ยืนยันตัวตนสองชั้น (2FA) ป้องกันบัญชีคลินิกแม้รหัสผ่านรั่ว
รหัสผ่านอย่างเดียวไม่พอสำหรับระบบที่เก็บข้อมูลสุขภาพ บทความนี้อธิบายการยืนยันตัวตนสองชั้นแบบเข้าใจง่าย เปรียบเทียบแต่ละวิธี และขั้นตอนเปิดใช้กับทีมคลินิกให้ราบรื่น
การยืนยันตัวตนสองชั้น หรือ 2FA (Two-Factor Authentication) คือการให้ผู้ใช้พิสูจน์ตัวตนด้วยสองสิ่งที่ต่างประเภทกันก่อนเข้าระบบ โดยทั่วไปคือรหัสผ่านที่จำไว้ บวกกับรหัสชั่วคราวจากโทรศัพท์ที่ถืออยู่ สำหรับคลินิกซึ่งเก็บประวัติการรักษาและข้อมูลส่วนตัวของผู้ป่วยไว้ในระบบออนไลน์ นี่คือมาตรการที่คุ้มค่าที่สุดอย่างหนึ่ง เพราะลงทุนน้อย แต่ปิดช่องโหว่ใหญ่ที่สุดได้ นั่นคือรหัสผ่านรั่ว
ทำไมรหัสผ่านอย่างเดียวไม่พอสำหรับคลินิก
รหัสผ่านรั่วได้หลายทางโดยที่เจ้าของไม่รู้ตัว และในคลินิกมีสถานการณ์เฉพาะที่ทำให้เสี่ยงขึ้น
- ใช้รหัสซ้ำ พนักงานใช้รหัสเดียวกับอีเมลส่วนตัวหรือแอปอื่น เมื่อบริการอื่นถูกเจาะ รหัสนั้นก็ถูกนำมาลองกับระบบคลินิก
- หน้าเว็บปลอม (ฟิชชิง) ข้อความหรืออีเมลที่หลอกให้กรอกรหัสในหน้าที่หน้าตาเหมือนระบบจริง
- เขียนแปะไว้ รหัสผ่านติดโพสต์อิทข้างจอเคาน์เตอร์ ซึ่งใครเดินผ่านก็เห็น
- คนรอบตัวเห็นตอนพิมพ์ โดยเฉพาะที่เคาน์เตอร์ซึ่งมีคนผ่านไปมาตลอดวัน
- อดีตพนักงาน ที่ยังจำรหัสของเพื่อนร่วมงานหรือบัญชีรวมได้
เมื่อเปิด 2FA ไว้ แม้คนอื่นจะรู้รหัสผ่าน ก็ยังเข้าระบบไม่ได้ เพราะไม่มีโทรศัพท์ที่สร้างรหัสชั้นที่สอง
การยืนยันตัวตนสองชั้นมีกี่แบบ แบบไหนเหมาะกับคลินิก
หลักการคือใช้ปัจจัยจากคนละกลุ่ม ได้แก่ สิ่งที่รู้ (รหัสผ่าน) สิ่งที่มี (โทรศัพท์ กุญแจความปลอดภัย) และสิ่งที่เป็น (ลายนิ้วมือ ใบหน้า) วิธีที่พบบ่อยเปรียบเทียบได้ดังนี้
| วิธี | ทำงานอย่างไร | ข้อดี | ข้อควรระวัง |
|---|---|---|---|
| รหัส OTP ทาง SMS | ระบบส่งรหัสไปที่เบอร์โทร | ใช้ง่าย ไม่ต้องลงแอป | พึ่งพาเครือข่ายมือถือ และเสี่ยงหากเบอร์ถูกสวมสิทธิ์หรือถูกหลอกขอรหัส |
| แอป Authenticator | แอปในมือถือสร้างรหัส 6 หลักใหม่ทุกช่วงเวลาสั้น ๆ | ทำงานได้แม้ไม่มีสัญญาณ ไม่ผูกกับเบอร์โทร | ต้องเตรียมวิธีกู้คืนเมื่อเปลี่ยนหรือทำมือถือหาย |
