An toàn thông tin bệnh viện năm 2026

1. YÊU CẦU QUẢN LÝ ĐẶT RA ĐỐI VỚI BỆNH VIỆN

Trong phạm vi chức năng tham mưu về quản lý bảo hiểm y tế và công nghệ thông tin, Phòng Quản lý Bảo hiểm y tế và Công nghệ thông tin trao đổi hai nhóm vấn đề: thực hiện quy định về an toàn hệ thống thông tin theo cấp độ và bảo đảm an toàn dữ liệu trong quá trình kết nối, liên thông phục vụ khám bệnh, chữa bệnh bảo hiểm y tế.

Trong bệnh viện, hệ thống thông tin phục vụ nhiều khâu liên tiếp: đăng ký khám, tiếp nhận, lập hồ sơ, chỉ định cận lâm sàng, tiếp nhận kết quả, kê đơn, cấp phát thuốc, lưu trữ bệnh án, tổng hợp chi phí và chuyển dữ liệu thanh toán. Các hệ thống có thể do bệnh viện tự vận hành, thuê dịch vụ hoặc kết nối với đơn vị khác. Vì vậy, quản lý an toàn thông tin không thể giới hạn ở việc cài đặt phần mềm bảo vệ trên máy tính; trước hết phải xác định rõ hệ thống nào đang được sử dụng, ai chịu trách nhiệm và mức độ ảnh hưởng khi hệ thống bị gián đoạn.

Yêu cầu của cơ quan quản lý nhà nước là các đơn vị thực hiện đúng quy định pháp luật, tổ chức kiểm tra và lưu giữ được hồ sơ, bằng chứng thực hiện. Bệnh viện phải biết tình trạng tuân thủ của mình, những nguy cơ còn tồn tại và biện pháp khắc phục. Nội dung trình bày hôm nay không thay thế hoạt động thẩm định, phê duyệt cấp độ hoặc đánh giá chuyên môn kỹ thuật theo thẩm quyền.

2. HỆ THỐNG VĂN BẢN CẦN ĐỐI CHIẾU KHI TỔ CHỨC THỰC HIỆN

Khung pháp lý trực tiếp gồm Luật An toàn thông tin mạng năm 2015, trong đó các điều 21 đến 24 quy định về phân loại cấp độ và bảo vệ hệ thống thông tin; Nghị định số 85/2016/NĐ-CP của Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ; Thông tư số 12/2022/TT-BTTTT hướng dẫn chi tiết và một số nội dung thi hành Nghị định số 85/2016/NĐ-CP. Khi triển khai, đơn vị phải kiểm tra tình trạng hiệu lực và các văn bản sửa đổi, bổ sung liên quan tại thời điểm áp dụng.

Đối với dữ liệu người bệnh và hồ sơ bệnh án, bệnh viện đồng thời phải thực hiện Luật Khám bệnh, chữa bệnh năm 2023, trong đó Điều 69 quy định về hồ sơ bệnh án; pháp luật về bảo vệ dữ liệu cá nhân, bao gồm Luật Bảo vệ dữ liệu cá nhân năm 2025 có hiệu lực từ ngày 01/01/2026; và các quy định chuyên ngành về bệnh án điện tử, quản lý, lưu trữ và chia sẻ thông tin y tế. Những quy định này có phạm vi điều chỉnh khác nhau, cần được xem xét đồng thời, không dùng việc tuân thủ một văn bản để thay thế các nghĩa vụ theo văn bản khác.

Đối với từng hệ thống cụ thể, cơ quan, tổ chức có thẩm quyền xác định trách nhiệm của chủ quản hệ thống, đơn vị vận hành và đơn vị liên quan. Trường hợp bệnh viện sử dụng hệ thống do cơ quan khác làm chủ quản hoặc thuê dịch vụ, cần làm rõ phạm vi trách nhiệm theo quy định và hợp đồng. Không được mặc nhiên coi toàn bộ hệ thống trong bệnh viện thuộc cùng một cấp độ, cũng không coi hợp đồng với nhà cung cấp là bằng chứng đã hoàn thành nghĩa vụ bảo đảm an toàn thông tin.

