม่ได้รับอนุญาต

  5. ระบบสารสนเทศห้องปฏิบัติการ (LIS) ต้องสำรองข้อมูลผลการตรวจของผู้ป่วย

VI. ฮาร์ดแวร์และซอฟต์แวร์

  1. ต้องจัดทำขั้นตอนการปฏิบัติงานเพื่อดำเนินการบำรุงรักษาเชิงป้องกันฮาร์ดแวร์คอมพิวเตอร์ทั้งหมด และเก็บบันทึกไว้เพื่ออ้างอิงได้ตลอดเวลา

  2. หลังจากสำรองหรือกู้คืนไฟล์ข้อมูลแต่ละครั้ง ต้องตรวจสอบระบบว่ามีการเปลี่ยนแปลงที่ไม่ได้ตั้งใจหรือไม่ และต้องบันทึกผลการตรวจสอบ

  3. การเปลี่ยนแปลงที่ทำกับฮาร์ดแวร์และซอฟต์แวร์ของระบบต้องได้รับการระบุและบันทึกอย่างถูกต้อง และต้องได้รับการตรวจสอบเพื่อให้แน่ใจว่าการเปลี่ยนแปลงดังกล่าวเป็นที่ยอมรับได้

  4. การเปลี่ยนแปลงทั้งหมดในระบบสารสนเทศห้องปฏิบัติการ (LIS) ที่อาจส่งผลต่อการรักษาพยาบาลผู้ป่วย เช่น การตรวจทบทวนรายงานอีกครั้ง ต้องผ่านการตรวจสอบและอนุมัติ พร้อมทั้งเก็บบันทึกไว้

  5. เมื่อติดตั้งโปรแกรมเป็นครั้งแรก หรือหลังจากมีการเปลี่ยนแปลงหรือแก้ไขโปรแกรม ต้องตรวจสอบการทำงานปกติของโปรแกรมและบันทึกผล

  6. ต้องจัดทำเอกสารขั้นตอนการปฏิบัติงานเพื่อให้บุคลากรที่ได้รับอนุญาตในทุกระดับสามารถดำเนินการแก้ไขปัญหา การแก้ไขระบบ หรือการเขียนโปรแกรมได้

  7. ผู้ใช้งานคอมพิวเตอร์ต้องได้รับการฝึกอบรมเพื่อให้เชี่ยวชาญวิธีการใช้งานระบบใหม่และระบบเดิมที่ได้รับการแก้ไข

  8. ต้องแต่งตั้งบุคคลเฉพาะเพื่อรายงานให้ระดับบนสุดทราบทันทีและเก็บบันทึกเมื่อคอมพิวเตอร์เกิดข้อผิดพลาดที่ชัดเจน

VII. การบำรุงรักษาระบบ

  1. ห้องปฏิบัติการต้องจัดทำขั้นตอนการปฏิบัติงานเพื่อทดสอบฮาร์ดแวร์คอมพิวเตอร์ทั้งหมดเป็นระยะ และต้องมีตารางเวลาสำหรับการบำรุงรักษาเป็นระยะ

  2. ห้องปฏิบัติการต้องจัดทำมาตรการสำรองข้อมูลที่มีประสิทธิภาพเพื่อป้องกันการสูญหายของข้อมูลผู้ป่วยที่เกิดจากความล้มเหลวของฮาร์ดแวร์หรือซอฟต์แวร์ และต้องตรวจสอบประสิทธิภาพของการสำรองข้อมูลเป็นระยะ

  3. ห้องปฏิบัติการต้องระบุรอบการสำรองข้อมูลและระยะเวลาเก็บรักษา

  4. ข้อผิดพลาดที่ตรวจพบระหว่างการสำรองข้อมูลระบบและมาตรการแก้ไขที่นำมาใช้ ต้องได้รับการบันทึกและรายงานต่อผู้รับผิดชอบห้องปฏิบัติการ