| กุญแจความปลอดภัย (Security key) | อุปกรณ์ USB หรือ NFC ที่เสียบหรือแตะเพื่อยืนยัน | ต้านฟิชชิงได้ดีมาก | มีค่าอุปกรณ์ และระบบต้องรองรับ |
สำหรับคลินิกส่วนใหญ่ แอป Authenticator เป็นจุดสมดุลที่ดี เพราะพนักงานทุกคนมีสมาร์ตโฟนอยู่แล้ว แอปที่ใช้ได้มีหลายตัวและติดตั้งฟรี เช่น Google Authenticator หรือ Microsoft Authenticator และไม่ต้องพึ่งการส่ง SMS ทุกครั้งที่เข้าระบบ
ขั้นตอนเปิดใช้ 2FA กับทีมคลินิกให้ราบรื่น
ปัญหาส่วนใหญ่ไม่ได้อยู่ที่เทคนิค แต่อยู่ที่การเปลี่ยนนิสัยของทีม แนะนำให้ทำเป็นขั้นดังนี้
- เริ่มจากบัญชีที่สิทธิ์สูงที่สุด คือบัญชีเจ้าของคลินิกและผู้ดูแลระบบ เพราะถ้าถูกเจาะจะเสียหายมากที่สุด
- ต่อด้วยบัญชีที่เห็นข้อมูลผู้ป่วย ได้แก่ แพทย์ พยาบาล และเจ้าหน้าที่เคาน์เตอร์ แล้วจึงขยายให้ครบทุกคน
- นัดเวลาตั้งค่าพร้อมกัน เช่น ช่วงประชุมทีม ใช้เวลาไม่กี่นาทีต่อคน มีคนช่วยดูหน้าจอ ลดการตั้งผิด
- สอนให้รู้จักหน้าเว็บจริง ย้ำว่าระบบหรือทีมงานจะไม่โทรหรือส่งข้อความมาขอรหัส 6 หลัก ใครขอให้ถือว่าเป็นการหลอกลวง
- กำหนดขั้นตอนเมื่อเปลี่ยนหรือทำมือถือหาย ให้ชัดว่าต้องแจ้งใคร และผู้ดูแลจะตรวจสอบตัวตนก่อนรีเซ็ตอย่างไร เพื่อไม่ให้กลายเป็นช่องให้คนแอบอ้าง
- ทบทวนเมื่อมีพนักงานเข้าใหม่ ให้การตั้ง 2FA เป็นส่วนหนึ่งของวันแรกในการทำงาน ดูรายละเอียดได้ที่ การจัดการบัญชีผู้ใช้พนักงาน
เคล็ดลับ: ห้ามตั้งแอป Authenticator ของหลายคนไว้ในโทรศัพท์เครื่องกลางของคลินิก เพราะจะกลายเป็นว่าใครหยิบเครื่องได้ก็เข้าได้ทุกบัญชี ชั้นที่สองต้องอยู่กับตัวผู้ใช้แต่ละคนเท่านั้น
ยืนยันตัวตนสองชั้นอย่างเดียวพอหรือยัง
2FA ช่วยเรื่องการเข้าสู่ระบบ แต่ความปลอดภัยของบัญชีคลินิกยังต้องอาศัยมาตรการอื่นประกอบกัน
- บัญชีรายบุคคล ห้ามใช้บัญชีรวม เพราะ 2FA ผูกกับคนหนึ่งคน และการตรวจสอบย้อนหลังต้องระบุตัวบุคคลได้
- สิทธิ์ตามหน้าที่ ให้แต่ละคนเห็นเฉพาะข้อมูลที่จำเป็นต่องาน อ่านต่อที่ สิทธิ์ผู้ใช้งานคลินิก
- หมดเวลาใช้งานอัตโนมัติ ป้องกันกรณีลุกจากเครื่องโดยไม่ออกจากระบบ
