คู่มือการปรับปรุงการป้องกันทางไซเบอร์ของการปฏิบัติทางทันตกรรม

การปฏิบัติทางทันตกรรมกำลังพึ่งพาเทคโนโลยีมากขึ้น และด้วยเหตุนี้จึงเพิ่มความเสี่ยงที่จะถูกโจมตีทางไซเบอร์

ขั้นตอนแรกในการปกป้องการปฏิบัติทางทันตกรรมของคุณจากการโจมตีทางไซเบอร์คือการทำความเข้าใจความเสี่ยง คู่มือนี้จัดทำขึ้นเพื่อช่วยในการระบุความเสี่ยงที่อาจเกิดขึ้นและพัฒนาแผนการรักษาความปลอดภัยทางไซเบอร์ที่เหมาะสม อาชญากรไซเบอร์มีความซับซ้อนมากขึ้นเรื่อยๆ และสามารถกำหนดเป้าหมายการปฏิบัติทางทันตกรรมที่มีช่องโหว่ได้ดียิ่งขึ้น โดยใช้เทคนิคที่หลากหลาย รวมถึงฟิชชิง มัลแวร์ และแรนซัมแวร์ การโจมตีเหล่านี้อาจไม่มีใครสังเกตเห็นเป็นเวลาหลายปีจนกว่าการฝึกฝนจะถูกประนีประนอม

อย่างไรก็ตาม มีความเป็นไปได้ที่จะลดความเสี่ยงของการโจมตีทางไซเบอร์โดยทำตามขั้นตอนง่ายๆ หลายขั้นตอน คู่มือนี้จะให้คำแนะนำด้านความปลอดภัยทางไซเบอร์ที่นำไปใช้ได้จริงซึ่งคุณสามารถนำไปใช้ในการปกป้องข้อมูลของคุณได้ทันที

อะไรคือภัยคุกคามที่พบบ่อยที่สุดต่อการปฏิบัติทางทันตกรรม?

จากการวิเคราะห์เพื่อบรรลุเป้าหมายของ Ponemon Instituteในปี 2017 ค่าใช้จ่ายเฉลี่ยของการละเมิดข้อมูลอยู่ที่ 3.62 ล้านดอลลาร์ สถาบัน Ponemon ยังรายงานด้วยว่าอุตสาหกรรมการดูแลสุขภาพประสบกับการโจมตีทางไซเบอร์มากที่สุดในอุตสาหกรรมอื่นๆ การปฏิบัติทางทันตกรรมไม่มีภูมิคุ้มกันต่อการโจมตีทางไซเบอร์และการละเมิดข้อมูล

อันที่จริงการศึกษาโดย ศูนย์ข้อมูลการโจรกรรมข้อมูลประจำตัว พบว่าในปี 2021 จำนวนการละเมิดข้อมูลโดยรวม (1,862) เพิ่มขึ้นมากกว่าร้อยละ 68 จากปีก่อนหน้า ซึ่งสร้างสถิติใหม่เหนือสถิติสูงสุดตลอดกาลครั้งก่อนหน้าที่บันทึกไว้ในปี 2017 (1506 ราย) อาชญากรรมไซเบอร์ที่เกี่ยวข้องกับแรนซัมแวร์เพิ่มขึ้นเป็นสองเท่าในปีต่อๆ มาตั้งแต่ปี 2020 ในอัตราที่มากขึ้น การโจมตีของแรนซัมแวร์คาดว่าจะแซงหน้าฟิชชิงซึ่งเป็นสาเหตุหลักของการละเมิดข้อมูลในปี 2022

ต่อไปนี้เป็นตัวอย่างของภัยคุกคามทางไซเบอร์ทั่วไปต่อการปฏิบัติทางทันตกรรม:

มัลแวร์ที่มากับอีเมล

ประมาณ 30% ของการละเมิดข้อมูลเกิดจากมัลแวร์ที่มากับอีเมล มัลแวร์ประเภทนี้สามารถดาวน์โหลดได้จากเว็บไซต์ฟิชชิ่ง และซอฟต์แวร์ที่เป็นอันตรายสามารถแพร่ระบาดในคอมพิวเตอร์ผ่านไฟล์แนบอีเมลหรือลิงก์

