HS4 ด้านที่ 9

9.1 โครงสร้างและบทบาท การรักษาความมั่นคงปลอดภัยไซเบอร์

ข้อที่ 9.1.1 โครงสร้างการดูแลระบบสารสนเทศโรงพยาบาล 10/03/2569

ข้อที่ 9.1.3 นโยบายความมั่นคงปลอดภัยด้านเทคโนโลยีสารสนเทศ 10/03/2569

9.1.5. มีการกำหนดมาตรการ/นโยบาย/แนวปฏิบัติด้านเทคโนโลยีสารสนเทศต่าง ๆ ที่จำเป็นสอดคล้องกฎหมายและกฎระเบียบที่เกี่ยวข้อง เช่น พระราชบัญญัติการคุ้มครองข้อมูลส่วนบุคคล พ.ศ.2565 กฎหมายและกฎระเบียบที่เกี่ยวข้องอื่น 10/03/2569

9.2 การจัดการความเสี่ยง ด้านการรักษาความมั่นคงปลอดภัยไซเบอร์

9.2.1. มีกระบวนการประเมินและให้คะแนนความเสี่ยงของระบบสารสนเทศอย่างเป็นระบบ โดยการมีส่วนร่วมของทุกฝ่าย โดยครอบคลุมทรัพย์สินสารสนเทศ (Information Asset Inventory) ที่อยู่ภายใต้ขอบเขตการให้บริการสาธารณสุขของหน่วยงาน 10/03/2569

9.2.2. มีแผนจัดการความเสี่ยงเป็นลายลักษณ์อักษร โดยกำหนดกลยุทธ์โครงการหรือกระบวนการ ระยะเวลาดำเนินการ ผู้รับผิดชอบ อย่างชัดเจน 10/03/2569

9.2.5. มีการนำผลการประเมินหรือความสี่ยงที่ยังคงเหลืออยู่ มาปรับปรุงแผนการจัดการความเสี่ยงอย่างต่อเนื่อง 10/03/2569

9.3 การจัดการความมั่นคงปลอดภัย ด้านการรักษาความมั่นคงปลอดภัยไซเบอร์

9.3.1. มีการจัดทำแนวปฏิบัติด้านความมั่นคงปลอดภัยระบบเทคโนโลยีสารสนเทศ (Specific information security policy) มีหัวข้ออย่างน้อยต่อไปนี้1) การเข้าถึงหรือควบคุมการใช้งานสารสนเทศ (Access Control) 2) การสำรองข้อมูลเพื่อให้สารสนเทศอยู่ในสภาพพร้อมใช้งานและการจัดทำแผนเตรียมความพร้อมรับมือภัยคุกคาม 3) การตรวจสอบและประเมินความเสี่ยงด้านสารสนเทศ 10/03/2569

9.3.4. มีการประชาสัมพันธ์นโยบายและระเบียบปฏิบัติสร้างความรู้ความเข้าใจ ให้บุคลากรทุกคนได้รับทราบ และ ถือปฏิบัติ 10/03/2569

9.3.5. มีการตรวจสอบว่าบุคลากรได้รับทราบ เข้าใจ ยอมรับ และการประเมินผลการปฏิบัติตามระเบียบปฏิบัติด้านความมั่นคงปลอดภัยสารสนเทศอย่างเคร่งครัด และนำผลการประเมินมาปรับกระบวนการบังคับใช้ระเบียบปฏิบัติ อย่างต่อเนื่อง 10/03/2569

9.4 การจัดการศักยภาพของทรัพยากรในระบบเทคโนโลยีสารสนเทศ

9.4.2. มีการวิเคราะห์สถานการณ์ปัจจุบันและ Gap Analysis ของทรัพยากรด้าน Hardware, Software, Network, People 10/03/2569

9.4.3. มีการจัดทำแผนเพิ่มหรือจัดการศักยภาพของทรัพยากร ด้าน Hardware, Software, Network 10/03/2569

9.4.4. มีการกำหนดสมรรถนะตามบทบาทหน้าที่ที่จำเป็น (Functional Competency) ของบุคลากรด้าน IT ทุกคน และประเมินสมรรถนะตามบทบาทหน้าที่ และจัดทำแผนเพิ่มสมรรถนะรายบุคคล 10/03/2569

9.4.5. มีการนำผลการวิเคราะห์ สถานการณ์ปัจจุบันและ Gap Analysis ของทรัพยากรด้าน Hardware, Software, Network และ People มาปรับปรุงจัดทำแผนเพิ่มศักยภาพ อย่างต่อเนื่อง 10/03/2569

9.5 การรักษาความปลอดภัยทางกายภาพและทางสภาพแวดล้อมของ DATA CENTER

9.5.1. กำหนดมาตรการการรักษาความปลอดภัยทางกายภาพ การทบทวนสิทธิ์บุคลากรที่ได้รับอนุญาตให้เข้าถึง Data Center และการกำหนดหน้าที่ความรับผิดชอบในการดูแล Data Center ของหน่วยงาน 10/03/2569

9.5.3. มีระบบป้องกันอัคคีภัย เช่น ระบบตรวจจับควัน ระบบเตือนภัย เครื่องดับเพลิงหรือระบบดับเพลิงอัตโนมัติ ให้เหมาะสมกับความเสี่ยง 10/03/2569

9.5.4. มีมาตรการหรือระบบป้องกันความเสียหายของข้อมูล และระบบ เช่น ระบบไฟฟ้าสำรอง (UPS) ระบบ RAID, Redundant Power supply, Redundant Server ให้เหมาะสมกับความเสี่ยง 10/03/2569

9.5.5. มีระบบเฝ้าระวัง และรักษาความมั่นคงปลอดภัยทางกายภาพ Data Center ของหน่วยงาน 10/03/2569

9.6 การตรวจสอบด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ และแผนการรับมือภัยคุกคามทางไซเบอร์

9.6.1. จัดให้มีการตรวจสอบด้านการรักษาความมั่นคงปลอดภัยไซเบอร์ (Cybersecurity Audit Plan) อย่างน้อยปีละ 1 ครั้ง โดยมีผู้ตรวจสอบภายใน หรือ ภายนอกที่มีความรู้ความสามารถ และจัดทำรายงานผลต่อผู้บริหารที่เกี่ยวข้อง 10/03/2569

9.6.3. มีการฝึกซ้อม และทบทวนแผนการรับมือภัยคุกคามทางไซเบอร์ (INCIDENT RESPONSE PLAN) อย่างน้อยปีละ 1 ครั้ง หรือเมื่อมีการเปลี่ยนแปลงที่มีนัยสำคัญ 10/03/2569