- บันทึกการเข้าสู่ระบบล้มเหลว เพื่อดูว่ามีใครพยายามเดารหัสหรือไม่ อธิบายไว้ใน Audit log คืออะไร
- อัปเดตเครื่องและเบราว์เซอร์ และไม่ให้เบราว์เซอร์จำรหัสผ่านบนเครื่องที่ใช้ร่วมกัน
ความรู้พื้นฐานด้านความปลอดภัยไซเบอร์สำหรับองค์กรขนาดเล็กติดตามเพิ่มเติมได้จาก สำนักงานพัฒนาธุรกรรมทางอิเล็กทรอนิกส์ (ETDA)
คำถามที่ทีมคลินิกมักถาม
ต้องกรอกรหัส 6 หลักทุกครั้งที่เปิดเครื่องหรือไม่
โดยทั่วไปจะขอรหัสชั้นที่สองตอนเข้าสู่ระบบใหม่ ไม่ได้ขอทุกครั้งที่เปลี่ยนหน้า เมื่อเทียบกับเวลาที่เสียไปไม่กี่วินาที ความเสี่ยงที่ลดลงถือว่าคุ้มค่ามาก
พนักงานไม่อยากลงแอปในมือถือส่วนตัว ทำอย่างไรดี
อธิบายว่าแอป Authenticator ไม่ได้เข้าถึงข้อมูลส่วนตัวในโทรศัพท์ และทำงานได้โดยไม่ต้องใช้อินเทอร์เน็ต หากยังไม่สะดวกจริง คลินิกอาจพิจารณาจัดอุปกรณ์ให้เป็นรายบุคคล แต่ไม่ควรใช้เครื่องกลางร่วมกัน
รหัสไม่ผ่านทั้งที่พิมพ์ถูก เกิดจากอะไร
สาเหตุที่พบบ่อยคือนาฬิกาในโทรศัพท์ไม่ตรง เพราะรหัสคำนวณจากเวลา ให้ตั้งเวลาโทรศัพท์เป็นแบบอัตโนมัติ แล้วลองใหม่ด้วยรหัสชุดล่าสุด
เปิดใช้การยืนยันตัวตนสองชั้นใน MACLINIC
MACLINIC รองรับการยืนยันตัวตนสองชั้นด้วยแอป Authenticator ผู้ใช้แต่ละคนเปิดใช้กับบัญชีของตัวเองได้ และทำงานร่วมกับมาตรการอื่นของระบบ ได้แก่ สิทธิ์ตามบทบาท (เจ้าของ แพทย์ เจ้าหน้าที่ แคชเชียร์) การหมดเวลาใช้งานอัตโนมัติ และ Audit log ที่บันทึกการเข้าสู่ระบบล้มเหลว เนื่องจากระบบใช้งานผ่านเบราว์เซอร์ได้ทั้งคอมพิวเตอร์ แท็บเล็ต และมือถือ การเพิ่มชั้นที่สองจึงสำคัญเป็นพิเศษ เพราะเป็นตัวกันไม่ให้คนที่ได้รหัสผ่านไปเข้าระบบจากที่ใดก็ได้ ภาพรวมการดูแลข้อมูลตามกฎหมายอ่านได้ที่ PDPA คลินิกต้องทำอะไรบ้าง
สรุป
รหัสผ่านรั่วได้เสมอ การยืนยันตัวตนสองชั้นทำให้รหัสที่รั่วยังใช้เข้าระบบไม่ได้ เลือกแอป Authenticator เป็นค่าเริ่มต้น เปิดกับบัญชีสิทธิ์สูงก่อนแล้วขยายให้ครบทุกคน กำหนดขั้นตอนรับมือมือถือหาย และใช้คู่กับบัญชีรายบุคคล สิทธิ์ตามหน้าที่ และบันทึกการใช้งาน หากคลินิกของคุณต้องการระบบที่มี 2FA พร้อมใช้ สมัครใช้งาน MACLINIC ได้ทันที
