บริการตรวจประเมิน CTAM และ CTAM+ สำหรับโรงพยาบาล โดย ALPHASEC
ถ้าระบบนัดหมายหยุดในเช้าวันตรวจ ผู้ป่วยยังลงทะเบียนได้อย่างไร ใครตัดสินใจสลับระบบ และทีมไอทีเคยจับเวลาการกู้คืนจริงเมื่อไร คำถามเหล่านี้ช่วยให้โรงพยาบาลเห็นว่า หลักฐานชิ้นไหนบอกได้ว่ามาตรการไซเบอร์ที่ลงทุนไว้ช่วยให้บริการผู้ป่วยดำเนินต่อได้
ALPHASEC ให้บริการตรวจประเมินความพร้อมตามเกณฑ์ CTAM และ CTAM+ สำหรับโรงพยาบาลและหน่วยงานสาธารณสุข ทีมงานตรวจเอกสาร สัมภาษณ์ผู้รับผิดชอบ และทวนสอบหลักฐานทางเทคนิค ก่อนสรุปว่าระบบใดครอบคลุมแล้ว จุดใดต้องแก้ ใครเป็นเจ้าของงาน และจะใช้หลักฐานอะไรยืนยันผล
CTAM และ CTAM+ ใช้เกณฑ์ฉบับใด
สำนักงานปลัดกระทรวงสาธารณสุขเผยแพร่ CTAM (Cybersecurity Technical Assessment Matrix) สำหรับปี 2568 และ CTAM+ (Cybersecurity Technical Assessment Matrix Plus) สำหรับปี 2569 ตารางด้านล่างอ้างอิง 17 ข้อของเกณฑ์ระดับสูง ปี 2569 ก่อนเริ่มงาน ALPHASEC จะยืนยันรอบประเมิน ขอบเขตระบบ และหลักเกณฑ์ของเขตสุขภาพกับโรงพยาบาล สำหรับการส่งผลอย่างเป็นทางการ หน่วยงานนำผลพร้อมหลักฐานเข้าสู่กระบวนการตรวจยืนยันของจังหวัดและเขตสุขภาพตามแนวทางที่ใช้ในรอบนั้น
WAF, VA และการทดสอบเจาะระบบตอบคนละคำถาม
สมมติโรงพยาบาลมีเว็บนัดหมายและ API สำหรับแอปผู้ป่วย ข้อ 8 ตรวจว่า WAF คุ้มครองทั้งสองช่องทางจริงหรือไม่ และเมื่อมีกฎบล็อกคำขอ ทีมงานค้นเหตุการณ์ย้อนหลังได้หรือไม่ ข้อ 11 ใช้ VA สำรวจจุดอ่อนของระบบในขอบเขตและจัดคิวแก้ไข ส่วน ข้อ 16 ให้ผู้ทดสอบใช้บัญชีและข้อมูลจำลองตามที่อนุญาต เพื่อตรวจว่าแต่ละบทบาทเข้าถึงข้อมูลได้ตามสิทธิ์ แล้วทดสอบซ้ำเมื่อทีมพัฒนาแก้ไขแล้ว
โรงพยาบาลจึงใช้หลักฐานสามชุดประกอบกันได้ ได้แก่ รายการเว็บที่ผ่าน WAF พร้อม Log, รายงาน VA พร้อมสถานะการแก้ไข และรายงาน PenTest พร้อมผล Retest โดยกำหนดช่วงทดสอบ ผู้ประสานงาน และเงื่อนไขหยุดให้สอดคล้องกับเวลาบริการผู้ป่วย บริการดูแล WAF และ API ของ ALPHASEC · บริการทดสอบเจาะระบบ
เกณฑ์ CTAM+ ทั้ง 17 ข้อ เชื่อมกับบริการและหลักฐานอย่างไร
คอลัมน์สุดท้ายเป็นตัวอย่างสำหรับเตรียมงาน โรงพยาบาลเลือกหลักฐานที่สะท้อนการใช้งานจริงและปกปิดข้อมูลผู้ป่วยก่อนส่งให้ผู้ตรวจ
| ข้อ | หัวข้อประเมิน | ALPHASEC ช่วยตรวจหรือดำเนินการอย่างไร | ตัวอย่างหลักฐาน |
|---|---|---|---|