  5. ระบบสัญญาณเตือนคอมพิวเตอร์ (โดยปกติคือคอนโซลคอมพิวเตอร์หลัก ซึ่งทำหน้าที่ตรวจสอบประสิทธิภาพฮาร์ดแวร์และซอฟต์แวร์) ต้องได้รับการตรวจสอบและทดสอบเป็นระยะเพื่อให้แน่ใจว่าทำงานได้ปกติ

  6. ต้องจัดทำเอกสารขั้นตอนการปฏิบัติงานที่ระบุข้อกำหนดสำหรับการปิดและเปิดระบบทั้งหมดหรือบางส่วนใหม่ เพื่อให้แน่ใจถึงความสมบูรณ์ของข้อมูล ลดผลกระทบต่อบริการที่ห้องปฏิบัติการให้ไว้ให้น้อยที่สุด และให้แน่ใจว่าระบบทำงานได้ปกติหลังเปิดใหม่

  7. ต้องเก็บรักษาบันทึกการบำรุงรักษาเป็นระยะ การให้บริการ และการซ่อมแซม เพื่อให้ผู้ปฏิบัติงานสามารถติดตามงานที่ได้ดำเนินการกับคอมพิวเตอร์แต่ละเครื่องได้

  8. ต้องจัดทำเอกสารสำหรับมาตรการแก้ไขข้อผิดพลาดคอมพิวเตอร์และสาเหตุของข้อผิดพลาด พร้อมทั้งเก็บบันทึกไว้

  9. ต้องพัฒนาแผนรับมือเหตุฉุกเฉินของระบบคอมพิวเตอร์เป็นลายลักษณ์อักษร

VIII. การตรวจสอบความถูกต้องของระบบสารสนเทศ

  1. เมื่อมีการใช้คอมพิวเตอร์ในการรวบรวม ประมวลผล บันทึก รายงาน จัดเก็บ หรือดึงข้อมูลการตรวจสอบ ห้องปฏิบัติการต้องรับประกันว่าซอฟต์แวร์คอมพิวเตอร์ รวมถึงซอฟต์แวร์วัตถุประสงค์ทั่วไปที่ใช้ในเครื่องมือหรือระบบ (เช่น แอปพลิเคชันประมวลผลคำหรือสเปรดชีต) ได้รับการตรวจสอบความถูกต้อง

  2. เมื่อติดตั้งครั้งแรก และหลังจากการเปลี่ยนแปลงหรือแก้ไขตามแผน โปรแกรมต้องได้รับการตรวจสอบความถูกต้องก่อนจึงจะสามารถนำไปใช้งานปกติได้

  3. การเปลี่ยนแปลงใดๆ ต่อฮาร์ดแวร์หรือซอฟต์แวร์ระบบต้องได้รับการตรวจสอบความเหมาะสม เพื่อยืนยันว่าการเปลี่ยนแปลงทั้งหมดสามารถปฏิบัติได้ และต้องเก็บรักษาบันทึกไว้ ต้องบันทึกข้อมูลของบุคลากรทุกคนที่เพิ่มหรือแก้ไขซอฟต์แวร์

IX. การกู้คืนข้อมูล

  1. ต้องกำหนดขั้นตอนการจัดการกับช่วงเวลาที่ระบบอื่นๆ หยุดทำงาน (เช่น ระบบสารสนเทศโรงพยาบาล) เพื่อรับประกันความสมบูรณ์ของข้อมูลผู้ป่วย ต้องกำหนดขั้นตอนสำหรับการตรวจสอบการกู้คืนระบบอื่นๆ และการแทนที่หรืออัปเดตไฟล์ข้อมูล

