แบบประเมินภัยคุกคามไซเบอร์ สำหรับโรงพยาบาลและหน่วยงานสาธารณสุข แบบประเมินภัยคุกคามไซเบอร์ สำหรับโรงพยาบาลและหน่วยงานสาธารณสุข [ฟอร์ม 3] แบบประเมินภัยคุกคามไซเบอร์โรงพยาบาลและหน่วยงานสาธารณสุข ของ NT (#29) Updates ชื่อสกุล ผู้ทำการประเมินตำแหน่งผู้ประเมินรหัสพนักงาน (NT)Email (@ntplc.co.th)หมายเลขโทรศัพท์ชื่อ-สกุล ผู้ให้ข้อมูลสารสนเทศตำแหน่งผู้ให้ข้อมูลเขตสุขภาพที่เขตสุขภาพที่123456789101112จังหวัดจังหวัดโรงพยาบาลโรงพยาบาล1. การสำรองข้อมูล: มีการสำรองข้อมูลโดยต้องสำรองข้อมูลระบบ HIS หรือระบบสารสนเทศที่สำคัญของโรงพยาบาลเป็นอย่างน้อย มีการสำรองข้อมูล ไม่มีการสำรองข้อมูล1.1 มีการสำรองข้อมูล 3 Copy มี ไม่มีข้อมูลหลักฐาน 1.11.2 มีการใช้ 2 เทคโนโลยีในการจัดเก็บ HDD / Tape / External / Cloud มี ไม่มีข้อมูลหลักฐาน 1.21.3 มีการ Backup OS / Backup Software HIS มี ไม่มีข้อมูลหลักฐาน 1.31.4 มีการสำรองข้อมูลวันละครั้ง ย้อนหลังได้ 7 วัน มี ไม่มีข้อมูลหลักฐาน 1.41.5 มีการสำรองข้อมูลแบบ Offsite หรือ Cloud 1 ชุด มี ไม่มีข้อมูลหลักฐาน 1.5หมายเหตุ : การสำรองข้อมูล2. Anti-Virus : มีการติดตั้งระบบป้องกันไวรัสในเครือข่าย ครอบคลุมทั้ง Server และ Client มีการติดตั้ง NextGen Antivirus/EDR/XDR ไม่มีการติดตั้ง NextGen Antivirus/EDR/XDR2.1 มี NextGen Antivirus/EDR/XDR บนเครื่อง Server ทุกเครื่องใน รพ. มี ไม่มีข้อมูลหลักฐาน 2.12.2 มี NextGen Antivirus/EDR/XDR บนเครื่อง Server HIS มี ไม่มีข้อมูลหลักฐาน 2.22.3 มี NextGen Antivirus/EDR/XDR ในทุกเครื่อง Client มี ไม่มีข้อมูลหลักฐาน 2.3หมายเหตุ : Antivirus3. Access Control (Public และ Private) : มีอุปกรณ์ควบคุมการเข้าถึงระบบผ่านทางช่องทาง Public/Private ทั้งจากภายในประเทศและต่างประเทศ มี Firewall เพื่อใช้ในการควบคุม Access Control ไม่มี Firewall3.1 องค์กรมีการใช้ Firewall หรืออุปกรณ์ควบคุมการเข้าถึงระบบสารสนเทศภายในเครือข่าย มี ไม่มีข้อมูลหลักฐาน 3.13.2 องค์กรมีการกำหนด White list Port และไม่เปิด Port ที่มีความเสี่ยงโดนโจมตี มี ไม่มีข้อมูลหลักฐาน 3.23.3 องค์กรมีการแบ่งโซน Network ระหว่าง Server และ Client มี ไม่มีข้อมูลหลักฐาน 3.33.4 ในกรณีที่ต้องการ Access เข้า Server จาก Public ได้ทำการเข้าผ่าน VPN มี ไม่มีข้อมูลหลักฐาน 3.43.5 องค์กรมีการใช้ Terminal server ในการเข้าถึง Server แทนที่ใช้ Computer ต้นทาง มี ไม่มีข้อมูลหลักฐาน 3.5หมายเหตุ : Access Control4. PAM : มีการจัดการสิทธิพิเศษในการเข้าถึงระบบเทคโนโลยีสารสนเทศ โดยครอบคลุมระบบ HIS เป็นอย่างน้อย มีการจัดการสิทธิ ไม่มีการจัดการสิทธิ4.1 องค์กรมีการ Disable Administrator/Root/Admin บนระบบเพื่อป้องกันการโจมตีประเภท Brute Force Password มี ไม่มีข้อมูลหลักฐาน 4.14.2 องค์กรมีการกำหนดการเข้าถึงระบบตามสิทธิและหน้าที่ที่ได้รับหรือไม่ (User Right Matrix) มี ไม่มีข้อมูลหลักฐาน 4.24.3 องค์กรมีการทบทวนสิทธิผู้ใช้งานอย่างน้อยปีละ 1 ครั้ง มี ไม่มีข้อมูลหลักฐาน 4.34.4 องค์กรมีการตั้ง Password ให้ Complex ตามมาตรฐาน (10 ตัวอักษร ใหญ่ เล็ก อักขระพิเศษ) มี ไม่มีข้อมูลหลักฐาน 4.44.5 มี Policy ในการเปลี่ยน Password อย่างน้อยทุก 3 เดือน มี ไม่มีข้อมูลหลักฐาน 4.5หมายเหตุ : PAM5. Business Continuity Plan (BCP) : มีแผนหรือแนวทางการดำเนินการของหน่วยงานเมื่อเกิดสภาวะวิกฤตหรือภัยต่าง ๆ ที่ส่งผลให้กระบวนการทำงานของหน่วยงานหยุดชะงัก เพื่อให้สามารถกลับมาดำเนินการได้อย่างต่อเนื่อง มีการทำแผน BCP แล้ว ยังไม่มีแผน BCP5.1 องค์กรมีการจัดทำรายงานขั้นตอนการดำเนินการแผนความต่อเนื่องทางธุรกิจ (แผน BCP) ที่ชัดเจนรวมถึงระยะเวลาและผู้เกี่ยวข้อง มี ไม่มีข้อมูลหลักฐาน 5.15.2 การทำ BCP ครอบคลุม OS ของระบบ HIS หรือ Software HIS เป็นอย่างน้อย มี ไม่มีข้อมูลหลักฐาน 5.25.3 องค์กรมีการทดสอบ BCP อย่างน้อยปีละ 1 ครั้ง มี ไม่มีข้อมูลหลักฐาน 5.3หมายเหตุ : BCP6. มี Disaster Recovery site (DR site) ในกรณีฉุกเฉินที่เกิดภัยพิบัติ ทำให้ระบบหลักไม่สามารถใช้งานได้ โดย DR-Site จะต้องเป็นไปตามมาตรฐาน ISO27001 (ยังไม่อยู่ในเกณฑ์ประเมิน) มี DR Site แล้ว ไม่มี DR Site7. OS Patching : มีกระบวนการในการแก้ไขจุดบกพร่อง (Patch) ของระบบปฏิบัติการ (OS) หรือปรับปรุงระบบปฏิบัติการให้ทันสมัย และเพิ่มเติมความสามารถในการใช้งานหรือประสิทธิภาพให้ดีขึ้น องค์กรมีการ Update Security Patch สำหรับ OS ของระบบ HIS อย่างน้อย 6 เดือนครั้งหรือทันทีหากมี Critical patch ไม่มีการอัปเดต Patchข้อมูลหลักฐานข้อ 7. OS Patching8. Multi-Factor Authentication (2FA) : มีการยืนยันตัวตน 2 ชั้น เป็นการเข้าสู่ระบบบัญชีแบบหลายปัจจัยที่กำหนดให้ผู้ใช้ป้อนข้อมูลเพิ่มเติมนอกเหนือจากรหัสผ่าน ทำการเปิด MFA แล้ว ยังไม่ได้ทำการเปิด MFA8.1 หากองค์กรมีการใช้ VPN ได้ทำการเปิด 2FA แล้ว มี ไม่มีข้อมูลหลักฐาน 8.18.2 องค์กรมีการใช้ 2FA ครอบคลุม OS ของระบบ HIS หรือ Software HIS เป็นอย่างน้อย มี ไม่มีข้อมูลหลักฐาน 8.2หมายเหตุ : MFA9. Web Application Firewall (WAF) : มีระบบป้องกันการโจมตีทางไซเบอร์สำหรับเว็บแอปพลิเคชันโดยเฉพาะ เพื่อป้องกันการโจมตีไปยังระบบเว็บแอปพลิเคชันขององค์กร มีการใช้ WAF ในรูปแบบ Cloud Security ตามมาตรฐาน OWASP Top 10 ไม่ได้ใช้งาน เพราะไม่มี Website/Web Application ใช้บริการ WAF ของ NT ไม่มี WAFข้อมูลหลักฐาน 9. WAF10. Log Management : มีการจัดเก็บข้อมูลจราจรทางคอมพิวเตอร์ ตามที่กฎหมายกำหนด องค์กรมีระบบจัดเก็บ Log อินเตอร์เน็ตและคอมพิวเตอร์ตาม พรบ. อย่างน้อย 90 วัน ใช้บริการ MINI SIEM / CSM ของ NT ไม่มี/อยู่ระหว่างดำเนินการข้อมูลหลักฐาน ข้อ 10. Log Management11. Security Information & Event Management (SIEM) : มีระบบที่ใช้ในการจัดการกับ Log และ Event ต่าง ๆ ซึ่งทำหน้าที่วิเคราะห์หาความเชื่อมโยงของ Event ต่าง ๆ ที่เกี่ยวข้องกับความปลอดภัยทั้งหมด ไปจนถึงการ Alert ระบุตำแหน่งของภัยคุกคามให้ทราบ เมื่อมี Event ที่ผิดปกติ ทำให้สามารถป้องกัน และตอบสนองภัยคุกคามได้อย่างรวดเร็ว องค์กรมีระบบ Security Information & Event Management (SIEM) ใช้บริการ MINI SIEM / CSM ของ NT ไม่มี/อยู่ระหว่างดำเนินการข้อมูลหลักฐาน ข้อ 11. SIEM12. Vulnerability Assessment (VA Scan) : มีการตรวจสอบช่องโหว่ของระบบ เพื่อให้ทราบถึงความเสี่ยง จุดอ่อน และระดับความรุนแรงของผลกระทบที่อาจเกิดขึ้นจากการถูกโจรกรรมข้อมูลและการโจมตีทางไซเบอร์ มีการทำ VA Scan แล้ว ใช้บริการ VA Scan ของ NT ยังไม่ได้ดำเนินการ/อยู่ระหว่างดำเนินการ12.1 องค์กรมีการตรวจสอบช่องโหว่ หรือทำ VA Scan โดยครอบคลุม OS ของระบบ HIS หรือ Software HIS เป็นอย่างน้อย มี ไม่มีข้อมูลหลักฐาน 12.112.2 หากพบช่องโหว่จากการ Scan แล้วมีการสรุปเป็นรายงานเพื่อนำไปสู่กระบวนการพิจารณาปิดช่องโหว่ มี ไม่มีข้อมูลหลักฐาน 12.213. Software Update : มีการตรวจสอบ Version ของ Software ให้เป็น Version Update ล่าสุด เพื่อปิดช่องโหว่ที่เกิดขึ้นใน Software Version ก่อนหน้า มีการ update Software ของระบบ HIS เป็นอย่างน้อย ยังไม่ได้มีการอัปเดต Softwareข้อมูลหลักฐาน ข้อ 13. Software Update14. Penetration Testing : มีการทดสอบการเจาะระบบ โดยบุคคลที่สาม มีการทำ Pentest แล้ว ใช้บริการ Pentest ของ NT ยังไม่มีการทำ Pentest14.1 องค์กรมีการทดสอบเจาะระบบ หรือทำ Penetration Test อย่างน้อยปีละ 1 ครั้ง มี ไม่มีข้อมูลหลักฐาน 14.114.2 มีการสรุปผลการทดสอบเป็นรายงานเพื่อพิจารณาปรับปรุงความปลอดภัยของระบบ มี ไม่มีข้อมูลหลักฐาน 14.214.3 ทำการแก้ไขช่องโหว่ระดับ Severity Critical และ High แล้ว (ถ้ามี) มี ไม่มีข้อมูลหลักฐาน 14.3ส่งข้อมูลผลการประเมิน
