สธ.เตรียมตั้งศูนย์เฝ้าระวังไซเบอร์ด้านสุขภาพ หวั่นซ้ำรอยแฮกข้อมูล รพ.เพชรบูรณ์

จากกรณีแฮกเกอร์เจาะระบบข้อมูลผู้ป่วย ของกระทรวงสาธารณสุขของโรงพยาบาลใน จ.เพชรบูรณ์ นพ.ธงชัย กีรติหัตถยากร รองปลัด สธ. ระบุว่า ฐานข้อมูลที่ถูกเจาะระบบเป็นฐานข้อมูลของเจ้าหน้าที่โรงพยาบาลที่ทำแยกออกมาเพื่ออำนวยความสะดวกในการให้บริการผู้ป่วย ไม่ใช่ข้อมูลโดยตรงในระบบเซิร์ฟเวอร์หลักของโรงพยาบาลเพชรบูรณ์

ข้อมูลที่แฮกเกอร์ได้ไปนั้น ประกอบด้วย

- ฐานข้อมูลเบื้องต้นของผู้ป่วย 10,095 ราย เช่น ชื่อ นามสกุล บางรายพบว่ามีหมายเลขโทรศัพท์ รวมถึงสิทธิในการรักษา แต่ไม่มีข้อมูลการวินิจฉัยโรค หรือข้อมูลการรักษา 

 

- ฐานข้อมูลการนัดหมายผู้ป่วย

- ฐานข้อมูลตารางเวรของแพทย์ 

- การคำนวณรายจ่ายซื้ออุปกรณ์การผ่าตัดของผู้ป่วยออร์โธปิดิกส์ (โรคเกี่ยวกับกระดูก) ประมาณ 692 ราย

ยืนยันว่าฐานข้อมูลทั้งหมดที่กล่าวมาไม่ได้อยู่ในสถานพยาบาลทั่วไปของโรงพยาบาล เป็นฐานข้อมูลที่โรงพยาบาลสร้างขึ้นมาอีกอันหนึ่ง แต่แปะอยู่ในเซิร์ฟเวอร์ของโรงพยาบาล ซึ่งขณะนี้ส่วนอื่นๆ ของระบบข้อมูลยังคงทำงานได้ปกติ

เบื้องต้นมีคณะกรรมการจากสำนักงานคณะกรรมการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม ร่วมกับกระทรวงสาธารณสุจทำการตรวจสอบและประเมินความเสี่ยง รวมถึงทำการแบ็คอัพข้อมูล

เปิดจุดอ่อนที่ทำให้ถูกโจมตี-เตรียมตั้งศูนย์เฝ้าระวังไซเบอร์ ด้านสุขภาพ

ด้าน นพ.อนันต์ กนกศิลป์ ผู้อำนวยการศูนย์เทคโนโลยีสารสนเทศและการสื่อสาร กล่าวเสริมว่า จากการตรวจสอบพบว่า เซิร์ฟเวอร์ที่ถูกโจมตีเป็นเซิร์ฟเวอร์ที่แยกออกเพื่อใช้ประสานงานภายในโรงพยาบาลไม่ได้เป็นเซิร์ฟเวอร์ที่ใช้ในการบริการผู้ป่วยโดยตรง และอยู่ภายใต้การป้องกันด้วย ไฟร์วอลล์ (Firewall) ของโรงพยาบาล เพียงแต่ว่าการพัฒนาโปรแกรมแยกออกมาทางโรงพยาบาลใช้โปรแกรมที่เป็นโอเพนซอร์ซ (Open source) ซึ่งอาจมีจุดอ่อนที่ทำให้ถูกบุกรุกได้ เนื่องจากจุดประสงค์ที่จะใช้ในการประสานงานภายในโรงพยาบาลทำให้ต้องทำการเชื่อมต่ออินเทอร์เน็ต และจากการตรวจสอบเบื้องต้นไม่พบว่ามีการบุกรุกเข้าไปในเซิร์ฟเวอร์อื่นๆ 

อย่างไรก็ตาม ได้ทำการตรวจสอบย้อนกลับไปถึงเหตุปัจจัยที่ทำให้เกิดการแฮกข้อมูล ขณะเดียวกันเมื่อเกิดเหตุการณ์ทางโรงพยาบาลได้ทำการตัดการเชื่อมต่อกับภายนอกทั้งหมด และทำการตรวจสอบความเสียหาย