  2. ต้องบันทึกการปิดระบบที่ไม่ได้วางแผนทั้งหมด ช่วงเวลาที่ประสิทธิภาพระบบลดลง (เช่น เวลาตอบสนองช้าลง) และปัญหาคอมพิวเตอร์อื่นๆ รวมถึงสาเหตุของข้อผิดพลาดและมาตรการแก้ไขที่ดำเนินการ ห้องปฏิบัติการต้องรายงานข้อผิดพลาดคอมพิวเตอร์ร้ายแรงทั้งหมดให้บุคลากรที่ได้รับมอบหมายทราบทันที

  3. ต้องจัดทำแผนฉุกเฉินเป็นลายลักษณ์อักษรเพื่อตอบสนองต่อเหตุการณ์บางอย่าง และรับประกันว่าสามารถออกรายงานผลการตรวจผู้ป่วยได้อย่างรวดเร็วและมีประสิทธิภาพในกรณีที่คอมพิวเตอร์หรือระบบสารสนเทศอื่นๆ ล้มเหลว

X. การคุ้มครองจำแนกประเภทความปลอดภัยระบบสารสนเทศ

1. พื้นหลังการพัฒนา

ด้วยการพัฒนาอย่างต่อเนื่องของสารสนเทศศาสตร์โรงพยาบาล การดำเนินงานทุกประเภทของโรงพยาบาลได้นำระบบสารสนเทศเครือข่ายมาใช้ในระดับที่แตกต่างกัน และบทบาทของระบบสารสนเทศในโรงพยาบาลมีความสำคัญมากขึ้นเรื่อยๆ การพัฒนาและการก่อสร้างโรงพยาบาลสมัยใหม่ได้ผสานรวมกับสารสนเทศศาสตร์ เมื่อความปลอดภัยระบบสารสนเทศโรงพยาบาลถูกโจมตีหรือได้รับความเสียหาย ทำให้โรงพยาบาลไม่สามารถดำเนินกิจกรรมการแพทย์ต่างๆ ตามปกติได้ ง่ายต่อการก่อให้เกิดเหตุการณ์มวลชนทางสังคม เช่น การรั่วไหลของข้อมูลส่วนตัวส่วนบุคคลของผู้ป่วย (โรคร้ายแรง) หรือผู้ป่วยไม่พอใจและก่อความวุ่นวายในโรงพยาบาลเนื่องจากระบบลงทะเบียนขัดข้อง ดังนั้น วิธีการปกป้องความปลอดภัยระบบสารสนเทศโรงพยาบาลจึงกลายเป็นประเด็นที่ต้องให้ความสนใจในการพัฒนาสารสนเทศโรงพยาบาลเช่นกัน

เพื่อปรับปรุงการคุ้มครองความปลอดภัยสารสนเทศโรงพยาบาลให้ดียิ่งขึ้น กระทรวงสาธารณสุข ซึ่งตอบสนองต่อสภาพปัจจุบันของอุตสาหกรรมการแพทย์ต่างๆ ในระยะปัจจุบันของจีน ได้ออก “ความเห็นแนะนำเกี่ยวกับงานคุ้มครองจำแนกประเภทความปลอดภัยสารสนเทศในอุตสาหกรรมสุขภาพ” (เลขที่ 85 [2011]) ซึ่งชี้แจงความเชื่อมโยงระหว่างการคุ้มครองจำแนกประเภทความปลอดภัยสารสนเทศและการปกป้องความปลอดภัยสารสนเทศในอุตสาหกรรมการแพทย์ ตามจิตวิญญาณแนะนำของเอกสารนี้ ระบบธุรกิจหลักของโรงพยาบาลระดับตติยภูมิเกรด A ต้องได้รับการก่อสร้างและคุ้มครองตามระดับ 3 ของการคุ้มครองจำแนกประเภทความปลอดภัยสารสนเทศ

2. กระบวนการก่อสร้าง

การก่อสร้างงานคุ้มครองจำแนกประเภทความปลอดภัยสารสนเทศโรงพยาบาลแบ่งออกเป็นกระบวนการต่อไปนี้เป็นหลัก:

2.1 การตรวจทบทวนการจำแนกประเภทระบบสารสนเทศโรงพยาบาล

ตามข้อกำหนดที่เกี่ยวข้องเกี่ยวกับการคุ้มครองจำแนกประเภทความปลอดภัยสารสนเทศ เมื่อระบบสารสนเทศถูกโจมตีหรือได้รับความเสียหาย ผลลัพธ์ที่ตามมาต้องได้รับการจัดระดับตามระดับความเสียหายที่เกิดขึ้นต่อความมั่นคงแห่งชาติ ความสงบเรียบร้อยของสังคมและผลประโยชน์สาธารณะ และผลประโยชน์ตามกฎหมายของพลเมืองและบุคคล

2.2 การยื่นจดทะเบียนระบบสารสนเทศโรงพยาบาล

หลังจากผ่านการตรวจสอบการจำแนกระดับระบบสารสนเทศโรงพยาบาลแล้ว โรงพยาบาลจะต้องยื่น “แบบฟอร์มแจ้งขึ้นทะเบียนการคุ้มครองจำแนกระดับความปลอดภัยระบบสารสนเทศ” “รายงานการกำหนดระดับการคุ้มครองจำแนกระดับความปลอดภัยระบบสารสนเทศ” และเอกสารที่เกี่ยวข้องให้กับหน่วยงานสาธารณสุขที่มีอำนาจในท้องถิ่น หน่วยงานสาธารณสุขจะต้องรายงานไปยังหน่วยงานตำรวจที่ระดับเทศบาลขึ้นไปเพื่อแจ้งขึ้นทะเบียนและจดทะเบียน และการจำแนกระดับระบบสารสนเทศจะถือว่าเสร็จสมบูรณ์เมื่อได้รับใบเสร็จการแจ้งขึ้นทะเบียน

2.3 การทดสอบและประเมินการคุ้มครองจำแนกระดับระบบสารสนเทศโรงพยาบาล

หลังจากเสร็จสิ้นการจำแนกระดับและแจ้งขึ้นทะเบียนระบบสารสนเทศแล้ว จะต้องเลือกสถาบันทดสอบและประเมินมืออาชีพที่ได้รับอนุญาตจากหน่วยงานตำรวจท้องถิ่น และมีคุณวุฒิในการทดสอบและประเมินการคุ้มครองจำแนกระดับความปลอดภัยสารสนเทศ เพื่อดำเนินการประเมินทั้งระบบของระบบสารสนเทศโรงพยาบาล วัตถุประสงค์ของการประเมินคือการประเมินความสามารถในการป้องกันความปลอดภัยของระบบสารสนเทศโรงพยาบาลอย่างวัตถุประสงค์ ผ่านการตรวจสอบความปลอดภัยในด้านความปลอดภัยทางกายภาพ ความปลอดภัยเครือข่าย ความปลอดภัยแอปพลิเคชัน ความปลอดภัยข้อมูล ความปลอดภัยโฮสต์ และการจัดการความปลอดภัย โดยใช้ข้อกำหนดพื้นฐานของการคุ้มครองจำแนกระดับความปลอดภัยสารสนเทศแห่งชาติเป็นเส้นฐานความปลอดภัย ทำการพิจารณาความสอดคล้องอย่างวัตถุประสงค์ เพื่อวัดความสามารถในการป้องกันความปลอดภัยปัจจุบันของระบบ รวมถึงภัยคุกคามและความเสี่ยงที่ระบบเผชิญอยู่ให้แม่นยำยิ่งขึ้น ซึ่งเป็นพื้นฐานที่มั่นคงสำหรับการแก้ไขปรับปรุงด้านความปลอดภัยและการสร้างเสริมความปลอดภัยในอนาคต

