Network Requirements โรงพยาบาลไทย 2026 — HA / HAIT / ISO 27001
คู่มือ network admin และ SI ที่ต้องออกแบบระบบเครือข่ายรพ. ให้ผ่าน HA สธ., HAIT, ISO/IEC 27001 และ IEC 80001-1 พร้อม VLAN segmentation, redundancy และ audit checklist สำหรับ surveyor
โรงพยาบาลไทยที่กำลังเตรียมต่ออายุ HA หรือยกระดับสู่ HAIT มักเจอปัญหาเดิมซ้ำ ๆ คือทีม IT ออกแบบ network ไว้ดีแต่ surveyor ถามแล้วตอบไม่ได้ เพราะไม่ได้ map infrastructure กับมาตรฐานให้ชัด บทความนี้รวบรวมข้อกำหนดจาก 4 มาตรฐานหลักและแปลเป็น action item ที่ network admin ปฏิบัติได้จริง
1. มาตรฐานที่เกี่ยวข้อง 4 ฉบับ#
1.1 HA (Hospital Accreditation) — สรพ.#
สถาบันรับรองคุณภาพสถานพยาบาล (สรพ.) ออกมาตรฐาน HA ซึ่งครอบคลุมทุกมิติของการดำเนินงานโรงพยาบาล ด้าน IT อยู่ในหมวด ENV (Environment of Care) และ IM (Information Management) โดย surveyor จะตรวจว่าระบบข้อมูลผู้ป่วยมีความพร้อมใช้ (availability), ความถูกต้อง (integrity) และการเข้าถึงได้เฉพาะผู้มีสิทธิ์ (access control) ครบหรือไม่ EMR และ HIS ที่ล่มบ่อยจะกระทบคะแนนหมวด IM โดยตรง
1.2 HAIT — แนวทาง IT สำหรับโรงพยาบาลของ สรพ.#
HA IT และ HA IT Plus คือกรอบการประเมินความมั่นคงปลอดภัยไซเบอร์ที่ สรพ. พัฒนาร่วมกับ สพธอ. สำหรับโรงพยาบาลรัฐ ครอบคลุม access control, network security, incident response และ business continuity โดย HA IT Plus เพิ่มความเข้มข้นด้าน cyber resilience ซึ่งรวมถึงการแบ่ง network zone, patch management และ log monitoring
1.3 ISO/IEC 27001 — Information Security Management#
มาตรฐานสากลที่โรงพยาบาลเอกชนชั้นนำนำมาใช้คู่กับ HA ข้อกำหนด Annex A ที่เกี่ยวกับ network โดยตรงได้แก่ A.8.20 (network security), A.8.21 (security of network services) และ A.8.22 (segregation in networks) ซึ่งบังคับให้แบ่ง network ตาม risk classification อย่างชัดเจน
1.4 IEC 80001-1:2021 — Risk Management สำหรับ Medical Device บน Network#
มาตรฐานนี้กำหนดให้โรงพยาบาลประเมินความเสี่ยงก่อนนำ medical device ต่อเข้า network โดยมี 3 key properties ที่ต้องรักษาไว้คือ Safety (ความปลอดภัยผู้ป่วย), Effectiveness (ประสิทธิผลการรักษา) และ Security (ความมั่นคงข้อมูล) เมื่อ ventilator หรือ infusion pump เชื่อมต่อ network แล้วเกิดปัญหาด้านใดด้านหนึ่ง โรงพยาบาลต้องแสดงว่ามีกระบวนการประเมินและลด risk ล่วงหน้าแล้ว
2. VLAN Segmentation สำหรับ Network รพ.#
การแบ่ง VLAN เป็นพื้นฐานที่ surveyor ทั้ง HAIT และ ISO 27001 ตรวจทุกครั้ง ตารางด้านล่างเป็น reference model ที่ใช้ได้จริงในโรงพยาบาลขนาดกลาง (100-500 เตียง)
| VLAN ID | ชื่อ Zone | กลุ่ม Device | Security Policy |
|---|---|---|---|
| 10 | Clinical Core | EMR server, HIS, database | ปิด internet, firewall ACL เข้มงวด, เฉพาะ port ที่จำเป็น |