3. CÔNG VIỆC THỨ NHẤT: KIỂM KÊ VÀ PHÂN LOẠI HỆ THỐNG THÔNG TIN

Đề nghị các bệnh viện bắt đầu bằng danh mục hệ thống thông tin thực tế đang khai thác. Danh mục cần thể hiện tên hệ thống, chức năng, bộ phận sử dụng, đơn vị quản lý và vận hành, dữ liệu xử lý, các kết nối chính, hình thức triển khai và đầu mối phụ trách. Ngoài các hệ thống quản lý bệnh viện, xét nghiệm, chẩn đoán hình ảnh và bệnh án điện tử, cần xem xét hệ thống cổng thông tin, thư điện tử, hạ tầng mạng, máy chủ, lưu trữ, sao lưu và các hệ thống liên quan khác theo phạm vi áp dụng.

Việc kiểm kê phải đi kèm xác định những khâu chuyên môn phụ thuộc vào hệ thống. Ví dụ, khi hệ thống quản lý xét nghiệm không sử dụng được, bệnh viện phải biết khoa nào không nhận được kết quả, quy trình thông báo kết quả khẩn thực hiện bằng cách nào và ai xác nhận việc bàn giao. Đây là cơ sở để phân tích mức độ ảnh hưởng và ưu tiên bảo vệ, chứ không chỉ là danh sách thiết bị.

Sau kiểm kê, bệnh viện xác định hệ thống thuộc phạm vi quản lý của mình và phối hợp với chủ quản hệ thống để thực hiện việc đề xuất, thẩm định, phê duyệt cấp độ theo đúng trình tự, thẩm quyền. Cấp độ phải căn cứ tiêu chí pháp luật và tính chất hệ thống; không tự ấn định cấp độ chỉ dựa vào tên gọi HIS, LIS, PACS hoặc bệnh án điện tử. Đối với hệ thống chưa có hồ sơ cần thiết, đơn vị phải xác định nguyên nhân, trách nhiệm và lộ trình hoàn thiện.

4. CÔNG VIỆC THỨ HAI: HỒ SƠ CẤP ĐỘ PHẢI ĐI LIỀN VỚI BIỆN PHÁP BẢO VỆ

Một nội dung cần được kiểm tra là tính thống nhất giữa hồ sơ đề xuất cấp độ, quyết định phê duyệt, phương án bảo đảm an toàn và thực tế triển khai. Hồ sơ đã được phê duyệt không có nghĩa là các biện pháp đã được thực hiện đầy đủ. Cần đối chiếu các yêu cầu áp dụng với cấu hình, quy trình vận hành, phân công nhân sự, công tác kiểm tra và hồ sơ ghi nhận kết quả.

Đề nghị mỗi bệnh viện chuẩn bị được bộ hồ sơ để xuất trình khi cơ quan có thẩm quyền kiểm tra: danh mục hệ thống; hồ sơ xác định cấp độ và văn bản phê duyệt theo diện áp dụng; phương án bảo đảm an toàn; quy chế vận hành; kế hoạch kiểm tra, đánh giá; kết quả rà soát và biện pháp khắc phục. Với nội dung chưa đáp ứng, cần có danh mục tồn tại và người chịu trách nhiệm xử lý.

Cần phân biệt ba việc: xây dựng hồ sơ, được phê duyệt theo thẩm quyền và tổ chức triển khai biện pháp bảo vệ. Ba việc có liên hệ nhưng không thay thế nhau. Khi báo cáo kết quả, bệnh viện cần nêu rõ đã hoàn thành đến bước nào, có tài liệu chứng minh gì và nội dung nào còn phải thực hiện.

5. CÔNG VIỆC THỨ BA: KIỂM SOÁT TÀI KHOẢN, QUYỀN TRUY CẬP VÀ DỮ LIỆU NGƯỜI BỆNH

Dữ liệu sức khỏe là thông tin cần được bảo vệ nghiêm ngặt. Đề nghị rà soát toàn bộ quy trình tạo, cấp, thay đổi và thu hồi tài khoản. Mỗi nhóm người sử dụng chỉ được tiếp cận thông tin phù hợp nhiệm vụ; phải có cơ chế quản lý tài khoản quản trị, tài khoản dùng chung nếu còn tồn tại, tài khoản nhân viên đã chuyển công tác và quyền truy cập từ xa của đơn vị cung cấp dịch vụ.

Khi bác sĩ, điều dưỡng, nhân viên tiếp đón, kế toán hoặc nhân viên công nghệ thông tin cùng làm việc trên một hệ thống, trách nhiệm của từng nhóm không giống nhau. Vì vậy, phân quyền phải dựa trên chức năng thực tế, đồng thời lưu được dấu vết cần thiết để xác định ai đã xem, cập nhật hoặc thay đổi dữ liệu theo yêu cầu áp dụng. Các hoạt động truy cập bất thường cần có đầu mối tiếp nhận, kiểm tra và xử lý.

