Hồ sơ bệnh án điện tử, kết quả xét nghiệm, hình ảnh chẩn đoán, thông tin thanh toán và dữ liệu bảo hiểm đều là những dữ liệu có mức độ nhạy cảm cao. Nếu bị truy cập sai mục đích hoặc lộ lọt, hậu quả không chỉ là rủi ro pháp lý và uy tín, mà còn có thể ảnh hưởng trực tiếp đến quyền riêng tư và an toàn của người bệnh.
Trong môi trường y tế, một nhân sự cần truy cập nhanh để phục vụ điều trị. Nhưng truy cập nhanh không đồng nghĩa với quyền truy cập không giới hạn.
NIST khuyến nghị hệ thống lưu trữ thông tin sức khỏe điện tử chỉ cho phép người hoặc chương trình đã được cấp quyền truy cập; đồng thời cần thu hồi quyền khi không còn nhu cầu và rà soát quyền định kỳ để duy trì nguyên tắc đặc quyền tối thiểu.
1. Phân quyền theo vai trò công việc
Bác sĩ điều trị, điều dưỡng, nhân viên tiếp đón, dược sĩ, nhân viên tài chính và quản trị hệ thống có nhu cầu truy cập khác nhau.
Doanh nghiệp y tế cần xây dựng mô hình phân quyền theo vai trò, giới hạn mỗi người dùng ở dữ liệu và chức năng cần thiết để hoàn thành nhiệm vụ.
2. Kiểm soát tài khoản đặc quyền
Tài khoản quản trị có thể thay đổi cấu hình, tạo người dùng, cấp quyền hoặc truy xuất dữ liệu quy mô lớn. Vì vậy, cần tách biệt tài khoản quản trị với tài khoản sử dụng thông thường, áp dụng MFA và ghi nhận đầy đủ hoạt động đặc quyền.
Nguyên tắc đặc quyền tối thiểu yêu cầu chỉ cấp quyền cần thiết cho nhiệm vụ được phân công, đồng thời rà soát các quyền đã cấp theo tần suất phù hợp.
3. Thu hồi quyền truy cập kịp thời
Khi nhân sự nghỉ việc, chuyển khoa phòng hoặc thay đổi vị trí, quyền truy cập cần được điều chỉnh ngay. Tài khoản cũ, quyền dư thừa hoặc tài khoản dùng chung là những điểm mù có thể dẫn tới truy cập trái phép.
Quy trình offboarding cần có sự phối hợp giữa nhân sự, quản lý đơn vị và đội ngũ IT để bảo đảm việc thu hồi quyền được thực hiện đầy đủ.
4. Lưu log để phát hiện và điều tra
Hệ thống cần lưu lại các sự kiện như đăng nhập, truy cập hồ sơ bệnh án, tải xuống dữ liệu, chỉnh sửa thông tin, cấp quyền và thay đổi cấu hình.
Log giúp tổ chức phát hiện hành vi bất thường, xác minh các truy cập có liên quan đến sự cố và tạo bằng chứng về việc vận hành kiểm soát truy cập.
5. Cân bằng giữa bảo mật và khả năng chăm sóc
Kiểm soát truy cập trong y tế cần được thiết kế để bảo vệ dữ liệu nhưng không cản trở hoạt động chuyên môn. Với các tình huống khẩn cấp, doanh nghiệp có thể xây dựng cơ chế truy cập khẩn cấp có giới hạn, yêu cầu lý do truy cập và lưu vết đầy đủ để rà soát sau đó.
Bảo vệ dữ liệu y tế không bắt đầu từ một phần mềm duy nhất. Đây là sự kết hợp giữa phân quyền đúng, xác thực mạnh, giám sát liên tục và quy trình quản trị rõ ràng.
ICS hỗ trợ tổ chức y tế đánh giá hiện trạng kiểm soát truy cập, rà soát quyền đặc quyền, xây dựng cơ chế quản trị danh tính và nâng cao năng lực bảo vệ dữ liệu nhạy cảm.
Liên hệ ICS để được tư vấn đánh giá kiểm soát truy cập và bảo vệ dữ liệu y tế.