| 20 | PACS / Imaging | DICOM server, modality (CT/MRI/X-ray) | isolate จาก VLAN อื่น, ใช้ DICOM-only port |
| 30 | Medical IoT | Ventilator, infusion pump, patient monitor | ไม่มี internet, จำกัด peer-to-peer, NAC enforcement |
| 40 | Staff Workstation | PC แพทย์/พยาบาล, thin client | เข้า Clinical Core ผ่าน firewall rule เท่านั้น |
| 50 | Management | Network device, server OOB | เข้าได้เฉพาะ IT admin, MFA required |
| 60 | Guest / BYOD | โทรศัพท์ผู้ป่วย, ญาติ | internet-only, ห้ามเข้า VLAN 10-50 ทั้งหมด |
| 70 | VoIP | IP phone ทางการแพทย์ | QoS priority, แยก broadcast domain |
อย่า ใส่ modality (CT, MRI, ultrasound) ใน VLAN เดียวกับ Staff Workstation แม้จะสะดวกในการ share file ก็ตาม เพราะ PACS modality หลายรุ่นยังใช้ Windows รุ่นเก่าที่ไม่ได้รับ patch และจะกลายเป็น entry point ให้ ransomware แพร่กระจายทั้ง network
3. Medical Device Isolation (PACS / Ventilator / Vital Monitor)#
IEC 80001-1 กำหนดให้ทุก medical device ที่ต่อ network ต้องผ่าน risk assessment ก่อน โดยทีม IT ต้องทำงานร่วมกับ Biomedical Engineer และ vendor
ประเด็นที่พบบ่อยในโรงพยาบาลไทย:
PACS Modality อุปกรณ์ถ่ายภาพทางการแพทย์มักใช้ Windows 7 หรือ Windows XP ฝังอยู่ใน firmware ไม่สามารถ patch OS ได้โดยไม่ผ่าน vendor วิธีแก้คือ isolate ไว้ใน VLAN 20 และกำหนด ACL ให้ traffic ออกได้เฉพาะไปยัง PACS server บน port 104 (DICOM) และ 11112 เท่านั้น
Ventilator และ Infusion Pump อุปกรณ์ประเภทนี้หาก network ล่มอาจส่งผลกระทบต่อผู้ป่วยโดยตรง IEC 80001-1 กำหนดให้ต้องมี fallback mode และ local operation ที่ไม่พึ่ง network 100% ฝั่ง network admin ต้องยืนยันได้ว่า VLAN 30 มี QoS priority สูงและไม่ถูก throttle ในช่วง peak
Vital Monitor / Nurse Call System ต้องการ latency ต่ำและ uptime สูง การใส่ไว้ใน VLAN แยกพร้อม dedicated switch port ช่วยลด interference จาก broadcast traffic ของ VLAN อื่น
ใช้ 802.1X port authentication บน access switch ของ VLAN 30 เพื่อให้เฉพาะ device ที่ลงทะเบียน MAC address แล้วเท่านั้นเชื่อมต่อได้ ป้องกันการนำอุปกรณ์ส่วนตัวเสียบเข้า port ที่ใช้กับ medical device
4. Redundancy + Availability (EMR/HIS อยู่ไม่ได้ = หยุด ER)#
HA surveyor ถามชัดเจนว่า ถ้า core switch ดับกลางดึก ระบบ EMR ยังทำงานได้ไหม คำตอบที่รับได้ต้องมีหลักฐานรองรับ
โครงสร้างที่แนะนำสำหรับโรงพยาบาล 100 เตียงขึ้นไป:
- Dual core switch เชื่อมด้วย LAG (Link Aggregation) หรือ VSS/StackWise เพื่อ active-active redundancy
- Dual uplink จาก access switch ทุก floor ขึ้น core (active/standby หรือ ECMP)