การโจมตีแบบฟิชชิ่ง

การโจมตีแบบฟิชชิ่งหรือที่เรียกว่าการโจมตีแบบ "หอกฟิชชิ่ง" คือความพยายามที่จะรับข้อมูลที่ละเอียดอ่อน เช่น รหัสผ่าน หมายเลขบัตรเครดิต และหมายเลขประจำตัวส่วนบุคคล โดยการส่งอีเมลที่ดูเหมือนว่ามาจากแหล่งที่ถูกต้อง

ransomware

การโจมตีของแรนซัมแวร์กลายเป็นเรื่องปกติมากขึ้นกับภัยคุกคามของอาชญากรไซเบอร์ที่มุ่งเป้าไปที่การปฏิบัติทางทันตกรรม การโจมตีเหล่านี้มีแนวโน้มที่จะส่งผลกระทบต่อสำนักงานขนาดเล็กและการปฏิบัติที่ไม่มีเทคโนโลยีคอมพิวเตอร์ที่แข็งแกร่ง เนื่องจากอาจตรวจพบและแก้ไขได้ยาก

สปายแวร์มัลแวร์

ข้อมูลนี้สามารถแพร่กระจายผ่านแฟลชไดรฟ์ USB และสื่อพกพาอื่นๆ สามารถติดตั้งผ่านไฟล์แนบอีเมลหรือลิงก์ที่ติดไวรัส

ส่วนขยายเบราว์เซอร์ที่เป็นอันตราย

ส่วนขยายเบราว์เซอร์ที่เป็นอันตรายนี้มักเป็นประเภทของแอดแวร์ที่ซ่อนแถบ URL และแทนที่ด้วยโฆษณา การเปลี่ยนเส้นทาง หรือโฆษณาที่ไม่ต้องการอื่นๆ

ไวรัส

ไวรัสเป็นซอฟต์แวร์ที่เป็นอันตรายประเภทหนึ่งที่สามารถสร้างความเสียหายให้กับคอมพิวเตอร์หรืออุปกรณ์อิเล็กทรอนิกส์โดยการทำลายไฟล์ การแพร่กระจายในเครือข่าย หรือแม้กระทั่งโดยการเปลี่ยนแปลงระบบปฏิบัติการ

พยาธิ

เวิร์มเป็นมัลแวร์ประเภทหนึ่งที่แพร่กระจายโดยการจำลองตัวเองผ่านคอมพิวเตอร์เครื่องอื่นบนอินเทอร์เน็ต เวิร์มสามารถเขียนขึ้นเพื่อใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยและเผยแพร่โดยใช้กลวิธีทางวิศวกรรมสังคม เทคนิคการแสวงหาประโยชน์จากเครือข่าย หรือทางอีเมล

แนวทางปฏิบัติที่ดีที่สุดสำหรับการปฏิบัติทางทันตกรรมของคุณเพื่อปกป้องข้อมูลของคุณ

ใช้แอพที่ปลอดภัย

ดาวน์โหลดและใช้แอพจากร้านค้าอย่างเป็นทางการเท่านั้น หากไม่ต้องการแล้ว ให้ลบแอปออกให้หมด

เนื่องจากร้านแอปอย่างเป็นทางการ (Apple App Store หรือ Google Play Store) กำหนดให้แอปต้องมีการควบคุมอย่างน้อยระดับหนึ่งก่อนจะได้รับอนุญาตให้นำเสนอที่นั่น ความน่าจะเป็นของความเสี่ยงด้านความปลอดภัยจะลดลงอย่างมาก 

อย่างไรก็ตาม ให้โหลดเฉพาะแอปบนอุปกรณ์ที่คุณต้องการจริงๆ และถอนการติดตั้งแอปทั้งหมดที่คุณไม่ต้องการอีกต่อไปให้สมบูรณ์ที่สุด

ติดตั้งแอปเวอร์ชันปัจจุบันเสมอ

ติดตั้งการอัปเดตทันทีเพื่อหลีกเลี่ยงช่องโหว่

เช่นเดียวกับระบบปฏิบัติการ การอัปเดตมักจะมีแพตช์ความปลอดภัยล่าสุดนอกเหนือจากฟังก์ชันใหม่ เพื่อให้สามารถปิดช่องว่างด้านความปลอดภัยที่อาจมีอยู่ก่อนหน้านี้ได้

