An toàn thông tin bệnh viện 2026

Trước hết, thay mặt Trung tâm Đào tạo và Chuyển giao công nghệ Y tế Hà Nội, tôi trân trọng cảm ơn các bệnh viện, các chuyên gia, Công ty TKM Group và toàn thể đại biểu đã tham dự, phối hợp tổ chức lớp tập huấn hôm nay.

Trong nhiều năm làm công tác quản lý y tế, từ cấp đơn vị đến cơ quan quản lý nhà nước, tôi nhận thấy một vấn đề đáng quan tâm: chúng ta dành nhiều nguồn lực phát triển chuyên môn, trang thiết bị, kỹ thuật mới và chuyển đổi số, nhưng chưa phải lúc nào cũng quan tâm tương xứng đến việc bảo đảm các hệ thống hoạt động an toàn, liên tục và có khả năng phục hồi khi xảy ra sự cố.

Qua thực tiễn tham gia quản lý, điều hành ngành y tế Hà Nội trong giai đoạn phòng, chống dịch COVID-19, tôi càng nhận thức rõ năng lực của hệ thống y tế không chỉ thể hiện khi hoạt động bình thường, mà còn ở khả năng tổ chức, điều phối và duy trì dịch vụ thiết yếu trong tình huống bất thường. Đó cũng là lý do Trung tâm lựa chọn chủ đề tập huấn hôm nay: “Từ tuân thủ pháp luật đến quản trị rủi ro và bảo vệ hoạt động khám bệnh, chữa bệnh”.

An toàn thông tin không chỉ là câu chuyện máy chủ, phần mềm hay thiết bị bảo mật. Đối với bệnh viện, đó còn là vấn đề quản trị, chất lượng khám chữa bệnh và trách nhiệm đối với người dân.

Tôi xin nêu một số ví dụ để thấy rõ tính chất nghiêm trọng của vấn đề. Tháng 10 năm 2026, cơ quan an ninh mạng Singapore cảnh báo về những lỗ hổng bảo mật nghiêm trọng trong PHP, công nghệ được sử dụng rộng rãi trên các máy chủ ứng dụng. Trong những điều kiện nhất định, lỗ hổng có thể bị khai thác để thực thi mã trái phép từ xa. Nếu các lớp bảo vệ khác không đủ hiệu quả, kẻ tấn công có thể xâm nhập sâu hơn, chiếm quyền điều khiển, đánh cắp dữ liệu, phá hoại hệ thống hoặc triển khai mã độc tống tiền.

Tháng 3 năm 2024, vụ tấn công mạng vào Công ty Chứng khoán VNDirect khiến nền tảng giao dịch bị gián đoạn. Cũng trong năm 2024, vụ tấn công mã độc tống tiền vào Change Healthcare tại Mỹ đã làm gián đoạn hoạt động xử lý thanh toán bảo hiểm và ảnh hưởng đến nhiều cơ sở y tế. Những sự kiện này cho thấy sự cố an toàn thông tin có thể nhanh chóng trở thành sự cố vận hành của cả tổ chức.

Đối với bệnh viện, hậu quả có thể nghiêm trọng hơn bởi phía sau hệ thống thông tin là hoạt động cấp cứu, khám bệnh, điều trị và tính mạng người bệnh. Hãy hình dung HIS ngừng hoạt động, bác sĩ không truy cập được bệnh án điện tử, khoa xét nghiệm không chuyển được kết quả, khoa dược không nhận được đơn thuốc, các khoa điều trị không có đầy đủ thông tin thực hiện y lệnh. Hoặc một cuộc hội chẩn từ xa mất kết nối; một ứng dụng trí tuệ nhân tạo hỗ trợ chẩn đoán đưa ra kết quả không phù hợp do dữ liệu đầu vào thiếu hoặc sai lệch.