2.3.1 ตัวชี้วัดและวิธีการประเมิน

ระบบธุรกิจหลักของโรงพยาบาลเป็นระบบการคุ้มครองจำแนกระดับชั้นที่ 3 และตัวชี้วัดประเมินความปลอดภัยจะต้องประกอบด้วยประเภทตัวชี้วัดทั่วไปชั้นที่ 3 (G3) ประเภทตัวชี้วัดความปลอดภัยข้อมูลธุรกิจชั้นที่ 3 (S3) และประเภทการรับประกันบริการธุรกิจชั้นที่ 3 (A3) ในมาตรา 7.1 “ข้อกำหนดทางเทคนิค” ของ “ข้อกำหนดพื้นฐานการคุ้มครองจำแนกระดับความปลอดภัยระบบสารสนเทศ”

จะใช้วิธีการ 3 ประเภท ได้แก่ การสัมภาษณ์ การตรวจสอบ และการทดสอบ ในการประเมินณสถานที่ การสัมภาษณ์เป็นวิธีการที่บุคลากรประเมินเก็บหลักฐานผ่านกิจกรรมต่างๆ เช่น การแลกเปลี่ยนความคิดเห็นและการจัดอภิปรายกับบุคลากรที่เกี่ยวข้องกับระบบสารสนเทศ การตรวจสอบเป็นวิธีการที่บุคลากรประเมินเก็บหลักฐานผ่านกิจกรรมต่างๆ เช่น การสังเกต การตรวจสอบ และการวิเคราะห์วัตถุประเมิน ส่วนการทดสอบหมายถึงกิจกรรมที่บุคลากรประเมินทำให้วัตถุประเมินเกิดการตอบสนองเฉพาะตามวิธีการ/เครื่องมือที่กำหนดไว้ล่วงหน้า จากนั้นจึงเก็บหลักฐานโดยการตรวจสอบและวิเคราะห์ผลลัพธ์การตอบสนอง เครื่องมือหลักที่ใช้สำหรับการสัมภาษณ์คือรายการสัมภาษณ์ บุคลากรประเมินจะดำเนินการกับคำถามในรายการสัมภาษณ์ทีละข้อผ่านการแลกเปลี่ยนความคิดเห็นและการจัดการสนทนากับบุคลากรที่เกี่ยวข้องกับระบบสารสนเทศ และทำความเข้าใจและยืนยันสถานการณ์การป้องกันความปลอดภัยของระบบสารสนเทศตามคำตอบของผู้ถูกสัมภาษณ์ เครื่องมือหลักที่ใช้สำหรับการตรวจสอบคือรายการตรวจสอบ บุคลากรประเมินจะดำเนินการกับคำถามในรายการตรวจสอบทีละข้อผ่านกิจกรรมต่างๆ เช่น การสังเกต การตรวจสอบ และการวิเคราะห์ ตามวัตถุประสงค์การตรวจสอบที่แตกต่างกัน การตรวจสอบสามารถแบ่งย่อยออกเป็นการตรวจทานเอกสาร การสังเกตณ์สถานที่ และการตรวจสอบการกำหนดค่า ตามเครื่องมือและกระบวนการดำเนินการที่แตกต่างกัน การทดสอบสามารถแบ่งย่อยออกเป็นการได้รับข้อมูล การสแกนช่องโหว่ การทดสอบการเจาะระบบ และการวิเคราะห์การเข้ารหัส การได้รับข้อมูลหมายถึงการได้รับข้อมูลต่างๆ เช่น ชื่อโฮสต์/อุปกรณ์ที่ทำงานอยู่ ที่อยู่ IP ระบบปฏิบัติการ พอร์ตบริการที่เปิดอยู่ และแพ็กเก็ตข้อมูลเฉพาะ การสแกนช่องโหว่หมายถึงการใช้อุปกรณ์สแกนช่องโหว่เพื่อตรวจสอบอุปกรณ์เป้าหมายโดยอัตโนมัติ และค้นพบการกำหนดค่าที่ผิดพลาดและช่องโหว่ความปลอดภัยที่เป็นที่รู้จักบนพอร์ตเครือข่ายเปิดแต่ละพอร์ตของโฮสต์/อุปกรณ์เหล่านี้ การทดสอบการเจาะระบบจำลองเทคนิคการโจมตีที่แฮ็กเกอร์อาจใช้ โดยพยายามบุกรุกเข้าสู่ระบบสารสนเทศหรือได้รับทรัพยากรเพิ่มเติมบนระบบดังกล่าว เพื่อประเมินสถานะความปลอดภัยของระบบสารสนเทศโดยตรง การดำเนินการสแกนช่องโหว่และทดสอบการเจาะระบบบนระบบสารสนเทศจากจุดเชื่อมต่อที่แตกต่างกันสามารถสะท้อนสถานะความปลอดภัยของระบบสารสนเทศจากมุมมองและมิติที่แตกต่างกัน