Bệnh viện cần xem xét cơ sở pháp lý của việc thu thập, sử dụng và chia sẻ dữ liệu, mục đích xử lý, thời hạn lưu trữ, trách nhiệm bảo mật và việc chuyển giao dữ liệu cho bên thứ ba. Việc ký hợp đồng với doanh nghiệp cung cấp phần mềm không làm mất đi trách nhiệm của bệnh viện đối với dữ liệu thuộc phạm vi quản lý. Các điều khoản hợp đồng cần làm rõ quyền truy cập, phạm vi xử lý dữ liệu, nghĩa vụ bảo mật, thông báo sự cố, bàn giao và xóa hoặc hoàn trả dữ liệu khi chấm dứt dịch vụ theo quy định.

6. CÔNG VIỆC THỨ TƯ: ỨNG CỨU SỰ CỐ VÀ DUY TRÌ KHÁM CHỮA BỆNH

Một hệ thống có thể bị gián đoạn do lỗi kỹ thuật, mất điện, mất kết nối, thao tác sai hoặc sự cố an toàn thông tin. Điều quan trọng với Giám đốc bệnh viện là phải có phương án chỉ huy, phối hợp và duy trì các hoạt động thiết yếu. Bộ phận công nghệ thông tin xử lý hệ thống, nhưng các khoa, phòng chuyên môn chịu trách nhiệm thực hiện quy trình khám chữa bệnh an toàn trong thời gian gián đoạn.

Đề nghị bệnh viện xây dựng kịch bản tối thiểu cho trường hợp không truy cập được hồ sơ bệnh án, không nhận được kết quả xét nghiệm điện tử, không truyền được đơn thuốc hoặc không gửi được dữ liệu phục vụ thanh toán. Kịch bản phải xác định ai ra quyết định kích hoạt, bộ phận nào được thông báo, biểu mẫu dự phòng nào được sử dụng, cách xác nhận danh tính người bệnh, kiểm tra y lệnh, cấp phát thuốc và bàn giao giữa các ca trực.

Khi hệ thống hoạt động trở lại, không chỉ khôi phục máy chủ mà còn phải kiểm tra tính toàn vẹn và đối chiếu dữ liệu phát sinh trong thời gian xử lý thủ công. Phải có đầu mối kiểm tra để tránh nhập thiếu, nhập trùng hoặc ghi nhận sai thông tin chuyên môn. Nội dung diễn tập cần có biên bản, đánh giá điểm chưa đạt và phương án điều chỉnh. Tần suất và hình thức thực hiện căn cứ quy định áp dụng, mức độ rủi ro và kế hoạch của đơn vị.

7. CÔNG VIỆC THỨ NĂM: SAO LƯU, THỬ PHỤC HỒI VÀ QUẢN LÝ NHÀ CUNG CẤP

Việc có bản sao lưu không đồng nghĩa với việc chắc chắn khôi phục được dữ liệu. Đề nghị bệnh viện kiểm tra danh mục dữ liệu cần sao lưu, lịch sao lưu, nơi lưu giữ, quyền truy cập, cơ chế bảo vệ bản sao và quy trình phục hồi. Cần tổ chức thử khôi phục trong điều kiện phù hợp, ghi nhận kết quả, thời gian cần thiết và những vấn đề phát hiện để khắc phục.

Đối với dịch vụ thuê ngoài, bệnh viện cần xác định trong hợp đồng trách nhiệm bảo vệ hệ thống, quản lý truy cập từ xa, phối hợp ứng cứu, hỗ trợ khôi phục, bảo mật dữ liệu, chế độ báo cáo và bàn giao khi kết thúc hợp đồng. Khi có sự cố, phải biết rõ số điện thoại hoặc kênh liên hệ, người có thẩm quyền yêu cầu hỗ trợ và cách ghi nhận quá trình xử lý.

Đề nghị Giám đốc bệnh viện định kỳ xem xét báo cáo về các nguy cơ trọng yếu và khả năng phục hồi hoạt động. Những vấn đề cần kinh phí phải được tổng hợp trong kế hoạch của đơn vị theo quy định; không nhất thiết mọi bệnh viện phải mua cùng một sản phẩm, nhưng đều phải chứng minh được biện pháp bảo vệ tương ứng với nghĩa vụ và rủi ro của mình.

