Presented at the Healthcare Technology Summit 2017 in Bangkok, Thailand on April 27, 2017

1. The Real World for Health Records
Security, Privacy & Confidentiality
นพ.นวนรรน ธีระอัมพรพันธุ์
คณะแพทยศาสตร์โรงพยาบาลรามาธิบดี มหาวิทยาลัยมหิดล
27 เม.ย. 2560SlideShare.net/Nawanan

2. 2
Disclaimers
• เนื้อหาในการบรรยายนี้ เป็นความเห็นส่วนตัวทางวิชาการของ
ผู้บรรยาย และไม่ได้สะท้อนจุดยืน มุมมอง หรือความเห็นของ
หน่วยงานที่ผู้บรรยายสังกัดหรือเกี่ยวข้องแต่อย่างใด
• การบรรยายนี้ มีวัตถุประสงค์เพื่อแลกเปลี่ยนเรียนรู้ทางวิชาการ
ไม่มีเจตนาดูหมิ่น หรือทาให้ผู้ใดเสียหาย ชื่อ สัญลักษณ์ หรือ
เครื่องหมายของบุคคลหรือองค์กรใด เป็นเพียงการให้ข้อมูล
แวดล้อมเพื่อการทาความเข้าใจกรณีศึกษาเท่านั้น ไม่ใช่การใส่
ความว่าผู้นั้นกระทาการใด อันจะทาให้ผู้นั้นเสียชื่อเสียง ถูกดู
หมิ่น หรือถูกเกลียดชัง โปรดใช้วิจารณญาณในการอ่านเนื้อหา

3. 3
Outline
• Case Studies of Security & Privacy in
Healthcare
• Security & Privacy: A Brief Review of
Concepts
• Why Healthcare Lags Behind
• Moving Forward

4. 4
What You Expect When You Think About
Security in Healthcare: Hacking Medical Devices
http://csi.wikia.com/wiki/Hack_E.R.

5. 5
What Really Happened
on Healthcare Security & Privacy Risks

6. 6
Case Studies of Security & Privacy
http://usatoday30.usatoday.com/life/people/2007-10-10-clooney_N.htm

7. 7
Case Studies of Security & Privacy

8. 8
Case Studies of Security & Privacy

9. 9
Case Studies of Security & Privacy
http://pantip.com/topic/35330409/

10. 10
Case Studies of Security & Privacy
ข้อความจริง บน
• "อาจารย์ครับ เมื่อวาน ผมออก OPD เจอ คุณ... คน
ไข้... ที่อาจารย์ผ่าไปแล้ว มา ฉายรังสีต่อที่... ตอนนี้
Happy ดี ไม่ค่อยปวด เดินได้สบาย คนไข้ฝาก
ขอบคุณอาจารย์อีกครั้ง -- อีกอย่างคนไข้ช่วงนี้ไม่ค่อย
สะดวกเลยไม่ได้ไป กทม. บอกว่าถ้าพร้อมจะไป
Follow-up กับอาจารย์ครับ"

11. 11
Case Studies of Security & Privacy
So, two informaticians
walk into a bar...
The bouncer says,
"What's the password."
One says, "Password?"
The bouncer lets them
in.
Credits: @RossMartin & AMIA (2012)

12. 12
Case Studies of Security & Privacy

13. 13
Case Studies of Security & Privacy
http://www.healthcareitnews.com/news/more-half-hospitals-hit-ransomware-last-12-months

14. 14
Case Studies of Security & Privacy
http://news.mthai.com/hot-news/world-news/453842.html

15. 15
Case Studies of Security & Privacy
http://pantip.com/topic/33678081
https://www.facebook.com/photo.php?fbid=971229119583658&set=a.379576565415586.90
794.100000897364762&type=1&theater

16. 16
Case Studies of Security & Privacy
http://manager.co.th/Entertainment/ViewNews.aspx
?NewsID=9580000076405

17. 17
เราเห็นอะไรจากตัวอย่าง Case Studies เหล่านี้
• Incidents ส่วนใหญ่ เป็นเรื่อง privacy มากกว่า
security: People are the “weakest link”
• Security attacks มักเป็น basic attacks มากกว่า
advanced, sophisticated attacks
• Insider threat และ user’s ignorance เป็นเรื่อง
สาคัญมาก

18. 18 JAMA. 2015 Apr 14;313(14).
Data Breaches ในต่างประเทศ

19. 19
Security & Privacy
http://en.wikipedia.org/wiki/A._S._Bradford_House
Security & Privacy

20. 20
Common Security Pitfalls in Healthcare
• User Security
Poor user awareness
Weak passwords
Written passwords
Unexpired passwords
Weak authen/access controls
No “Principle of Least Privilege”