“

Vấn đề không chỉ là bao lâu thì sửa xong phần mềm, mà là trong thời gian chưa khôi phục, bệnh viện sẽ tổ chức khám chữa bệnh như thế nào để không ảnh hưởng đến tính mạng, sức khỏe và quyền lợi người dân? Ai chỉ huy? Khoa cấp cứu tiếp nhận người bệnh bằng phương thức nào? Bác sĩ kiểm tra tiền sử dị ứng ra sao? Kết quả xét nghiệm nguy cấp được thông báo thế nào? Khi hệ thống hoạt động trở lại, ai đối chiếu dữ liệu để tránh nhầm lẫn?

Ngày 25 tháng 5 năm 2026, UBND thành phố Hà Nội ban hành Quyết định số 2644/QĐ-UBND thành lập Trung tâm Đào tạo và Chuyển giao công nghệ Y tế Hà Nội thuộc Sở Y tế; đồng thời ban hành Quyết định số 2645/QĐ-UBND quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Trung tâm. Trong bối cảnh sắp xếp bộ máy, tinh gọn đầu mối, việc thành lập Trung tâm cho thấy nhu cầu thực tiễn về năng lực đào tạo, chuyển giao công nghệ và hỗ trợ chuyển đổi số của ngành.

Ở đây tồn tại một khoảng trống cần giải quyết. Sở Y tế thực hiện chức năng quản lý nhà nước, tham mưu, hướng dẫn, phổ biến quy định, kiểm tra, đôn đốc theo thẩm quyền; không làm thay việc triển khai kỹ thuật và vận hành hệ thống của từng bệnh viện. Các bệnh viện có nhiệm vụ trọng tâm là khám chữa bệnh, trong khi không phải đơn vị nào cũng có đủ nhân lực chuyên sâu về đánh giá lỗ hổng, giám sát, ứng cứu sự cố và kiểm chứng khả năng phục hồi. Doanh nghiệp công nghệ có năng lực kỹ thuật, nhưng nếu chưa hiểu quy trình cấp cứu, điều trị, xét nghiệm, bệnh án và thanh toán BHYT, giải pháp có thể chưa phù hợp với thực tiễn chuyên môn.

Chính khoảng trống giữa yêu cầu quản lý nhà nước, năng lực thực hiện của bệnh viện và giải pháp của doanh nghiệp là vấn đề Trung tâm cần tham gia giải quyết. Trung tâm không làm thay chức năng của Sở, trách nhiệm của Giám đốc bệnh viện hay công việc của doanh nghiệp. Trung tâm kết nối các bên, chuyển tải yêu cầu quản lý và nhu cầu chuyên môn thành chương trình đào tạo, tài liệu hướng dẫn, phương pháp đánh giá và hoạt động chuyển giao công nghệ có thể áp dụng thực tế.

Chúng tôi mong muốn từng bước hình thành năng lực hỗ trợ chung cho toàn ngành, giúp các đơn vị tiếp cận kiến thức, công cụ và kinh nghiệm phù hợp, hạn chế tình trạng mỗi bệnh viện phải tự giải quyết những vấn đề giống nhau từ đầu. Giá trị Trung tâm hướng tới là đưa quy định và yêu cầu quản lý vào thực tiễn, nâng cao năng lực đơn vị và bảo vệ tốt hơn hoạt động phục vụ người dân.

Đó cũng là lý do Trung tâm phối hợp với TKM Group tổ chức lớp tập huấn này. Theo thông tin giới thiệu của doanh nghiệp, TKM hoạt động chuyên sâu về giải pháp an toàn, bảo mật thông tin mạng, rà quét lỗ hổng, phát hiện mã độc và kiểm thử hệ thống phần mềm. Nhóm giải pháp NOSC mà TKM giới thiệu bao gồm quản trị hạ tầng CNTT; đánh giá an ninh máy tính, thiết bị di động và hệ thống mạng; giám sát cổng thông tin điện tử, ứng dụng web và mạng LAN/WAN; phát hiện, cảnh báo điểm yếu và nguy cơ tấn công. Đây là những năng lực kỹ thuật có thể hỗ trợ các bệnh viện nhận diện nguy cơ, chủ động phòng ngừa và chuẩn bị phương án ứng cứu. Tuy nhiên, lựa chọn và triển khai giải pháp phải dựa trên khảo sát, đánh giá độc lập nhu cầu, đặc thù chuyên môn, mức độ rủi ro và quy định áp dụng tại từng đơn vị. Trung tâm phối hợp để kết nối năng lực chuyên môn y tế với năng lực công nghệ của doanh nghiệp, không giới thiệu một sản phẩm thay cho trách nhiệm đánh giá và quyết định của bệnh viện.