- Dual ISP สำหรับโรงพยาบาลที่ใช้ cloud-based HIS หรือ telemedicine ค่าใช้จ่ายเพิ่มเล็กน้อยเทียบกับ downtime cost
- UPS sizing server room ต้องรองรับได้อย่างน้อย 30 นาทีในโหลดเต็ม (IEC/IEEE recommend ขั้นต่ำ 15 นาที แต่ในบริบทโรงพยาบาล 30 นาทีเป็น best practice) พร้อม generator backup
- Out-of-band management ผ่าน console server เพื่อให้ admin เข้าจัดการ device ได้แม้ network production ล่ม
EMR downtime procedure (DTP) ต้องมีเป็นลายลักษณ์อักษรและซ้อมปีละครั้งขึ้นไป surveyor HA จะขอดู DTP ทุกครั้งที่ตรวจหมวด IM
5. Backup + DR (HAIT Requirement, RPO/RTO ที่ Realistic)#
HAIT กำหนดให้โรงพยาบาลมีแผน business continuity ที่ครอบคลุม IT systems โดยต้องระบุ RPO (Recovery Point Objective) และ RTO (Recovery Time Objective) อย่างชัดเจน
ค่าที่ realistic สำหรับโรงพยาบาลไทยขนาดกลาง:
| ระบบ | RPO แนะนำ | RTO แนะนำ |
|---|---|---|
| EMR / HIS | ≤ 1 ชั่วโมง | ≤ 4 ชั่วโมง |
| PACS (image archive) | ≤ 24 ชั่วโมง | ≤ 8 ชั่วโมง |
| Active Directory | ≤ 15 นาที | ≤ 2 ชั่วโมง |
| Email / communication | ≤ 4 ชั่วโมง | ≤ 8 ชั่วโมง |
แนวทาง backup ที่ตรง HAIT:
- 3-2-1 rule: backup 3 ชุด บน 2 media ต่างกัน เก็บนอก site 1 ชุด
- Offsite backup: ใช้ cloud storage หรือ colocation DR site
- Backup verification: test restore อย่างน้อยไตรมาสละครั้ง บันทึก log ไว้แสดง surveyor
- PACS image ต้องเก็บไม่น้อยกว่า 5 ปี (ตาม พ.ร.บ. วิชาชีพเวชกรรม) ระวังเรื่อง storage growth plan
6. Wi-Fi + Guest Network (Visitor + BYOD แยก Clinical Zone)#
Wi-Fi เป็นจุดอ่อนที่พบบ่อยในโรงพยาบาลไทย เนื่องจากมักติดตั้ง AP เพิ่มแบบ ad-hoc โดยไม่มีการวางแผน zone
หลักการแบ่ง Wi-Fi zone:
Clinical Wi-Fi ใช้ SSID แยกเชื่อมไปยัง VLAN 40 (Staff Workstation) ต้องการ WPA3-Enterprise + 802.1X authentication กับ RADIUS server จำกัดเฉพาะ device ที่ลงทะเบียนแล้ว ห้ามใช้ Pre-Shared Key สำหรับ zone นี้
Guest / Visitor Wi-Fi SSID แยกเข้า VLAN 60 ผ่าน captive portal บันทึก log การใช้งาน (ข้อกำหนด พ.ร.บ. คอมพิวเตอร์) ไม่สามารถ route เข้า VLAN clinical ได้เลย
BYOD ของบุคลากร อุปกรณ์ส่วนตัวของแพทย์หรือพยาบาลควรอยู่ใน VLAN BYOD แยกต่างหาก เข้าถึงได้เฉพาะ application ที่กำหนด เช่น ระบบ scheduling หรือ line official ของรพ. แต่ไม่ควรเข้าถึง EMR โดยตรงผ่านช่องทางนี้
หากใช้ AP รุ่นเก่าที่รองรับได้แค่ WPA2 ให้แยก SSID clinical ออกมาใช้กับ AP รุ่นใหม่ก่อน อย่าใช้ AP ตัวเดียว multi-SSID โดยไม่ตรวจสอบว่า firmware รองรับ proper VLAN tagging แล้วหรือยัง
7. Log + Audit (HA Surveyor ถามอะไรบ้าง)#
ทั้ง HAIT และ ISO/IEC 27001 (Annex A.8.15 Logging) กำหนดให้เก็บ log และสามารถนำมาวิเคราะห์ได้ surveyor มักถามคำถามเหล่านี้:
คำถามที่ 1: ใครเข้า EMR บ้างเมื่อคืน?