การจัดเก็บข้อมูลแอปในพื้นที่อย่างปลอดภัย

ใช้เฉพาะแอพที่เข้ารหัสเอกสารและบันทึกไว้ในเครื่อง

โปรดทราบว่าหากเป็นไปได้ จะไม่มีข้อมูลใดถูกเก็บไว้ในคลาวด์ สร้างข้อมูลสำรองของอุปกรณ์มือถือของคุณและใช้ตัวเลือกที่ระบบปฏิบัติการเสนอให้เพื่อสร้างข้อมูลสำรองที่เข้ารหัสและบันทึกเฉพาะในอุปกรณ์ที่อยู่ภายใต้การควบคุมของคุณเอง หลีกเลี่ยงการใช้ข้อมูลสำรองในระบบคลาวด์ แม้ว่าจะนำเสนอในรูปแบบที่เข้ารหัสก็ตาม

ห้ามส่งข้อมูลที่เป็นความลับผ่านแอพ

เพื่อป้องกันการรั่วไหลของข้อมูลที่เป็นความลับที่ไม่พึงประสงค์ ให้ใช้การตั้งค่าการป้องกันข้อมูลที่เข้มงวดที่สุดเท่าที่จะเป็นไปได้ ซึ่งไม่มีการควบคุมการเข้าถึงข้อมูลที่ละเอียดอ่อนอื่น ๆ บนสมาร์ทโฟน (เช่น การเข้าถึงสมุดที่อยู่ทั่วไป และข้อมูลติดต่อที่จัดเก็บไว้ทั้งหมด ภาพถ่าย อัลบั้ม เป็นต้น) ไม่สามารถป้องกันได้ ห้ามใช้

สิ่งนี้ยังใช้กับผู้ส่งข้อความทั่วไปและแอพโซเชียลมีเดียเป็นต้น

ไม่มีการจัดเก็บข้อมูลส่วนบุคคลบนคลาวด์

ไม่ใช้ที่เก็บข้อมูลบนคลาวด์ที่รวมอยู่ในผลิตภัณฑ์ Office เพื่อจัดเก็บข้อมูลส่วนบุคคล

อีกครั้ง ละเว้นจากการใช้ที่เก็บข้อมูลบนคลาวด์ โดยเฉพาะอย่างยิ่งเมื่อพูดถึงข้อมูลส่วนบุคคล ข้อมูลนี้จะต้องไม่ถูกจัดเก็บไว้ในระบบคลาวด์โดยปราศจากพื้นฐานทางกฎหมายและข้อกำหนดที่กำหนดไว้ที่นั่น

การรับรองความถูกต้องสำหรับเว็บแอปพลิเคชัน

ใช้เฉพาะแอปพลิเคชันอินเทอร์เน็ตที่รักษาความปลอดภัยในการเข้าถึงของคุณเท่านั้น (หน้าเข้าสู่ระบบและกระบวนการ รหัสผ่าน บัญชีผู้ใช้ ฯลฯ)

เพื่อจุดประสงค์นี้ อย่างน้อยควรมีการป้องกันด้วยการเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่าน หากมีข้อเสนอนี้ พวกเขาควรเปิดใช้งานสิ่งที่เรียกว่า "การตรวจสอบสิทธิ์แบบสองปัจจัย" ซึ่งต้องใช้คุณลักษณะความปลอดภัยที่สองนอกเหนือจากการป้อนรหัสผ่าน ซึ่งมักจะเป็น PIN ที่ส่งผ่านแอปแยกต่างหากไปยังอุปกรณ์ที่เชื่อถือได้ซึ่งระบุไว้ก่อนหน้านี้ (สมาร์ทโฟน แท็บเล็ต พีซี) หรือเป็น SMS ไปยังหมายเลขโทรศัพท์มือถือที่คุณได้จัดเก็บไว้ก่อนหน้านี้