2.3.2 การประเมินหน่วย

การรวมตัวบ่งชี้การประเมินและวิธีการประเมินเข้ากับวัตถุประสงค์การประเมินเฉพาะของระบบสารสนเทศ ก่อให้เกิดหน่วยงานที่สามารถประเมินได้โดยเฉพาะ สถาบันประเมินจะดำเนินการประเมินหน่วยแยกกันในด้านความปลอดภัยทางกายภาพ ความปลอดภัยเครือข่าย ความปลอดภัยระบบโฮสต์ ความปลอดภัยแอปพลิเคชัน ความปลอดภัยข้อมูลและการสำรอง/การกู้คืน องค์กรจัดการความปลอดภัย ระบบจัดการความปลอดภัย การจัดการความปลอดภัยบุคลากร การจัดการการสร้างระบบ และการจัดการการดำเนินงานและบำรุงรักษาระบบ

2.3.3 การประเมินโดยรวม

หลังจากที่การควบคุมด้านความปลอดภัยของระบบสารสนเทศถูกรวมเข้ากับระบบสารสนเทศแล้ว ความสัมพันธ์ซึ่งกันและกัน เช่น การเชื่อมต่อ การโต้ตอบ การพึ่งพา และการประสานงาน จะเกิดขึ้นภายในชั้น ระหว่างชั้น และระหว่างเขต ทำให้ฟังก์ชันความปลอดภัยโดยรวมของระบบสารสนเทศมีความสัมพันธ์อย่างใกล้ชิดกับโครงสร้างของระบบ และแสดงลักษณะบูรณาการในภาพรวม ลักษณะบูรณาการเหล่านี้ไม่ได้สะท้อนอย่างครบถ้วนในหน่วยปฏิบัติงานของการควบคุมด้านความปลอดภัย ดังนั้น บนพื้นฐานของการประเมินการควบคุมด้านความปลอดภัย จำเป็นต้องดำเนินการประเมินภาพรวมของระบบบูรณาการและสภาพแวดล้อมการทำงานของระบบ

การประเมินความปลอดภัยระหว่างการควบคุมด้านความปลอดภัย จะพิจารณาผลกระทบเชิงสัมพันธ์เป็นหลัก เช่น การเสริมสร้างฟังก์ชัน การเสริมเติม หรือการลดทอน ที่มีอยู่ระหว่างการควบคุมด้านความปลอดภัยต่างๆ ในชั้นเดียวกัน ตัวอย่างเช่น การยืนยันตัวตนและการควบคุมการเข้าถึงที่ชั้นโฮสต์มีความสัมพันธ์อย่างใกล้ชิด จึงควรให้ความสนใจกับผลกระทบเชิงสัมพันธ์และการเสริมเติมซึ่งกันและกันของทั้งสองมาตรการ

การประเมินความปลอดภัยระหว่างชั้น จะพิจารณาผลกระทบเชิงสัมพันธ์เป็นหลัก เช่น การเสริมสร้างฟังก์ชัน การเสริมเติม และการลดทอน ที่มีอยู่ระหว่างชั้นต่างๆ ภายในเขตเดียวกัน ตัวอย่างเช่น ชั้นเครือข่าย ชั้นระบบโฮสต์ และด้านการจัดการการดำเนินงานและบำรุงรักษาระบบของการจัดการความปลอดภัยมีความสัมพันธ์อย่างใกล้ชิด จึงควรให้ความสนใจกับผลกระทบเชิงสัมพันธ์และการเสริมเติมซึ่งกันและกัน

