Trước các nguy cơ tiềm ẩn về an ninh mạng, Bộ Y tế đã ban hành các văn bản chỉ đạo yêu cầu các cơ sở y tế phải nâng cấp cấp độ bảo mật cho hệ thống HIS, LIS, PACS. Đây không chỉ là yêu cầu kỹ thuật mà còn là trách nhiệm pháp lý trong việc bảo vệ thông tin cá nhân của người bệnh.
1. Tại sao hệ thống y tế trở thành mục tiêu tấn công?
Dữ liệu y tế là tài sản vô cùng giá trị trên thị trường "đen" vì tính chi tiết và nhạy cảm. Việc hệ thống bị ngưng trệ không chỉ gây thiệt hại kinh tế mà còn ảnh hưởng trực tiếp đến tính mạng người bệnh khi các quy trình cấp cứu, xét nghiệm bị gián đoạn.
2. Các yêu cầu bảo mật trọng tâm theo định hướng của Bộ Y tế
Phòng Công nghệ thông tin cần tập trung triển khai các nhóm giải pháp sau:
Xác thực đa yếu tố (MFA): Loại bỏ việc chỉ sử dụng mật khẩu đơn thuần. Mọi truy cập vào hệ thống quản trị, máy chủ dữ liệu phải qua 2 lớp xác thực.
Phân quyền truy cập tối thiểu (Principle of Least Privilege): Nhân viên chỉ được cấp quyền truy cập đúng và đủ phạm vi công việc. Hệ thống phải ghi vết (Log) toàn bộ quá trình khai thác dữ liệu.
Mã hóa dữ liệu đường truyền và lưu trữ: Đảm bảo dữ liệu bệnh nhân khi truyền từ bệnh viện lên các cổng liên thông phải được mã hóa chuẩn AES-256 hoặc tương đương.
3. Chiến lược "Phòng thủ chiều sâu" cho hạ tầng IT bệnh viện
Để đảm bảo an toàn, phòng CNTT cần xây dựng kịch bản ứng phó sự cố:
Sao lưu dữ liệu ngoại biên (Offsite Backup): Thực hiện quy tắc sao lưu 3-2-1 (3 bản sao, 2 loại phương tiện lưu trữ, 1 bản lưu ở vị trí địa lý khác). Điều này giúp khôi phục hệ thống nhanh chóng nếu bị tấn công mã hóa dữ liệu.
Giám sát 24/7: Sử dụng các công cụ giám sát lưu lượng mạng để phát hiện sớm các hành vi bất thường (quét cổng, gửi dữ liệu lượng lớn ra ngoài).
Cập nhật bản vá (Patch Management): Thường xuyên cập nhật hệ điều hành và phần mềm quản lý bệnh viện để vá các lỗ hổng zero-day.
4. Đào tạo nhận thức cho nhân viên y tế
Lỗ hổng lớn nhất thường nằm ở con người. Phòng CNTT cần định kỳ tổ chức:
Hướng dẫn nhận diện email lừa đảo (Phishing).
Quy định không cắm thiết bị lưu trữ lạ (USB, ổ cứng) vào các máy tính trong mạng nội bộ bệnh viện.
Ký cam kết bảo mật thông tin đối với tất cả nhân viên có quyền truy cập hệ thống.