ข้อมูลที่รั่วไหลในครั้งนี้ผู้กระทำการไม่มีการเรียกร้องเงินจากโรงพยาบาล แต่นำข้อมูลไปประกาศขายบนเว็บไซต์

และจากนี้ทางโรงพยาบาลจะต้องมีการทบทวนมาตรการความเสี่ยงต่างๆ ประเมินสินทรัพย์ที่มีความเสี่ยงสูง และจัดการให้ระบบมีความมั่นคงปลอดภัยมากขึ้นกว่าเดิม และสร้างความตระหนักรู้ให้กับบุคลากรให้ใส่ใจและมีความเข้มงวดกับมาตรการของโรงพยาบาลที่กำหนด 

ขณะที่ในส่วนของกระทรวงสาธารณสุข จะสร้างศูนย์เฝ้าระวังมั่นคงปลอดภัยทางไซเบอร์ ด้านสุขภาพ เพื่อมอนิเตอร์หน่วยงานทั้งจากของกระทรวงสาธารณสุขเอง และโรงพยาบาลอื่นๆ ตลอดเวลา ตั้งหน่วยงานเพื่อตอบโต้เหตุการณ์ฉุกเฉิน ซึ่งอยู่ระหว่างดำเนินการ โดยจะเชื่อมโยงกับศูนย์มั่นคงปลอดภัยทางไซเบอร์แห่งชาติ กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม 

เดิมกระทรวงดิจิทัลฯ ดูแลทั้งหมด แต่ข้อมูลด้านสุขภาพมีความอ่อนไหวสูงและมีหน่วยงานจำนวนมาก กระทรวงดิจิทัลฯ จึงเสนอให้กระทรวงสาธารสุขดำเนินการในส่วนนี้เบื้องต้นเพื่อตอบสนองต่อเหตุการณ์ให้ทันเวลา

ผิดตาม มาตรา 7  พ.ร.บ.สุขภาพแห่งชาติ พ.ศ. 2550 คุกไม่เกิน 6 เดือน ปรับไม่เกิน 10,000 บาท

ต่อมา นายสุทธิพงษ์ วสุโสภาพล รองเลขาธิการคณะกรรมการสุขภาพแห่งชาติ กล่าวถึง การปฏิบัติตามมาตรา 7 พระราชบัญญัติสุขภาพแห่งชาติ พ.ศ. 2550 กรณี การเปิดเผยข้อมูลส่วนบุคคลโดยไม่ได้รับความยินยอม ซึ่งมีสาระสำคัญ คือ

ข้อมูลส่วนบุคคลเป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยในประการที่ทำให้บุคคลนั้นเสียหายไม่ได้ เว้นแต่ว่าการเปิดเผยนั้นจะได้รับความยินยอมจากเจ้าตัวหรือเปิดเผยต่อเจ้าตัวโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้องเปิดเผย  แต่ในกรณีใดๆ ก็ตามผู้ใดจะอาศัยอำนาจว่าด้วยสิทธิทางราชการหรือกฎหมายอื่นเพื่อขอเอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่ของตนไม่ได้ 

ซึ่งจากเหตุการณ์นี้อาจทำให้เกิดความเสียหายกับผู้ป่วยได้ ซึ่งการกระทำให้ลักษณะนี้ถ้ามีความเสียหายเกิดขึ้น ในมาตรา 49 มีโทษจำคุกไม่เกิน 6 เดือน ปรับไม่เกิน 10,000 บาท หรือทั้งจำทั้งปรับ ทั้งนี้ความผิดในมาตรา 7 ดังกล่าวเป็นความผิดอันยอมความได้ คือผู้เสียหายสามารถพิจารณาเจรจาไกล่เกลี่ยหรือคุยกับผู้ละเมิดแทนการดำเนินคดีได้

และยังมีกฎหมายฉบับอื่นอีกหลายฉบับที่เกี่ยวข้องเช่น พ.ร.บ.คอมพ์ พ.ร.บ.ข้อมูลข่าวสารทางราชการ เป็นต้น