8. TRÁCH NHIỆM CỦA NGƯỜI ĐỨNG ĐẦU VÀ YÊU CẦU SAU HỘI NGHỊ

Trách nhiệm quản lý của Giám đốc bệnh viện thể hiện ở việc tổ chức thực hiện: giao đầu mối, phân công nhiệm vụ, ban hành hoặc chỉ đạo ban hành quy trình thuộc thẩm quyền, bố trí nguồn lực, kiểm tra kết quả và xử lý tồn tại. Giám đốc không cần trực tiếp thực hiện cấu hình kỹ thuật, nhưng cần biết hệ thống trọng yếu nào chưa đáp ứng yêu cầu, phương án dự phòng có hoạt động được hay không và ai chịu trách nhiệm khi xảy ra sự cố.

Phòng Quản lý Bảo hiểm y tế và Công nghệ thông tin đề nghị các bệnh viện sau tập huấn tổ chức rà soát theo năm nhóm: hệ thống và cấp độ; tài khoản và dữ liệu; sao lưu và khôi phục; ứng cứu và duy trì khám chữa bệnh; hợp đồng, nhân sự và kiểm tra nội bộ. Mỗi nội dung cần ghi tình trạng, hồ sơ chứng minh, điểm chưa đáp ứng, biện pháp xử lý và người phụ trách.

Việc tổng hợp, báo cáo và hướng dẫn tiếp theo sẽ thực hiện theo chỉ đạo của lãnh đạo Sở Y tế và chức năng, nhiệm vụ của các đơn vị liên quan. Đối với các vấn đề vượt thẩm quyền, bệnh viện cần báo cáo đúng đầu mối để được hướng dẫn. Mục tiêu là nâng cao khả năng tuân thủ và quản trị rủi ro trên cơ sở kiểm tra được, không dừng ở việc nghe phổ biến quy định.

Mục tiêu: Người nghe nhận diện được các đường tấn công thường gặp, biết 6 hành động đầu tiên khi nghi có sự cố, và xác định được các việc Giám đốc bệnh viện phải chỉ đạo sau lớp tập huấn.

1. MỞ ĐẦU – KHI MÁY TÍNH “ỐM”, NGƯỜI BỆNH CÓ THỂ BỊ ẢNH HƯỞNG

Trong bệnh viện, máy tính không chỉ dùng để soạn thảo văn bản. Phía sau một màn hình là hồ sơ bệnh án, kết quả xét nghiệm, chỉ định thuốc, lịch phẫu thuật, dữ liệu chẩn đoán hình ảnh và quyền lợi bảo hiểm của người bệnh. Vì vậy, một máy chủ bị xâm nhập có thể kéo theo hậu quả vượt xa phạm vi một phòng CNTT.

Xin mời các đồng chí hình dung: 8 giờ sáng, khu khám bệnh đông người. HIS không đăng nhập được. LIS vẫn chạy máy nhưng không đẩy được kết quả. PACS không truy xuất được ảnh. Nhân viên nhận một thông báo đòi tiền chuộc để mở khóa dữ liệu. Trong 15 phút đầu, ai ra quyết định? Có tắt toàn bộ hệ thống hay không? Cấp cứu, xét nghiệm và cấp thuốc tiếp tục thế nào?

Thông điệp hôm nay là: không thể bảo đảm an toàn người bệnh chỉ bằng một phần mềm diệt virus. Bệnh viện cần phòng ngừa, phát hiện sớm, ứng cứu có chỉ huy và có phương án duy trì hoạt động chuyên môn.

2. TIN TẶC CÓ THỂ ĐI VÀO BỆNH VIỆN BẰNG NHỮNG CON ĐƯỜNG NÀO?

Tình huống A – Một email tưởng như bình thường

Nhân viên nhận email giả danh đối tác gửi “bảng đối soát BHYT” hoặc “hồ sơ kết quả xét nghiệm”, bấm vào đường dẫn đăng nhập giả, làm lộ tài khoản. Nếu tài khoản có quyền quá rộng hoặc không có xác thực đa yếu tố, kẻ tấn công có thể truy cập thêm hệ thống. Đây là ví dụ giả định để minh họa cơ chế lừa đảo, không phải vụ việc đã xác nhận tại một bệnh viện cụ thể.