| 1 | การสำรองข้อมูล | ตรวจแผนสำรองและร่วมทบทวนการกู้คืนระบบที่โรงพยาบาลให้ความสำคัญ | ผลกู้คืนฐานข้อมูลตัวอย่าง เวลาที่ใช้ และผลตรวจความครบถ้วน |
| 2 | Antivirus | ตรวจความครอบคลุมของ Antivirus บนเครื่องลูกข่ายและเซิร์ฟเวอร์ เชื่อม EDR/MDR เมื่อต้องการเฝ้าระวังเพิ่ม | รายชื่อเครื่องเทียบกับทะเบียนทรัพย์สิน วันที่อัปเดต และเครื่องที่ต้องแก้ไข |
| 3 | การควบคุมการเข้าถึง | ตรวจสิทธิ์ตามหน้าที่ ทั้งระบบที่เปิดสู่ภายนอกและระบบภายใน รวมถึงสิทธิ์ของผู้ให้บริการ | ตารางสิทธิ์ รายการอนุมัติ และตัวอย่างการถอนสิทธิ์เมื่อย้ายงาน |
| 4 | บัญชีสิทธิ์สูง (PAM) | ทบทวนสิทธิ์ผู้ดูแลระบบและผู้ดูแลจากภายนอก รวมถึงการติดตามผู้ใช้บัญชีฉุกเฉิน | ทะเบียนบัญชีสิทธิ์สูง บันทึกอนุมัติและประวัติการใช้งาน |
| 5 | BCP และ DRP | จัดทำและซ้อมแผนกับหน่วยบริการ เช่น วิธีรับผู้ป่วยและติดตามผลตรวจระหว่างระบบหลักหยุดทำงาน | แผนที่อนุมัติ ผลการซ้อม ระยะเวลากู้คืนจริง และรายการติดตาม |
| 6 | แพตช์ระบบปฏิบัติการ | ตรวจเวอร์ชันและรอบแพตช์ จัดลำดับเครื่องที่เสี่ยงและตกลงช่วงเปลี่ยนแปลงกับทีมคลินิก | รายงานสถานะแพตช์เซิร์ฟเวอร์ รายการข้อยกเว้น และผู้อนุมัติ |
| 7 | การยืนยันตัวตนหลายปัจจัย (MFA) | ทบทวนการบังคับใช้กับช่องทางที่อยู่ในขอบเขต เช่น การเข้าถึงจากระยะไกลและบัญชีผู้ดูแลระบบ | นโยบายการยืนยันตัวตน ผลทดสอบ และรายชื่อบัญชีที่ยังยกเว้น |
| 8 | Web Application Firewall (WAF) | ตรวจว่าแต่ละเว็บไซต์และ API ที่กำหนดวิ่งผ่าน WAF ตรวจโหมดบังคับใช้ และปรับกฎผ่านบริการ Managed WAAP ตามขอบเขต | รายการโดเมน กฎที่ใช้งาน บันทึกเหตุการณ์ และประวัติการทบทวน |
| 9 | การจัดการบันทึกเหตุการณ์ | ทบทวนแหล่ง Log เวลาเครื่อง ระยะเวลาจัดเก็บและผู้มีสิทธิ์ค้นคืน | ทะเบียนแหล่ง Log และตัวอย่างการค้นเหตุย้อนหลัง |
| 10 | SIEM | เชื่อมแหล่ง Log เข้ากับกฎตรวจจับและขั้นตอนส่งต่อของ CSOC เพื่อให้ผู้รับผิดชอบรับทราบเมื่อเกิดเหตุ | ตัวอย่าง Alert ที่เชื่อมกับใบงาน ผู้รับเรื่อง และผลปิดเหตุ |
| 11 | การประเมินช่องโหว่ (VA) | ประเมินช่องโหว่ตามรายการระบบ ยืนยันผลที่ต้องแก้ และติดตามสถานะ | รายงาน VA ระบุระบบที่ตรวจ ลำดับความเร่งด่วน และผลตรวจซ้ำ |