Tôi ủng hộ ứng dụng công nghệ mới, đặc biệt là trí tuệ nhân tạo, trong quản lý và chuyên môn y tế. Nhưng công nghệ càng tham gia sâu vào khám chữa bệnh, yêu cầu về an toàn, bảo mật, độ chính xác dữ liệu và duy trì hoạt động càng quan trọng. Chuyển đổi số không thể chỉ đánh giá bằng số lượng phần mềm đã triển khai, mà phải đánh giá bằng chất lượng phục vụ, tính an toàn, hiệu quả và khả năng vận hành liên tục.

Trước hết, tuân thủ pháp luật là yêu cầu bắt buộc. Bệnh viện phải rà soát các quy định về an ninh mạng, an toàn thông tin, bảo vệ dữ liệu cá nhân, bảo mật bệnh án và an toàn hệ thống theo cấp độ. Tiếp đó, quản trị rủi ro phải trở thành một phần quản trị bệnh viện: Giám đốc phải biết hệ thống thiết yếu nào có thể gián đoạn, phương án dự phòng đã có hay chưa và khả năng phục hồi đã được kiểm chứng hay chưa. Cuối cùng, phải đặt người bệnh ở trung tâm mọi phương án ứng phó; không để người dân phải tự giải quyết khó khăn do sự cố nội bộ của bệnh viện.

Trong chương trình hôm nay, chúng ta sẽ cùng làm rõ trách nhiệm của người đứng đầu, yêu cầu bảo đảm an toàn thông tin theo cấp độ, phương án duy trì khám chữa bệnh khi hệ thống gián đoạn, đồng thời lắng nghe những tình huống tấn công mạng thực tế và các giải pháp phát hiện, ứng cứu, sao lưu, phục hồi dữ liệu. Điều quan trọng là mỗi đơn vị phải biết ai chịu trách nhiệm, cần làm gì trước, trong và sau sự cố.

Tôi mong sau lớp tập huấn, mỗi bệnh viện trả lời được ba câu hỏi: còn nguy cơ nào chưa được kiểm soát và yêu cầu pháp luật nào cần hoàn thiện; nếu hệ thống ngừng hoạt động ngay ngày mai thì có phương án tiếp tục phục vụ người bệnh hay chưa; và Giám đốc cần chỉ đạo việc gì, giao ai, phối hợp với ai, kiểm tra kết quả thế nào?

“

Một hệ thống y tế hiện đại phải có năng lực quản trị tốt, hoạt động an toàn, có khả năng ứng phó rủi ro và duy trì dịch vụ thiết yếu khi xảy ra sự cố. Đầu tư cho an toàn thông tin và phương án duy trì hoạt động không chỉ bảo vệ máy tính hay dữ liệu mà còn bảo vệ bệnh viện, người hành nghề và trước hết là sức khỏe, quyền lợi của người bệnh.

Tôi mong các phòng chuyên môn của Sở, các bệnh viện, Trung tâm và đối tác tiếp tục phối hợp để đưa nội dung tập huấn vào thực tiễn. Xin trân trọng cảm ơn lãnh đạo Sở Y tế, các đại biểu, chuyên gia và các đơn vị tham gia. Kính chúc các đồng chí sức khỏe và lớp tập huấn đạt kết quả thiết thực.

Xin trân trọng cảm ơn!