Bệnh viện: Dữ liệu bệnh án và bài toán bảo mật chưa có lời giải
Chuyển đổi số đang giúp ngành y tế nâng cao chất lượng khám chữa bệnh, từ bệnh án điện tử, hồ sơ sức khỏe số đến xác thực bằng dữ liệu sinh trắc học. Tuy nhiên, càng nhiều dữ liệu được số hóa thì nguy cơ mất an toàn thông tin càng lớn.
Một vụ rò rỉ dữ liệu bệnh án không chỉ gây thiệt hại về tài chính mà còn ảnh hưởng nghiêm trọng đến quyền riêng tư của người bệnh, uy tín bệnh viện và có thể kéo theo trách nhiệm pháp lý theo Nghị định 356.
Dữ liệu y tế là loại dữ liệu nhạy cảm nhất
Khác với dữ liệu thông thường, hồ sơ y tế chứa gần như toàn bộ thông tin cá nhân của một người.
Bao gồm:
- Hồ sơ khám chữa bệnh
- Tiền sử bệnh
- Kết quả xét nghiệm
- Hình ảnh chẩn đoán
- Dữ liệu sinh trắc học
- Thông tin bảo hiểm
- Đơn thuốc
- Thông tin thanh toán
Những dữ liệu này nếu bị lộ sẽ gần như không thể thay đổi giống như mật khẩu hay số điện thoại.
Đó cũng là lý do dữ liệu bệnh án được xếp vào nhóm dữ liệu cá nhân nhạy cảm và chịu yêu cầu bảo vệ ở mức cao nhất.
Vì sao bệnh viện đang trở thành mục tiêu của tội phạm mạng?
Các bệnh viện hiện nay lưu trữ khối lượng dữ liệu khổng lồ nhưng lại vận hành trên nhiều hệ thống khác nhau.
Ví dụ:
- HIS
- LIS
- PACS
- EMR/EHR
- Hệ thống đặt lịch
- Cổng thanh toán
- Thiết bị IoT y tế
Nếu chỉ một mắt xích có lỗ hổng, toàn bộ hệ thống đều có thể bị khai thác.
Các hình thức tấn công phổ biến gồm:
Ransomware
Mã hóa toàn bộ hệ thống khiến bệnh viện phải dừng khám chữa bệnh.
Đánh cắp dữ liệu bệnh án
Tin tặc bán dữ liệu trên chợ đen hoặc sử dụng để lừa đảo.
Tấn công tài khoản nhân viên
Chiếm quyền truy cập hồ sơ bệnh nhân.
Khai thác thiết bị y tế
Máy xét nghiệm, máy chẩn đoán hình ảnh hoặc thiết bị IoT không được cập nhật bảo mật.
Phân tích bệnh án, dữ liệu sinh trắc và hồ sơ khám chữa bệnh thuộc trường hợp phải đánh giá tác động
Theo Điểm d và Điểm đ Khoản 4 Điều 4 của Nghị định 356, các hoạt động xử lý dữ liệu liên quan đến:
- Phân tích bệnh án
- Hồ sơ khám chữa bệnh
- Dữ liệu sinh trắc học
- Dữ liệu sức khỏe
được xếp vào nhóm xử lý dữ liệu có mức độ rủi ro cao.
Điều này đồng nghĩa đơn vị xử lý dữ liệu phải thực hiện Đánh giá tác động xử lý dữ liệu cá nhân (DPIA) trước khi triển khai hoặc tiếp tục hoạt động xử lý.
Việc không thực hiện đầy đủ nghĩa vụ này có thể dẫn đến các chế tài xử phạt theo quy định.
DPIA giúp bệnh viện giảm những rủi ro gì?
Đánh giá tác động không chỉ nhằm đáp ứng yêu cầu pháp luật mà còn giúp tổ chức chủ động quản trị rủi ro.
Một báo cáo DPIA đầy đủ sẽ giúp:
- Xác định luồng dữ liệu cá nhân
- Đánh giá nguy cơ rò rỉ dữ liệu
- Kiểm tra quyền truy cập của nhân viên
- Kiểm soát việc chia sẻ dữ liệu với bên thứ ba
- Đánh giá việc chuyển dữ liệu ra nước ngoài
- Đề xuất biện pháp giảm thiểu rủi ro
Qua đó, bệnh viện có thể giảm đáng kể khả năng xảy ra sự cố mất dữ liệu.
Công nghệ là điều kiện cần, quản trị là điều kiện đủ
Trong môi trường bệnh viện hiện đại, việc bảo vệ dữ liệu không thể chỉ dựa vào phần mềm diệt virus.
Các tổ chức cần xây dựng hệ thống bảo vệ nhiều lớp bao gồm:
- Giám sát an ninh mạng 24/7 bằng AI SOC
- Quản lý điểm cuối (Endpoint Security)
- Phân tích và cảnh báo bất thường
- Phân quyền truy cập dữ liệu
- Nhật ký truy cập đầy đủ
- Tự động phát hiện và phản ứng với sự cố
Giải pháp AI SOC của ICS cho phép phát hiện sớm các hành vi bất thường, tự động phân tích cảnh báo, rút ngắn thời gian phát hiện và xử lý sự cố, đồng thời hỗ trợ giám sát liên tục toàn bộ hệ thống CNTT của bệnh viện. Theo tài liệu giải pháp, AI SOC có thể giảm tới 90% cảnh báo sai, tự động xử lý nhiều tác vụ SOC Tier 1 và rút ngắn đáng kể thời gian phát hiện cũng như phản hồi sự cố.
Kết luận
Chuyển đổi số trong y tế sẽ tiếp tục phát triển mạnh, nhưng càng nhiều dữ liệu được số hóa thì yêu cầu bảo vệ dữ liệu càng khắt khe.
Đối với các bệnh viện, trung tâm y tế và phòng khám, việc thực hiện DPIA không chỉ để đáp ứng yêu cầu của Nghị định 356 mà còn là nền tảng xây dựng hệ thống quản trị dữ liệu an toàn, bảo vệ người bệnh và duy trì uy tín của tổ chức.
Câu hỏi thường gặp (FAQ)
1. Dữ liệu bệnh án có phải dữ liệu cá nhân nhạy cảm không?
Có. Hồ sơ khám chữa bệnh, dữ liệu sức khỏe và sinh trắc học đều thuộc nhóm dữ liệu cá nhân nhạy cảm.
2. Khi nào bệnh viện phải thực hiện DPIA?
Khi thực hiện các hoạt động xử lý dữ liệu thuộc trường hợp quy định tại Điều 4 của Nghị định 356, đặc biệt với dữ liệu sức khỏe và sinh trắc học.
3. DPIA mang lại lợi ích gì?
Giúp nhận diện rủi ro, giảm khả năng rò rỉ dữ liệu, tăng khả năng tuân thủ và bảo vệ quyền riêng tư của người bệnh.
ICS đồng hành cùng doanh nghiệp và tổ chức y tế trong việc đánh giá tác động xử lý dữ liệu cá nhân (DPIA), xây dựng giải pháp AI SOC giám sát an ninh mạng 24/7 và triển khai các giải pháp bảo vệ dữ liệu theo yêu cầu của Nghị định 356.
Website: https://ics.vn