Cybersecurity Self Assessment แบบประเมินความเสี่ยง Cybersecurity ของโรงพยาบาล ด้วยตนเอง แบบประเมินความเสี่ยงภัยไซเบอร์ด้วยตนเอง [FORM#1] แบบประเมินตนเองตามเกณฑ์ CO-SIRT (ใช้งาน) Newsletter ชื่อสกุล ผู้ตอบแบบประเมินEmailตำแหน่งหมายเลขโทรศัพท์เขตสุขภาพที่เขตสุขภาพที่123456789101112จังหวัดจังหวัดโรงพยาบาลโรงพยาบาล1. การสำรองข้อมูลจะต้องสำรองข้อมูลระบบ HIS หรือระบบสารสนเทศที่สำคัญของโรงพยาบาลเป็นอย่างน้อย มีการสำรองข้อมูล ไม่มีการสำรองข้อมูล1.1 โดยมีรายละเอียดการสำรองข้อมูลดังนี้มีไม่มีมีการสำรองข้อมูล 3 Copyมีการใช้ 2 เทคโนโลยีในการจัดเก็บ HDD / Tape / External / Cloudมีการ Backup OS / Backup Software HISมีการสำรองข้อมูลวันละครั้ง ย้อนหลังได้ 7 วันมีการสำรองข้อมูลแบบ Offsite หรือ Cloud 1 ชุด2. Anti-Virus : ระบบป้องกันไวรัสในเครือข่าย ทั้งแบบ Server และ Client มีการติดตั้ง NextGen Antivirus/EDR/XDR ไม่มีการติดตั้ง NextGen Antivirus/EDR/XDR2.1 รายละเอียดการติดตั้ง NextGen Antivirus/EDR/XDRมีไม่มีมี NextGen Antivirus/EDR/XDR บนเครื่อง Server ทุกเครื่องใน รพ.มี NextGen Antivirus/EDR/XDR บนเครื่อง Server HISมี NextGen Antivirus/EDR/XDR ในทุกเครื่อง Client3. Access Control (Public และ Private) : การควบคุมอุปกรณ์หรือการเข้าถึงระบบผ่านทางช่องทาง Public/Private ทั้งภายในประเทศและต่างประเทศ มี Firewall เพื่อใช้ในการควบคุม Access Control ไม่มี Firewall3.1 รายละเอียดการ Control Accessมีไม่มีองค์กรมีการใช้ Firewall หรืออุปกรณ์ควบคุมการเข้าถึงระบบสารสนเทศภายในเครือข่ายองค์กรมีการกำหนด White list Port และไม่เปิด Port ที่มีความเสี่ยงโดนโจมตีองค์กรมีการแบ่งโซน Network ระหว่าง Server และ Client ในกรณีที่ต้องการ Access เข้า Server จาก Public ได้ทำการเข้าผ่าน VPNองค์กรมีการใช้ Terminal server ในการเข้าถึง Server แทนที่ใช้ Computer ต้นทาง4. องค์กรต้องมีการจัดการสิทธิพิเศษในการเข้าถึงระบบเทคโนโลยีสารสนเทศ โดยครอบคลุมระบบ HIS เป็นอย่างน้อย ซึ่งมีรายละเอียดดังนี้ มีการจัดการสิทธิ ไม่มีการจัดการสิทธิ4.1 รายละเอียดการจัดการสิทธิมีไม่มีองค์กรมีการ Disable Administrator/Root/Admin บนระบบเพื่อป้องกันการโจมตีประเภท Brute Force Passwordองค์กรมีการกำหนดการเข้าถึงระบบตามสิทธิและหน้าที่ที่ได้รับหรือไม่ (User Right Matrix)องค์กรมีการทบทวนสิทธิผู้ใช้งานอย่างน้อยปีละ 1 ครั้งองค์กรมีการตั้ง Password ให้ Complex ตามมาตรฐาน (10 ตัวอักษร ใหญ่ เล็ก อักขระพิเศษ)มี Policy ในการเปลี่ยน Password อย่างน้อยทุก 3 เดือน5. Business Continuity Plan (BCP) : แผนที่กำหนดแนวทางการดำเนินการของหน่วยงานเมื่อเกิดสภาวะวิกฤตหรือภัยต่าง ๆ ที่ส่งผลให้กระบวนการทำงานของหน่วยงานหยุดชะงัก เพื่อให้สามารถกลับมาดำเนินการได้อย่างต่อเนื่อง มีการทำแผน BCP แล้ว ยังไม่มีแผน BCP5.1 รายละเอียดของการทำ BCPมีไม่มีองค์กรมีการจัดทำรายงานขั้นตอนการดำเนินการแผนความต่อเนื่องทางธุรกิจ (แผน BCP) ที่ชัดเจนรวมถึงระยะเวลาและผู้เกี่ยวข้องการทำ BCP ครอบคลุม OS ของระบบ HIS หรือ Software HIS เป็นอย่างน้อยองค์กรมีการทดสอบ BCP อย่างน้อยปีละ 1 ครั้ง6. มีระบบ Disaster Recovery site (DR) ในกรณีฉุกเฉินที่ระบบหลักมีปัญหาและไม่สามารถใช้งานได้ โดยจะต้องมี DR-Site โดยยึดจากมาตรฐาน ISO27001 และนำมาปรับใช้งาน (ยังไม่อยู่ในเกณฑ์ประเมิน) มี DR Site แล้ว ไม่มี DR Site7. OS Patching : : การแก้ไขจุดบกพร่อง (Patch) ของระบบปฏิบัติการ (OS) หรือปรับปรุงระบบปฏิบัติการให้ทันสมัย และเพิ่มเติมความสามารถในการใช้งานหรือประสิทธิภาพให้ดีขึ้น องค์กรมีการ update Security Patch สำหรับ OS ของระบบ HIS อย่างน้อย 6 เดือนครั้งหรือทันทีหากมี Critical patch ไม่มีการอัปเดต Patch8. Multi-Factor Authentication (2FA) : การยืนยันตัวตน 2 ชั้น เป็นการเข้าสู่ระบบบัญชีแบบหลายขั้นตอนที่กำหนดให้ผู้ใช้ป้อนข้อมูลเพิ่มเติมนอกเหนือจากรหัสผ่าน ทำการเปิด MFA แล้ว ยังไม่ได้ทำการเปิด MFA8.1 รายละเอียดการเปิด MFAมีไม่มีหากองค์กรมีการใช้ VPN ได้ทำการเปิด 2FA แล้วองค์กรมีการใช้ 2FA ครอบคลุม OS ของระบบ HIS หรือ Software HIS เป็นอย่างน้อย9. Web Application Firewall (WAF) : : ระบบป้องกันการโจมตีทางไซเบอร์สำหรับเว็บแอพพลิเคชั่นโดยเฉพาะ เพื่อป้องกันการโจมตีไปยังระบบเว็บแอพพลิเคชั่นขององค์กร มีการใช้ WAF ในรูปแบบ Cloud Security ตามมาตรฐาน OWASP Top 10 ไม่ได้ใช้งาน เพราะไม่มี Website/Web Application ไม่มี WAF10. Log Management : การจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ องค์กรมีระบบจัดเก็บ Log อินเตอร์เน็ตและคอมพิวเตอร์ตาม พรบ. อย่างน้อย 90 วัน ไม่มี/อยู่ระหว่างดำเนินการ11. Security Information & Event Management (SIEM) : : ระบบที่ใช้ในการจัดการกับ Log และ Event ต่าง ๆ ที่คอยทำหน้าที่วิเคราะห์หาความเชื่อมโยงของ Event ต่าง ๆ ที่เกี่ยวข้องกับความปลอดภัยทั้งหมด ไปจนถึงการ Alert ระบุตำแหน่งของภัยคุกคามให้ทราบ เมื่อมีEvent ที่ผิดปกติ ทำให้สามารถป้องกัน และตอบสนองภัยคุกคามได้อย่างรวดเร็ว องค์กรมีระบบ Security Information & Event Management (SIEM) เพื่อนำมาวิเคราะห์พฤติกรรม Cyber Attack บนระบบที่ให้บริการในระดับ Infrastructure และ OS ไม่มี/อยู่ระหว่างดำเนินการ12. Vulnerability Assessment (VA Scan) : : การตรวจสอบช่องโหว่ของระบบ เพื่อให้ทราบถึงความเสี่ยง จุดอ่อน และระดับความรุนแรงของผลกระทบที่อาจเกิดขึ้นจากการถูกโจรกรรมข้อมูลและการโจมตีทางไซเบอร์ มีการทำ VA Scan แล้ว ยังไม่ได้ดำเนินการ/อยู่ระหว่างดำเนินการ12.1 รายละเอียดการทำ VA Scanมีไม่มีองค์กรมีการตรวจสอบช่องโหว่ หรือทำ VA Scan โดยครอบคลุม OS ของระบบ HIS หรือ Software HIS เป็นอย่างน้อยหากพบช่องโหว่จากการ Scan แล้วมีการสรุปเป็นรายงานเพื่อนำไปสู่กระบวนการพิจารณาปิดช่องโหว่13. Software Update : : การตรวจสอบ Version ของ Software ให้เป็น Version Update ล่าสุด เพื่อปิดช่องโหว่ที่เกิดขึ้นใน Software Version ก่อนหน้า มีการ update Software ของระบบ HIS เป็นอย่างน้อย ยังไม่ได้มีการอัปเดต Software14. Penetration Testing : : การทดสอบการเจาะระบบ มีการทำ Pentest แล้ว ยังไม่มีการทำ Pentest14.1 รายละเอียดการทำ Pentestมีไม่มีองค์กรมีการทดสอบเจาะระบบ หรือทำ Penetration Test อย่างน้อยปีละ 1 ครั้งมีการสรุปผลการทดสอบเป็นรายงานเพื่อพิจารณาปรับปรุงความปลอดภัยของระบบทำการแก้ไขช่องโหว่ระดับ Severity Critical และ High แล้ว (ถ้ามี)ส่งข้อมูลการประเมินตนเอง