Tình huống B – Lỗ hổng website, PHP và máy chủ ứng dụng

Nhiều ứng dụng web sử dụng PHP và các thành phần phần mềm của bên thứ ba. Nếu phiên bản có lỗ hổng, cấu hình sai hoặc chậm cập nhật, kẻ tấn công có thể khai thác để thực thi lệnh trái phép trong một số điều kiện. Từ máy chủ web, chúng có thể tìm cách leo thang quyền, truy cập dữ liệu hoặc di chuyển sang hệ thống khác. Không phải mọi lỗ hổng PHP đều tự động dẫn đến chiếm quyền; mức độ rủi ro phụ thuộc phiên bản, cấu hình, quyền truy cập và các lớp bảo vệ.

Tình huống C – Máy của nhà thầu, tài khoản quản trị và kết nối từ xa

Nhà cung cấp HIS, LIS, PACS, thiết bị y tế có thể cần truy cập từ xa để bảo trì. Nếu sử dụng tài khoản chung, mật khẩu yếu, VPN thiếu kiểm soát hoặc không ghi nhật ký, một điểm truy cập của đối tác có thể trở thành đường vào hệ thống bệnh viện. Bệnh viện cần quản lý quyền truy cập của nhà thầu như quản lý quyền truy cập của chính mình.

Tình huống D – Mã độc tống tiền

Sau khi xâm nhập, đối tượng có thể tìm cách vô hiệu hóa bảo vệ, đánh cắp dữ liệu, mã hóa máy chủ và đe dọa công bố thông tin để ép trả tiền. Việc trả tiền không bảo đảm lấy lại dữ liệu hay ngăn chặn rò rỉ. Quyết định ứng phó phải được điều hành theo quy trình, có tư vấn chuyên môn và tuân thủ nghĩa vụ báo cáo.

3. ĐIỀU GÌ XẢY RA VỚI HOẠT ĐỘNG KHÁM CHỮA BỆNH?

HIS/EMR: không tra cứu được tiền sử, dị ứng thuốc, y lệnh; nguy cơ sai sót khi chuyển sang ghi chép thủ công mà thiếu đối chiếu danh tính.

LIS: mẫu đã xét nghiệm nhưng kết quả không đến đúng bác sĩ; kết quả nguy cấp có thể bị chậm thông báo.

PACS/RIS: ảnh chẩn đoán không hiển thị hoặc không gắn đúng hồ sơ; nguy cơ chậm quyết định cấp cứu.

Dược và kho: đơn thuốc điện tử bị gián đoạn; cần quy trình kiểm tra thuốc, liều, người bệnh và đối soát sau khôi phục.

Telehealth và AI: mất kết nối, dữ liệu thiếu hoặc bị sai lệch; kết quả hỗ trợ của AI phải được người hành nghề kiểm tra, không thay thế quyết định chuyên môn.

Điều cần nhấn mạnh: ứng cứu kỹ thuật và duy trì khám chữa bệnh là hai luồng công việc phải triển khai song song. Khôi phục máy chủ nhanh nhưng để xảy ra nhầm người bệnh, nhầm thuốc thì vẫn là thất bại về quản trị rủi ro.

4. SÁU VIỆC PHẢI LÀM TRONG NHỮNG PHÚT ĐẦU TIÊN

1. Kích hoạt đầu mối chỉ huy sự cố: báo cáo người có thẩm quyền, huy động CNTT, an toàn thông tin, lãnh đạo chuyên môn, các khoa trọng yếu và nhà cung cấp.

2. Xác định phạm vi và ưu tiên an toàn người bệnh: hệ thống nào ảnh hưởng cấp cứu, hồi sức, xét nghiệm nguy cấp, cấp phát thuốc; kích hoạt quy trình dự phòng đã được phê duyệt.

3. Khoanh vùng có kiểm soát: cô lập thiết bị/tài khoản nghi bị xâm nhập theo hướng dẫn của đội ứng cứu; không tự ý tắt hàng loạt máy chủ hoặc xóa dữ liệu khi chưa đánh giá tác động.

4. Bảo toàn chứng cứ: lưu thời điểm, màn hình cảnh báo, nhật ký, tài khoản liên quan; không xóa log, cài lại máy hoặc làm sạch hệ thống tùy tiện.

5. Thông tin và báo cáo đúng tuyến: thông báo cho đầu mối có thẩm quyền, phối hợp cơ quan chuyên trách và thực hiện nghĩa vụ thông báo theo loại sự cố, dữ liệu bị ảnh hưởng và quy định áp dụng.

6. Khôi phục có kiểm chứng: chỉ đưa hệ thống trở lại khi đã xử lý nguyên nhân xâm nhập, kiểm tra bản sao lưu sạch, xác nhận tính toàn vẹn dữ liệu và đối soát hồ sơ thủ công.