วิธีการที่ปลอดภัยเป็นพิเศษคือการลงทะเบียนผ่านสมาร์ทการ์ด (เช่น e-dentist card, ZOD card, SMC-B) ซึ่งแสดงถึงการตรวจสอบสิทธิ์แบบสองปัจจัย เนื่องจากอยู่ในมือข้างหนึ่งมีสมาร์ทการ์ดที่เหมาะสมและในอีกทางหนึ่ง จำเป็นต้องมี PIN ที่เกี่ยวข้อง

ห้ามตั้งค่าหรืออนุญาตการเข้าถึงอัตโนมัติหรือเรียกใช้แอปพลิเคชันเว็บ

การเข้าถึงอินเทอร์เน็ตควรมีการไตร่ตรองและควบคุมอยู่เสมอ ดังนั้นไม่ว่ากรณีใดๆ ก็ตาม ไม่อนุญาตให้แอปพลิเคชันที่ดาวน์โหลดหรือแอปพลิเคชันอื่นๆ เข้าถึงเว็บแอปพลิเคชันโดยอัตโนมัติ

กำหนดสิทธิ์และการเข้าถึงต่อกลุ่มคนและต่อคน

ให้ความสนใจเป็นพิเศษกับการมอบหมายที่ชัดเจนเมื่อแชร์โฟลเดอร์ในเครือข่าย กำหนดเฉพาะโฟลเดอร์ที่จำเป็นสำหรับบุคคลหรือกลุ่มเท่านั้น และจำกัดโฟลเดอร์ที่กำหนดเพิ่มเติม กำหนดสิทธิ์ (อ่าน เขียน ลบ…) ที่บุคคลหรือกลุ่มบุคคลมีสิทธิ

ผู้ให้บริการข้อมูลที่ถอดได้ต้องได้รับการตรวจสอบหามัลแวร์ด้วยโปรแกรมป้องกันที่ทันสมัยทุกครั้งที่ใช้งาน

หากคุณใช้สื่อแบบถอดได้ เช่น แท่ง USB ให้ตรวจสอบกับซอฟต์แวร์ป้องกันไวรัสที่ติดตั้งบนคอมพิวเตอร์ของคุณก่อนใช้งานในแต่ละครั้ง โดยเฉพาะอย่างยิ่งหากมีการแลกเปลี่ยนระหว่างระบบต่างๆ และก่อนส่งต่อ

ลบผู้ให้บริการข้อมูลทุกครั้งอย่างปลอดภัยและสมบูรณ์หลังการใช้งาน คอมพิวเตอร์ของคุณมีตัวเลือกมากมายสำหรับสิ่งนี้

ขึ้นอยู่กับระบบปฏิบัติการที่คุณใช้ คุณมีตัวเลือกมากมายที่นี่ ด้วยความช่วยเหลือของแอปพลิเคชันพิเศษเพิ่มเติม การลบอย่างเข้มข้นที่อาจจำเป็นสามารถทำได้เนื่องจากกระบวนการลบ "ปกติ" มักจะไม่ลบข้อมูลเอง แต่จะมีเพียงการอ้างอิงเท่านั้นเพื่อไม่ให้แสดงอีกต่อไป โดยระบบ 

อย่างไรก็ตาม ข้อมูลสามารถกู้คืนได้ค่อนข้างง่ายเมื่อเทียบกับโปรแกรมบางโปรแกรมที่มีให้ใช้ฟรี โปรแกรมลบที่เหมาะสมมักจะเขียนทับข้อมูลที่จะลบหลายครั้งเพื่อไม่ให้กู้คืนในภายหลัง

ต้องใช้การรับรองความถูกต้องที่เหมาะสมสำหรับการเข้าถึงส่วนประกอบเครือข่ายและข้อมูลการจัดการ

ส่วนประกอบที่ใช้ในเครือข่าย เช่น ไฟร์วอลล์ เราเตอร์ สวิตช์ ฯลฯ อย่างน้อยต้องได้รับการปกป้องด้วยรหัสผ่านที่ปลอดภัย การเข้าถึงอุปกรณ์เหล่านี้และการกำหนดค่าหรือข้อมูลที่เก็บไว้จะต้องไม่สามารถทำได้หากไม่มีรหัสผ่านหรือการตรวจสอบความปลอดภัยอื่น ๆ

