NIST (Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ) đã đưa ra những thay đổi mang tính cách mạng trong quy tắc đặt mật khẩu. Những hướng dẫn mới này không chỉ giúp tăng cường bảo mật cho hệ thống dữ liệu y tế mà còn giảm bớt sự phiền toái cho người dùng cuối là các y bác sĩ và cán bộ nhân viên.
1. Tại sao các quy tắc mật khẩu cũ không còn hiệu quả?
Trước đây, chúng ta thường yêu cầu mật khẩu phải có ký tự đặc biệt, chữ hoa, số và phải thay đổi định kỳ mỗi 3-6 tháng. Tuy nhiên, NIST chỉ ra rằng:
Thay đổi định kỳ bắt buộc: Thường khiến người dùng đặt mật khẩu dễ đoán hơn (ví dụ:
Matkhau01,Matkhau02) hoặc ghi lại mật khẩu ra giấy/dán dưới bàn phím.Ký tự phức tạp: Không thực sự ngăn chặn được các cuộc tấn công của máy tính hiện đại, vốn tập trung vào tốc độ xử lý hơn là sự phức tạp của ký tự.
2. Các hướng dẫn mới từ NIST: "Dài quan trọng hơn phức tạp"
Phòng Công nghệ thông tin cần cập nhật các tiêu chuẩn sau vào chính sách bảo mật nội bộ:
Ưu tiên độ dài (Passphrases): Khuyến khích sử dụng cụm mật khẩu dài (ít nhất 12-15 ký tự). Một câu nói dài dễ nhớ nhưng lại cực kỳ khó bị máy tính bẻ khóa hơn là một chuỗi ký tự ngắn và phức tạp.
Loại bỏ quy tắc thay đổi định kỳ: Chỉ yêu cầu người dùng đổi mật khẩu khi có dấu hiệu bị lộ hoặc bị tấn công. Điều này giúp nhân viên y tế tập trung vào việc duy trì một mật khẩu mạnh và ổn định.
Cho phép "Dán" mật khẩu (Copy-Paste): Khuyến khích sử dụng các trình quản lý mật khẩu (Password Managers). Việc cho phép dán mật khẩu giúp người dùng sử dụng được các chuỗi ký tự dài và ngẫu nhiên mà không sợ quên.
Không giới hạn loại ký tự: Không nên bắt buộc phải có chữ hoa, chữ thường hay ký tự đặc biệt theo một khuôn mẫu cố định.
3. Nhiệm vụ của phòng Công nghệ thông tin tại đơn vị
Để triển khai tiêu chuẩn NIST vào môi trường y tế, bộ phận IT cần:
Cấu hình lại hệ thống HIS/EMR: Điều chỉnh các quy tắc kiểm tra mật khẩu (Password validation) để ưu tiên độ dài thay vì độ phức tạp.
Kiểm tra theo danh sách "đen": Hệ thống nên tự động từ chối các mật khẩu quá phổ biến, dễ đoán hoặc nằm trong các danh sách mật khẩu đã bị rò rỉ (breached passwords).
Triển khai Xác thực đa yếu tố (MFA): Đây là khuyến nghị quan trọng nhất. Ngay cả khi mật khẩu bị lộ, lớp bảo mật thứ hai (như mã OTP qua điện thoại hoặc khóa bảo mật vật lý) vẫn sẽ bảo vệ được dữ liệu bệnh nhân.
4. Lợi ích đối với nhân viên y tế
Giảm áp lực ghi nhớ: Việc không phải đổi mật khẩu liên tục giúp giảm sự quá tải về trí nhớ cho bác sĩ và điều dưỡng trong ca trực.
Nâng cao trải nghiệm người dùng: Đăng nhập nhanh chóng, ổn định giúp quá trình cấp cứu và điều trị diễn ra thông suốt hơn.