Không phát tán ảnh chụp dữ liệu người bệnh lên các nhóm chat không được phép. Không để nhân viên tự thương lượng với đối tượng tống tiền. Mọi phát ngôn ra ngoài phải qua đầu mối được giao.

5. PHÒNG NGỪA THEO THỨ TỰ ƯU TIÊN – KHÔNG PHẢI MUA THÊM CÀNG NHIỀU CÔNG CỤ CÀNG TỐT

Kiểm kê tài sản số: HIS, LIS, PACS, EMR, máy chủ, tài khoản đặc quyền, thiết bị y tế kết nối mạng, hệ thống của nhà thầu và đường liên thông dữ liệu.

Rà soát lỗ hổng và vá lỗi có kế hoạch: đặc biệt máy chủ web, PHP/framework, VPN, hệ điều hành; kiểm thử thay đổi để không làm gián đoạn thiết bị hoặc ứng dụng chuyên môn.

Giảm quyền truy cập: tài khoản riêng, MFA ở vị trí phù hợp, phân quyền tối thiểu, kiểm soát truy cập từ xa của nhà cung cấp và thu hồi quyền khi hết hợp đồng.

Phân vùng mạng, ghi nhật ký và giám sát: ưu tiên phát hiện bất thường tại máy chủ trọng yếu, tài khoản quản trị và luồng truy cập liên vùng.

Sao lưu tách biệt và thử khôi phục: phải kiểm tra được thời gian khôi phục, độ đầy đủ và tính chính xác của hồ sơ, không chỉ kiểm tra việc có tệp sao lưu.

Diễn tập liên ngành: CNTT cùng khoa cấp cứu, xét nghiệm, chẩn đoán hình ảnh, dược, tài chính/BHYT và truyền thông; đo thời gian chuyển sang quy trình dự phòng.

6. GIÁM ĐỐC BỆNH VIỆN CẦN CHỈ ĐẠO GÌ SAU BUỔI TẬP HUẤN?

Tôi đề xuất mỗi bệnh viện triển khai một cuộc rà soát ngắn, có phân công và thời hạn. Ban giám đốc không cần tự làm chuyên gia bảo mật, nhưng phải nắm được: hệ thống nào là thiết yếu, ai chịu trách nhiệm, rủi ro lớn nhất là gì, đã diễn tập chưa và có bằng chứng khôi phục thành công hay chưa.

Bệnh viện có thể thuê doanh nghiệp chuyên môn thực hiện đánh giá và giám sát; tuy nhiên trách nhiệm quản lý rủi ro, bảo vệ dữ liệu và duy trì hoạt động khám chữa bệnh vẫn thuộc đơn vị theo quy định. Hợp đồng cần quy định rõ phạm vi hệ thống, quyền truy cập, bảo mật dữ liệu, thời gian phản hồi, phối hợp ứng cứu, bàn giao nhật ký và kiểm chứng phục hồi.

Đối với cơ quan quản lý, cần hướng dẫn, đôn đốc, tổng hợp những rủi ro phổ biến và kết nối nguồn lực chuyên gia theo đúng chức năng, thẩm quyền; không làm thay trách nhiệm vận hành của từng bệnh viện.

7. TÌNH HUỐNG TƯƠNG TÁC VÀ KẾT LUẬN

Tình huống hỏi nhanh: 9 giờ sáng, một nhân viên báo HIS không đăng nhập được; đồng thời một máy tính xuất hiện thông báo đòi tiền chuộc. Giám đốc bệnh viện sẽ gọi ai trước, khoa cấp cứu chuyển sang quy trình nào, và bộ phận CNTT cần giữ lại chứng cứ gì?

Câu trả lời không chỉ là “gọi kỹ thuật đến sửa”. Phải kích hoạt đồng thời chỉ huy sự cố, bảo vệ người bệnh, khoanh vùng kỹ thuật, báo cáo và phương án phục hồi.

Xin kết thúc bằng một thông điệp: Trong bệnh viện, một sự cố máy tính có thể trở thành sự cố chăm sóc sức khỏe. Đừng đợi đến khi hệ thống bị mã hóa mới hỏi bản sao lưu ở đâu, ai có quyền quyết định và người bệnh sẽ được phục vụ thế nào. An toàn thông tin là trách nhiệm quản trị thường xuyên; khả năng duy trì khám chữa bệnh mới là thước đo cuối cùng.