การสำรองข้อมูลและการกู้คืนจากภัยพิบัติ

การสำรองข้อมูลและการกู้คืนจากความเสียหายเป็นส่วนสำคัญของการรักษาความปลอดภัย ข้อมูลสำรองควรเก็บไว้ในที่ต่างกันอย่างน้อยสองหรือสามแห่ง ไม่เพียงแต่ระบบสำรองข้อมูลจะต้องได้รับการปกป้องเท่านั้น แต่ยังรวมถึงไฟล์ที่สำรองข้อมูลไว้ด้วย เพื่อให้คุณสามารถกู้คืนได้หากจำเป็น

นโยบายและขั้นตอนความปลอดภัย

นโยบายและขั้นตอนความปลอดภัยควรอธิบายรายละเอียดว่าทรัพย์สินข้อมูลขององค์กรได้รับการปกป้องอย่างไร นโยบายและขั้นตอนปฏิบัติควรจัดทำเป็นเอกสาร อนุมัติ และปรับปรุงอย่างน้อยทุกปี

ความปลอดภัยทางกายภาพ

การเข้าถึงระบบคอมพิวเตอร์ทางกายภาพต้องได้รับการควบคุมอย่างใกล้ชิด ประตูทุกบานจะต้องล็อค ควรใช้การ์ดและกุญแจ และห้องพักทุกห้องควรมีแสงสว่างเพียงพอและมีแสงธรรมชาติเพียงพอในการดูข้อมูล

ความปลอดภัยทางอิเล็กทรอนิกส์

ระบบคอมพิวเตอร์และบริการเครือข่ายทั้งหมดต้องมีมาตรการรักษาความปลอดภัยที่เหมาะสม ผู้ใช้ทุกคนควรใช้ชื่อล็อกอินและรหัสผ่านของตนเอง นโยบายและขั้นตอนการรักษาความปลอดภัยของข้อมูลจะต้องรวมเข้ากับความพยายามในการจัดการความเสี่ยงโดยรวมขององค์กร ซึ่งรวมถึงฝ่ายทรัพยากรบุคคล การรักษาความปลอดภัยทางกายภาพ การวางแผนความต่อเนื่องทางธุรกิจ และการกู้คืนจากภัยพิบัติ

สรุป

การรักษาความปลอดภัยคอมพิวเตอร์ที่ดีที่สุดทำได้โดยใช้วิธีการแบบเลเยอร์เพื่อรักษาความปลอดภัยข้อมูล แต่ละชั้นมีชุดการควบคุมที่แตกต่างกันเพื่อให้แน่ใจว่าข้อมูลสามารถเข้าถึงได้และใช้อย่างปลอดภัย แต่แต่ละชั้นมีช่องโหว่ของตัวเอง

สิ่งสำคัญคือต้องตระหนักถึงช่องโหว่เหล่านี้และใช้มาตรการควบคุมที่เหมาะสมตามที่แชร์ไว้ข้างต้น สิ่งสำคัญคือต้องมีนโยบายด้านความปลอดภัยที่เข้มแข็งและมั่นคง เพราะจะช่วยปกป้องทรัพย์สินทั้งหมดขององค์กร นโยบายการรักษาความปลอดภัยที่ดีจะช่วยให้ทันตแพทย์รักษาสภาพแวดล้อมเครือข่ายที่ปลอดภัยและเชื่อถือได้

ทันตแพทย์ควรใช้มาตรการป้องกันที่จำเป็นเพื่อปกป้องการปฏิบัติทางทันตกรรมของตนจากอาชญากรรมทางอินเทอร์เน็ต ซึ่งรวมถึงการใช้รหัสผ่านที่รัดกุม การอัปเดตซอฟต์แวร์อย่างสม่ำเสมอ และการฝึกอบรมพนักงานเกี่ยวกับแนวทางปฏิบัติที่ดีที่สุด โดยการปฏิบัติตามคำแนะนำในบทความนี้ ผู้ปฏิบัติงานสามารถช่วยลดความเสี่ยงของการละเมิดทางไซเบอร์และเก็บข้อมูลของผู้ป่วยให้ปลอดภัย