ต้องมี centralized log จาก application server และ firewall ที่ระบุ user, IP, timestamp และ action ชัดเจน
คำถามที่ 2: มีการ monitor traffic ผิดปกติไหม?
HAIT IT Plus แนะนำให้มี SIEM หรืออย่างน้อย syslog server ที่รวม log จาก firewall, core switch และ server ไว้ที่เดียว
คำถามที่ 3: log เก็บนานแค่ไหน?
ISO/IEC 27001 แนะนำขั้นต่ำ 12 เดือน สำหรับโรงพยาบาลควรเก็บ 3 ปีขึ้นไปตามบริบทความเสี่ยง
คำถามที่ 4: ถ้ามีเหตุ data breach รู้ได้ยังไง?
ต้องมี alerting rule และ incident response plan ที่ระบุว่าใครรับแจ้ง, ตัดสินใจอะไร และแจ้งใครภายในกี่ชั่วโมง
ก่อน surveyor มาตรวจ ให้ทำ tabletop exercise จำลองสถานการณ์ ransomware hit HIS server แล้วให้ทีม IT เดินผ่าน incident response plan ทีละขั้นตอน บันทึกไว้เป็นหลักฐาน surveyor จะประทับใจมาก
8. สรุป + Action Priority#
สำหรับ network admin และ SI ที่ต้องเตรียมโรงพยาบาลให้ผ่านมาตรฐาน ลำดับความสำคัญที่แนะนำ:
- วาด network diagram พร้อม VLAN label และ security zone ให้ครบก่อนทุกอย่าง surveyor ขอดูทุกครั้ง
- แบ่ง VLAN ตาม reference model ข้างต้น เน้น isolate medical device (VLAN 30) และ PACS (VLAN 20) ออกจาก staff network
- ทำ risk assessment ตาม IEC 80001-1 สำหรับ medical device ทุกตัวที่ต่อ network บันทึกเป็นเอกสาร
- ยืนยัน redundancy: dual core, dual uplink, UPS 30 นาที + generator, พร้อม DTP เป็นลายลักษณ์อักษร
- ตั้ง centralized logging: syslog/SIEM เก็บ log อย่างน้อย 12 เดือน มี alert rule สำหรับ anomaly
- ทดสอบ backup restore: ทำทุกไตรมาส บันทึก log ผล
- แยก Wi-Fi zone: clinical WPA3-Enterprise, guest captive portal บน VLAN แยก
การลงทุน network ที่ถูกต้องตั้งแต่ต้นช่วยให้โรงพยาบาลผ่าน surveyor ได้โดยไม่ต้อง rework และลดความเสี่ยง downtime ที่กระทบ ER และ ICU โดยตรง
C9NETWORK มีประสบการณ์วาง network infrastructure ในโรงพยาบาลและสถานพยาบาลทั่วประเทศ พร้อม HA preparation walkthrough และ surveyor mock review ติดต่อทีมงานเพื่อประเมิน network ปัจจุบันและวางแผน compliance roadmap ที่เหมาะกับงบประมาณและ timeline ของโรงพยาบาลท่าน