การประเมินความปลอดภัยระหว่างเขต จะพิจารณาผลกระทบเชิงสัมพันธ์เป็นหลัก เช่น การเสริมสร้าง การเสริมเติม และการลดทอนฟังก์ชันความปลอดภัย ที่มีอยู่ระหว่างเขตต่างๆ ที่เชื่อมต่อและทำงานร่วมกันได้ (รวมถึงการเชื่อมต่อทางกายภาพและทางตรรกะ) โดยเฉพาะอย่างยิ่งสองเขตต่างๆ ที่มีการแลกเปลี่ยนข้อมูลระหว่างกัน

การประเมินความปลอดภัยโครงสร้างระบบ จะพิจารณาความปลอดภัยของโครงสร้างภาพรวมของระบบสารสนเทศและความสมเหตุสมผลของมาตรการป้องกันความปลอดภัยโดยรวมเป็นหลัก การประเมินความปลอดภัยของโครงสร้างภาพรวมจะต้องเริ่มต้นจากเลย์เอาต์ทางกายภาพ โทโพโลยีเครือข่าย ตรรกะทางธุรกิจ (กระแสข้อมูลธุรกิจ) การนำระบบไปใช้งาน และแนวทางการบูรณาการของระบบสารสนเทศ จากนั้นจึงพิจารณาถึงภัยคุกคามที่อาจเผชิญในตำแหน่งต่างๆ และช่องโหว่ที่อาจเปิดเผย เพื่อกำหนดอย่างครอบคลุมว่าเลย์เอาต์ภาพรวมของระบบสารสนเทศมีความสมเหตุสมผลหรือไม่ และระบบมีความปลอดภัยและมีประสิทธิภาพในภาพรวมหรือไม่

หลังจากตรวจสอบวิธีการนำไปใช้งานเฉพาะเจาะจงและการปรับใช้มาตรการป้องกันความปลอดภัยของระบบสารสนเทศ และวิเคราะห์ความสัมพันธ์ระหว่างเขตต่างๆ และขอบเขตต่างๆ กับมาตรการป้องกันความปลอดภัย รวมถึงความสัมพันธ์ระหว่างธุรกิจสำคัญและข้อมูลสำคัญกับมาตรการป้องกันความปลอดภัย โดยอ้างอิงตามกระแสข้อมูลธุรกิจของระบบ จะต้องอ้างอิงถึงข้อกำหนดของการป้องกันเชิงลึก เพื่อระบุว่ามาตรการป้องกันความปลอดภัยของระบบสารสนเทศเน้นจุดสำคัญและมีความลึกซึ้งเพิ่มขึ้นทีละชั้นหรือไม่ เพื่อกำหนดอย่างครอบคลุมว่ามาตรการป้องกันความปลอดภัยภาพรวมของระบบสารสนเทศมีความเหมาะสมและสมเหตุสมผลหรือไม่

2.4 การรายงานผลการทดสอบและการแก้ไขปรับปรุง

หลังจากเสร็จสิ้นการประเมินระบบสารสนเทศของโรงพยาบาล สถาบันประเมินจะออก “รายงานการประเมินการจำแนกระดับระบบสารสนเทศ” โรงพยาบาลจะต้องส่งรายงานการประเมินไปยังหน่วยงานความมั่นคงสาธารณะในท้องถิ่นเพื่อจดทะเบียนเก็บเป็นหลักฐาน ตามผลการประเมินที่ระบุในรายงานการประเมิน เทียบเคียงกับมาตรฐานต่างๆ เช่น “ข้อกำหนดพื้นฐานสำหรับการป้องกันการจำแนกระดับความปลอดภัยระบบสารสนเทศ” และสอดคล้องกับงานจริงของโรงพยาบาล โรงพยาบาลจะต้องจัดและดำเนินงานการสร้างเสริมความปลอดภัยและการแก้ไขปรับปรุงสำหรับการป้องกันการจำแนกระดับ มอบหมายงานแก้ไขปรับปรุงให้แก่บุคคลรับผิดชอบเฉพาะเจาะจง และเสร็จสิ้นการแก้ไขปรับปรุงภายในระยะเวลาที่คาดหวัง

