สิทธิ์ผู้ใช้งานคลินิก กำหนดตามบทบาทให้ปลอดภัยและทำงานคล่อง
ถ้าทุกคนในคลินิกใช้รหัสเดียวกันและเห็นทุกอย่าง ความเสี่ยงทั้งด้านข้อมูลผู้ป่วยและด้านการเงินจะสูงมาก บทความนี้อธิบายหลักการกำหนดสิทธิ์ตามบทบาท พร้อมตารางตัวอย่างที่นำไปปรับใช้ได้
ในคลินิกจำนวนไม่น้อย ทุกคนใช้รหัสผ่านเดียวกันเข้าระบบ และทุกคนเห็นข้อมูลทุกอย่าง ตั้งแต่บันทึกการตรวจของแพทย์ไปจนถึงรายได้ทั้งเดือน วิธีนี้ดูสะดวกแต่มีความเสี่ยงสูงทั้งด้านความเป็นส่วนตัวของผู้ป่วยและด้านการเงิน การกำหนดสิทธิ์ผู้ใช้งานคลินิกตามบทบาทช่วยให้แต่ละคนเห็นและทำได้เท่าที่งานของตนต้องใช้ บทความนี้อธิบายหลักการ ตัวอย่างการแบ่งสิทธิ์ และกติกาที่ต้องมีคู่กัน
ทำไมต้องแบ่งสิทธิ์ ทั้งที่ทุกคนไว้ใจกันได้
การแบ่งสิทธิ์ไม่ได้แปลว่าไม่ไว้ใจทีมงาน แต่เป็นการปกป้องทั้งผู้ป่วย คลินิก และตัวพนักงานเอง เหตุผลหลักมีดังนี้
- ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหว: ตาม พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 คลินิกต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม การจำกัดการเข้าถึงเป็นมาตรการพื้นฐานที่สำคัญ ศึกษาแนวทางได้จากสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล
- ลดความผิดพลาด: พนักงานที่ไม่มีสิทธิ์แก้ราคาหรือลบใบเสร็จ ก็ไม่มีทางกดผิดโดยไม่ตั้งใจ
- ป้องกันการทุจริต: คนที่รับเงินไม่ควรเป็นคนเดียวกับที่ยกเลิกรายการได้โดยไม่มีใครเห็น
- พิสูจน์ความบริสุทธิ์ใจได้: เมื่อเกิดปัญหา ระบบที่แยกบัญชีรายบุคคลช่วยยืนยันได้ว่าใครทำอะไร พนักงานที่ไม่เกี่ยวข้องไม่ต้องถูกสงสัย
หลักการกำหนดสิทธิ์ผู้ใช้งานคลินิก
มีหลักการสองข้อที่ใช้กันแพร่หลายในงานความปลอดภัยข้อมูล และเหมาะกับคลินิกทุกขนาด
- ให้สิทธิ์น้อยที่สุดเท่าที่จำเป็น (Least privilege): เริ่มจากไม่มีสิทธิ์ แล้วเพิ่มเฉพาะสิ่งที่งานต้องใช้ ไม่ใช่เริ่มจากเห็นทุกอย่างแล้วค่อยตัดออก
- แยกหน้าที่ (Separation of duties): งานที่มีความเสี่ยงสูง เช่น การยกเลิกใบเสร็จ หรือการปรับปรุงสต็อกยา ควรมีคนทำและคนตรวจคนละคน
ในทางปฏิบัติ คลินิกไม่ต้องกำหนดสิทธิ์รายคนทีละข้อ แต่ใช้ "บทบาท" เป็นกลุ่มสิทธิ์สำเร็จรูป แล้วกำหนดบทบาทให้แต่ละคน เมื่อพนักงานเปลี่ยนตำแหน่ง ก็เพียงเปลี่ยนบทบาท วิธีนี้ทำให้สิทธิ์สอดคล้องกันและตรวจสอบง่าย