| 12 | สำรวจและปิดระบบที่เลิกใช้ | เทียบทะเบียนระบบกับบริการที่ยังเปิดอยู่ ให้เจ้าของยืนยันก่อนปิด เช่น เว็บลงทะเบียนกิจกรรมเก่า | ทะเบียนระบบ คำอนุมัติเลิกใช้ และผลตรวจหลังปิด |
| 13 | อัปเดตซอฟต์แวร์และแพตช์ความปลอดภัย | ตรวจแอปพลิเคชันและส่วนประกอบ เช่น ระบบเว็บที่ยังใช้รุ่นหมดระยะสนับสนุน | บัญชีเวอร์ชันซอฟต์แวร์ แผนเปลี่ยนรุ่น และผลทดสอบหลังอัปเดต |
| 14 | การแบ่งเครือข่าย | ทบทวนการแยกเครือข่ายผู้มาติดต่อ ระบบสำนักงาน และระบบการแพทย์ พร้อมตรวจเส้นทางที่อนุญาต | แผนผังเครือข่าย กฎระหว่างโซน และผลตรวจตามขอบเขตที่อนุมัติ |
| 15 | ซอฟต์แวร์ถูกลิขสิทธิ์ | ตรวจทะเบียนซอฟต์แวร์ที่ติดตั้งเทียบสิทธิ์ใช้งานและเงื่อนไขสัญญา | ทะเบียนสิทธิ์ใช้งาน หลักฐานจัดซื้อหรือสัญญา และรายการที่ต้องกระทบยอด |
| 16 | การทดสอบเจาะระบบ (Penetration Testing) | ทดสอบเว็บ API หรือเครือข่ายที่ได้รับอนุญาต ยืนยันข้อค้นพบกับเจ้าของระบบและทดสอบซ้ำหลังแก้ไข | ขอบเขตที่อนุมัติ รายงานผลกระทบ รายการแก้ไข และรายงาน Retest |
| 17 | นโยบายไซเบอร์ การคุ้มครองข้อมูล และการพัฒนาบุคลากร | ทบทวนนโยบายความมั่นคงปลอดภัยและ PDPA อบรมตามบทบาท และซ้อมการตัดสินใจเมื่อเกิดเหตุ | นโยบายที่อนุมัติ หลักฐานการอบรม ผลประเมิน และประเด็นที่ต้องพัฒนาต่อ |
จากรายงานประเมินสู่แผนที่แต่ละทีมลงมือทำได้
เมื่อจบการตรวจ โรงพยาบาลได้รับสรุปสำหรับผู้บริหาร ตารางสถานะรายข้อพร้อมหลักฐานอ้างอิง และแผนแก้ไขที่ระบุความเสี่ยง เจ้าของงาน วันเป้าหมาย และวิธียืนยันผล เช่น หากมีสำเนาสำรองทุกวันแต่ยังไม่เคยทดสอบกู้ระบบห้องยา งานลำดับแรกคือให้ทีมไอทีและเภสัชกรทดสอบร่วมกัน วัดเวลากู้คืน และยืนยันว่าใบสั่งยาในระบบทดสอบเรียกดูได้ครบ
หลักฐานที่มีอยู่ใช้ต่อได้หลายงาน เช่น ผลซ้อมกู้คืนสนับสนุนการทบทวน BCP/DRP และงานด้าน ISO 22301 ส่วนทะเบียนสิทธิ์และบันทึกทบทวนสิทธิ์ใช้ประกอบงาน ISO/IEC 27001 และมาตรการคุ้มครองข้อมูลส่วนบุคคล โดยตรวจขอบเขตและข้อกำหนดของแต่ละกรอบแยกกัน บริการวางแผนความต่อเนื่อง · บริการ CSOC · ที่ปรึกษา PDPA
ขอประเมิน CTAM กับ ALPHASEC
แจ้งรอบประเมิน รายชื่อระบบสำคัญ และหัวข้อที่ต้องการให้ช่วย เช่น เว็บนัดหมายที่ติดตั้ง WAF แล้วแต่ยังไม่มีรายงานทดสอบ ทีม ALPHASEC จะใช้ข้อมูลนี้กำหนดขอบเขต ผู้ที่ควรเข้าร่วม และหลักฐานที่ควรเตรียมก่อนเริ่มงาน
ปรึกษาขอบเขตประเมิน CTAM สำหรับโรงพยาบาล หรือโทร 02 309 3559