21. 21
Common Security Pitfalls in Healthcare
• System Security
Unpatched servers & clients
Legacy systems
Lack of adequate anti-malware protections
Inadequate redundancies & backups
No honeypots

22. 22
Common Security Pitfalls in Healthcare
• Software Security
Customized software
No “Security by Design”
Poor software testing & SDLC quality controls
Most likely weaknesses: invalid input, XSS, SQL
injection, poor exception handling
Lack of medical device security regulations

23. 23
Common Security Pitfalls in Healthcare
• Network Security
No firewalls
Poor network design
No encryption
• Database Security
Poor access controls
• Physical Security

24. 24
Why Healthcare Lags Behind?
• IT & IT security not industry’s strengths
• Many people to deal with (and to train security
awareness)
• Lack of awareness among executives, users, and
almost everyone
• Underestimated risks
• IT often perceived as “barrier” to patient care

25. 25
ตั้งโจทย์สาหรับมองไปข้างหน้า
• “เครื่องคอมพิวเตอร์ที่ปลอดภัยที่สุด คือเครื่องคอมพิวเตอร์
ที่มี antimalware + personal firewall + fully
patched + disconnect everything + ปิดเครื่อง + ใส่ตู้
เซฟ + มี รปภ. เฝ้า 2 คน + มี CCTV 2 ตัว + มี
supervisor 2 คน เฝ้า รปภ. ผ่าน CCTV...”
-- นวนรรน ธีระอัมพรพันธุ์

26. 26
โจทย์ที่ถูกต้อง
จะ Balance Risks และ Benefits ของการเก็บ
รวบรวม ใช้ และเปิดเผยข้อมูลสุขภาพส่วนบุคคล
ของผู้ป่วยอย่างไร จึงจะ Maximize Value ต่อ
ผู้ป่วยและ Stakeholders ภายใต้ Regulatory
Compliance & Minimal Risks?

27. 27
Health Information Exchange: Trust is Key
Hospital A Hospital B
Clinic C
Government
Lab Patient at Home

28. 28
Moving Forward
• Creating networks of cybersec people in
healthcare
• Build capacity on security & privacy
• Use case studies as lessons
• Link security & privacy with bioethics
 Autonomy (Patient’s rights)
 Beneficence (Benefits to the patient)
 Non-maleficence (“First, do no harm”)

29. 29
...
What I may see or hear in the course
of treatment or even outside of the
treatment in regard to the life of men,
which on no account one must spread
abroad, I will keep myself holding
such things shameful to be spoken
about.
...
http://en.wikipedia.org/wiki/Hippocratic_Oath
Hippocratic Oath

30. 30
• พรบ.สุขภาพแห่งชาติ พ.ศ. 2550
• มาตรา 7 ข้อมูลด้านสุขภาพของบุคคล เป็นความลับส่วน
บุคคล ผู้ใดจะนาไปเปิดเผยในประการที่น่าจะทาให้บุคคลนั้น
เสียหายไม่ได้ เว้นแต่การเปิดเผยนั้นเป็นไปตามความประสงค์
ของบุคคลนั้นโดยตรง หรือมีกฎหมายเฉพาะบัญญัติให้ต้อง
เปิดเผย แต่ไม่ว่าในกรณีใด ๆ ผู้ใดจะอาศัยอานาจหรือสิทธิ
ตามกฎหมายว่าด้วยข้อมูลข่าวสารของราชการหรือกฎหมาย
อื่นเพื่อขอเอกสารเกี่ยวกับข้อมูลด้านสุขภาพของบุคคลที่ไม่ใช่
ของตนไม่ได้
Privacy Laws

31. 31
7. ผู้ป่วยมีสิทธิได้รับการปกปิดข้อมูลของตนเอง เว้นแต่
ผู้ป่วยจะให้ความยินยอมหรือเป็นการปฏิบัติตามหน้าที่
ของผู้ประกอบวิชาชีพด้านสุขภาพเพื่อประโยชน์โดยตรง
ของผู้ป่วยหรือตามกฎหมาย
คาประกาศสิทธิและข้อพึงปฏิบัติของผู้ป่วย

32. 32 http://www.ratchakitcha.soc.go.th/DATA/PDF/2560/E/088/12.PDF

33. 33
Moving Forward
• Survey of security practices in healthcare
• Engage with vendors & policymakers
• Establish security framework for healthcare-
specific technologies: medical devices, clinical
information systems
• Apply security standards (with sensibility)
• Revise health information privacy laws for better
clarifications and fostering trust

34. 34
My Last Thought
Let’s Connect & Share (Health
Information), While Respecting
Patient’s Rights and
Taking Care!