ตัวอย่างการแบ่งสิทธิ์ตามบทบาท
ตารางนี้เป็นแนวทางตัวอย่างสำหรับคลินิกทั่วไป แต่ละคลินิกควรปรับตามโครงสร้างงานจริง เช่น คลินิกเล็กที่เจ้าหน้าที่คนเดียวทำทั้งเคาน์เตอร์และรับเงิน
| งาน | เจ้าของ | แพทย์ | เจ้าหน้าที่ | แคชเชียร์ |
|---|---|---|---|---|
| ลงทะเบียนผู้ป่วยและเปิด Visit | ได้ | ได้ | ได้ | ตามความจำเป็น |
| บันทึกซักประวัติและสัญญาณชีพ | ได้ | ได้ | ได้ (เฉพาะผู้ที่ได้รับมอบหมาย) | ไม่ควร |
| วินิจฉัยและสั่งยา | ตามวิชาชีพ | ได้ | ไม่ได้ | ไม่ได้ |
| เปิดอ่านบันทึกการตรวจ | ตามความจำเป็น | ได้ | เฉพาะส่วนที่ใช้ในงาน | ไม่ควร |
| เก็บเงินและออกใบเสร็จ | ได้ | ไม่จำเป็น | ตามที่มอบหมาย | ได้ |
| ดูรายงานรายได้และค่า DF | ได้ | เฉพาะของตนเอง | ไม่ควร | เฉพาะยอดกะของตน |
| ตั้งค่าระบบและจัดการผู้ใช้ | ได้ | ไม่ควร | ไม่ควร | ไม่ควร |
สังเกตว่าแม้แต่เจ้าของก็ควรเปิดอ่านบันทึกการตรวจเฉพาะเมื่อมีความจำเป็น หากเจ้าของไม่ใช่แพทย์ผู้รักษา หลักนี้สะท้อนว่าการเข้าถึงข้อมูลสุขภาพควรผูกกับเหตุผลในการดูแลผู้ป่วย ไม่ใช่ผูกกับตำแหน่ง
ขั้นตอนตั้งค่าสิทธิ์ครั้งแรกให้เสร็จในวันเดียว
คลินิกที่ยังไม่เคยแบ่งสิทธิ์มาก่อน สามารถจัดระเบียบสิทธิ์ผู้ใช้งานคลินิกให้เรียบร้อยได้ภายในวันเดียว ถ้าทำตามลำดับนี้
- ทำรายชื่อทุกคนที่ใช้ระบบ: รวมแพทย์พาร์ทไทม์และพนักงานชั่วคราว ระบุงานที่แต่ละคนทำจริงในแต่ละวัน
- จับคู่คนกับบทบาท: เลือกบทบาทที่ตรงกับงานหลักของแต่ละคน ถ้าคนเดียวทำหลายหน้าที่ ให้ใช้บทบาทที่ครอบคลุมงานโดยไม่เกินจำเป็น
- จัดการกรณีพิเศษ: เช่น เจ้าของที่เป็นแพทย์ผู้ตรวจด้วย หรือพนักงานที่ช่วยทั้งเคาน์เตอร์และรับเงิน ตกลงให้ชัดว่าใครเป็นผู้ตรวจทานงานเสี่ยงแทน
- ทดสอบด้วยการเข้าระบบจริง: ให้แต่ละบทบาทลองทำงานประจำวันหนึ่งรอบ ดูว่าทำงานได้ครบและไม่เห็นข้อมูลเกินจำเป็น
- บันทึกเป็นเอกสาร: เขียนตารางบทบาทและสิทธิ์ไว้ ใช้อ้างอิงเวลามีพนักงานใหม่และเวลาทบทวนประจำไตรมาส
เอกสารสั้น ๆ นี้ยังเป็นหลักฐานที่ดีว่าคลินิกได้วางมาตรการด้านการเข้าถึงข้อมูลไว้อย่างเป็นระบบ หากมีผู้ตรวจสอบหรือมีข้อร้องเรียนในอนาคต การทบทวนสิทธิ์ผู้ใช้งานคลินิกเป็นระยะจึงควรอยู่ในปฏิทินงานของผู้จัดการ