2.5 การจัดทำระบบการจัดการการคุ้มครองระดับชั้นความปลอดภัยข้อมูลโรงพยาบาล

โรงพยาบาลจะอ้างอิงถึงข้อกำหนดการจัดการสำหรับการคุ้มครองระดับชั้นความปลอดภัยข้อมูล และพิจารณาตามสภาพการณ์จริงของตนเอง ในการสร้างระบบการจัดการการคุ้มครองระดับชั้นความปลอดภัยข้อมูลจากมิติต่างๆ ได้แก่ องค์กรจัดการความปลอดภัยข้อมูล ระบบการจัดการความปลอดภัยข้อมูล ความปลอดภัยของบุคลากรด้านข้อมูล การจัดการการสร้างระบบ และการจัดการการดำเนินงานและบำรุงรักษาระบบ

โดยทั่วไป ระบบการสร้างการคุ้มครองระดับชั้นความปลอดภัยข้อมูลจะต้องยึดตามความต้องการใช้งานจริง และทำการทดสอบความสอดคล้องตามข้อกำหนดและความสมเหตุสมผลของการสร้างระบบเป็นระยะ ความสอดคล้องตามข้อกำหนดหมายถึง การสร้างระบบความปลอดภัยข้อมูลที่ครบถ้วนสมบูรณ์ของโรงพยาบาลภายใต้การแนะนำของข้อกำหนดนโยบาย ได้แก่ การนำมาตรฐานการคุ้มครองระดับชั้นแห่งชาติไปปฏิบัติใช้; ตอบสนองต่อเจตนารมณ์การแนะนำของกระทรวงสาธารณสุขในการส่งเสริมการสร้างการคุ้มครองระดับชั้น; ผ่านการประเมินการคุ้มครองระดับชั้นแห่งชาติ; และทำหน้าที่เป็นโครงการนำร่องและแบบอย่างสำหรับการสร้างระบบความปลอดภัยข้อมูลและการดำเนินการคุ้มครองระดับชั้นในอุตสาหกรรมการแพทย์ ความต้องการจริงหมายถึง การดำเนินการสร้างระบบอย่างเป็นระบบโดยสอดคล้องกับข้อกำหนดการพัฒนาธุรกิจของโรงพยาบาลเอง และยกระดับการป้องกันความปลอดภัยข้อมูลของตนเองอย่างแท้จริง ได้แก่ การบรรลุการป้องกันเชิงรุกต่อภัยคุกคามการบุกรุกจากภายนอก และป้องกันผลกระทบอันตรายที่เกิดจากการดำเนินงานภายในที่ไม่เป็นไปตามระเบียบ; ลดความยากลำบากของงานจัดการข้อมูลประจำวัน และเพิ่มประสิทธิภาพการดำเนินงานและการจัดการสำหรับระบบข้อมูลต่างโครงสร้างเทคโนโลยีที่ซับซ้อน เพื่อให้บรรลุเป้าหมาย “มีกฎเกณฑ์ให้ยึดถือปฏิบัติ และมีเทคนิคให้ใช้งาน”; และวางแผนอย่างสมเหตุสมผลและกำหนดมาตรฐานการสร้างระบบข้อมูลที่สร้างเสร็จแล้ว ที่สร้างขึ้นใหม่ และที่วางแผนจะดำเนินการสร้าง