กติกาบัญชีผู้ใช้ที่ต้องมีคู่กับสิทธิ์
การแบ่งสิทธิ์จะไม่มีความหมายถ้าบัญชีผู้ใช้ยังถูกใช้ร่วมกัน หรือถูกทิ้งไว้หลังพนักงานลาออก กติกาพื้นฐานที่ควรประกาศให้ทุกคนรู้
- หนึ่งคนหนึ่งบัญชี ห้ามใช้บัญชีหรือรหัสผ่านร่วมกัน
- เปิดใช้การยืนยันตัวตนสองชั้น อย่างน้อยกับบัญชีเจ้าของและบัญชีที่ดูข้อมูลการเงิน ดูวิธีใน ยืนยันตัวตนสองชั้น (2FA)
- ออกจากระบบเมื่อลุกจากเครื่อง และตั้งให้ระบบหมดเวลาใช้งานอัตโนมัติ
- ปิดบัญชีทันทีในวันที่พนักงานลาออก และปรับบทบาทเมื่อย้ายตำแหน่ง อ่านขั้นตอนละเอียดใน จัดการบัญชีผู้ใช้พนักงาน เข้าใหม่ ย้าย ลาออก
- ทบทวนรายชื่อผู้ใช้และบทบาททุกไตรมาส ว่ายังตรงกับคนที่ทำงานอยู่จริงหรือไม่
เคล็ดลับ: ถ้าพนักงานบ่นว่า "ไม่มีสิทธิ์ทำ" บ่อย ๆ อย่ารีบเพิ่มสิทธิ์ทั้งหมดให้ ลองถามก่อนว่าต้องการทำงานอะไร แล้วพิจารณาว่าควรเพิ่มสิทธิ์เฉพาะเรื่องนั้น หรือควรให้คนที่มีหน้าที่โดยตรงทำแทน
ตรวจสอบย้อนหลังได้ และการตั้งค่าใน MACLINIC
สิทธิ์เป็นการป้องกันล่วงหน้า ส่วนการตรวจสอบย้อนหลังช่วยให้รู้ว่ามีการใช้สิทธิ์อย่างเหมาะสมหรือไม่ ระบบที่ดีควรบันทึกว่าใครเปิดดูข้อมูลผู้ป่วยรายใด แก้ไขหรือลบอะไร และส่งออกข้อมูลเมื่อไร รายละเอียดเพิ่มเติมอ่านได้ใน Audit log คืออะไร ทำไมคลินิกต้องมี
ใน MACLINIC ผู้ใช้แต่ละคนมีบัญชีของตัวเองและถูกกำหนดสิทธิ์ตามบทบาท ได้แก่ เจ้าของ แพทย์ เจ้าหน้าที่ และแคชเชียร์ ข้อมูลของแต่ละคลินิกถูกแยกจากกัน และถ้ามีหลายสาขา บุคลากรของแต่ละสาขาก็แยกกันด้วย ระบบบันทึก Audit log ทั้งการเปิดดู แก้ไข ลบ ส่งออก และการเข้าสู่ระบบที่ล้มเหลว รองรับการยืนยันตัวตนสองชั้นด้วยแอป Authenticator และหมดเวลาใช้งานอัตโนมัติเมื่อไม่มีการใช้งาน นอกจากนี้เลขบัตรประชาชนของผู้ป่วยยังถูกเข้ารหัสในฐานข้อมูล
สรุป
การกำหนดสิทธิ์ผู้ใช้งานคลินิกตามบทบาทเป็นมาตรการพื้นฐานที่ปกป้องข้อมูลผู้ป่วย ลดความผิดพลาด และป้องกันปัญหาการเงิน เริ่มจากหลักให้สิทธิ์น้อยที่สุดเท่าที่จำเป็น แยกหน้าที่ในงานเสี่ยง ใช้บัญชีรายบุคคลพร้อมการยืนยันตัวตนสองชั้น และตรวจสอบย้อนหลังได้ด้วย Audit log หากต้องการระบบที่แบ่งสิทธิ์ตามบทบาทได้ตั้งแต่วันแรก สมัครใช้งาน MACLINIC ได้เลย
