Trong khuôn khổ chương trình xây dựng và áp dụng Hệ thống quản lý an toàn thông tin (ISMS) phù hợp tiêu chuẩn ISO/IEC 27001:2022 tại các cơ sở y tế tỉnh Quảng Ninh, Công ty TNHH Tư vấn Chất lượng và Phát triển Công nghệ (IDAS) triển khai tư vấn, chuẩn hóa và số hóa ISMS trên nền tảng ISO điện tử eISO tại Bệnh viện Đa khoa Khu vực Vân Đồn.

Mục tiêu của chương trình không chỉ là xây dựng hệ thống tài liệu đáp ứng tiêu chuẩn mà hướng tới hình thành một phương thức quản trị an toàn thông tin dựa trên rủi ro, dữ liệu và bằng chứng, phù hợp với quá trình chuyển đổi số ngày càng sâu rộng trong lĩnh vực y tế.

Bệnh viện đa khoa khu vực với phạm vi hoạt động rộng

Bệnh viện Đa khoa Khu vực Vân Đồn trực thuộc Sở Y tế tỉnh Quảng Ninh, được thành lập theo Quyết định số 3890/QĐ-UBND ngày 15/10/2025 trên cơ sở hợp nhất Trung tâm Y tế Đặc khu Vân Đồn và Trung tâm Y tế Đặc khu Cô Tô, chính thức hoạt động từ ngày 01/11/2025. Bệnh viện có chức năng khám chữa bệnh, phục hồi chức năng, đào tạo, nghiên cứu và ứng dụng khoa học kỹ thuật cùng các dịch vụ công về y tế. Bệnh viện Đa khoa khu vực Vân Đồn

Theo thông tin Bệnh viện công bố, đây là bệnh viện hạng III, có 2 cơ sở tại Vân Đồn và Cô Tô, Phòng khám Đa khoa Khu vực Quan Lạn, 4 phòng chức năng, 15 khoa chuyên môn và 196 nhân sự tính đến tháng 5/2026. Trung bình mỗi ngày Bệnh viện phục vụ khoảng 300–400 lượt khám chữa bệnh và 200–250 người bệnh điều trị nội trú. Bệnh viện Đa khoa khu vực Vân Đồn

Với phạm vi hoạt động trải rộng và nhiều khoa chuyên môn như cấp cứu, hồi sức tích cực, ngoại khoa, sản, nhi, xét nghiệm, chẩn đoán hình ảnh, y học cổ truyền – phục hồi chức năng, dược và kiểm soát nhiễm khuẩn, việc bảo đảm an toàn, tính liên tục và khả năng kiểm soát thông tin có ý nghĩa trực tiếp đối với hoạt động của Bệnh viện. Bệnh viện Đa khoa khu vực Vân Đồn

Chuyển đổi số phải đi cùng quản trị an toàn thông tin

Trong bệnh viện hiện đại, thông tin không còn tồn tại chủ yếu trên hồ sơ giấy. Quá trình khám chữa bệnh ngày càng hình thành và sử dụng nhiều dữ liệu điện tử liên quan đến người bệnh, kết quả xét nghiệm, chẩn đoán hình ảnh, thuốc, vật tư, tài chính và hoạt động quản trị.

Bệnh viện cũng đang đầu tư các trang thiết bị y tế hiện đại như MRI, hệ thống phòng mổ, nội soi tiêu hóa, máy chạy thận nhân tạo và hệ thống oxy cao áp, đồng thời xác định tiếp tục cải tiến quy trình và nâng cao chất lượng khám chữa bệnh. Bệnh viện Đa khoa khu vực Vân Đồn

Trong môi trường đó, ATTT không thể chỉ được xem là nhiệm vụ kỹ thuật của cán bộ CNTT. Cần hình thành một hệ thống quản lý thống nhất từ lãnh đạo đến các khoa, phòng và người sử dụng, trong đó xác định rõ tài sản nào cần bảo vệ, rủi ro là gì, ai chịu trách nhiệm và bằng chứng nào chứng minh biện pháp kiểm soát đang được thực hiện.

ISO/IEC 27001:2022 – quản trị ATTT dựa trên rủi ro

IDAS triển khai ISMS tại Bệnh viện theo định hướng của ISO/IEC 27001:2022, tập trung bảo vệ ba thuộc tính cốt lõi của thông tin:

TÍNH BÍ MẬT → TÍNH TOÀN VẸN → TÍNH SẴN SÀNG

Theo đó, quá trình tư vấn hướng tới việc xác định bối cảnh và phạm vi ISMS; nhận diện tài sản thông tin; đánh giá rủi ro; rà soát chính sách và quy trình; xác định trách nhiệm; lựa chọn biện pháp kiểm soát; đào tạo nhận thức; quản lý bằng chứng và từng bước chuẩn bị cho đánh giá nội bộ, khắc phục và cải tiến.

Điểm quan trọng là chuyển từ cách tiếp cận “ATTT là bảo vệ máy tính và hệ thống mạng” sang quản trị tổng thể:

Con người → Quy trình → Công nghệ → Dữ liệu → Tài sản → Rủi ro → Kiểm soát → Bằng chứng → Cải tiến

Đưa toàn bộ chu trình ISMS lên nền tảng ISO điện tử eISO

Một trong những trọng tâm của dự án là ứng dụng nền tảng ISO điện tử eISO để hỗ trợ Bệnh viện xây dựng, vận hành và duy trì ISMS.

Thay vì hình thành một bộ hồ sơ ISO gồm nhiều tài liệu Word, Excel và thư mục lưu trữ phân tán, IDAS hướng tới thiết lập một chuỗi quản trị số thống nhất trên eISO:

Yêu cầu ISO/IEC 27001:2022 → Tài sản thông tin → Rủi ro → Biện pháp kiểm soát → Quy trình → Trách nhiệm → Công việc → Hồ sơ/Bằng chứng → Đánh giá → CAPA → Cải tiến

Mỗi yêu cầu quan trọng có thể từng bước gắn với khoa/phòng phụ trách, cá nhân chịu trách nhiệm, thời hạn thực hiện, kết quả và bằng chứng.

Nhờ đó, ISO không chỉ là tài liệu để đọc hoặc phục vụ một kỳ đánh giá mà trở thành công cụ hỗ trợ quản trị công việc ATTT thường xuyên của Bệnh viện.

eISO giúp biến yêu cầu ISO thành công việc cụ thể

Một giá trị quan trọng của ISO điện tử là giúp chuyển các yêu cầu tương đối phức tạp của tiêu chuẩn thành những nội dung dễ quản lý hơn trong hoạt động thực tế.

Thay vì chỉ đặt câu hỏi “Bệnh viện đã có quy trình này chưa?”, hệ thống hướng tới hỗ trợ trả lời những câu hỏi cụ thể hơn:

Tài sản thông tin nào đang được quản lý? – Rủi ro nào cần ưu tiên? – Ai là người chịu trách nhiệm? – Kiểm soát nào chưa hoàn thành? – Công việc nào sắp quá hạn? – Bằng chứng thực hiện ở đâu? – Điểm không phù hợp nào chưa khắc phục? – Khoa/phòng còn phải làm gì trước kỳ đánh giá?

Qua đó hình thành một nguyên tắc quản trị:

Có yêu cầu → Có trách nhiệm → Có công việc → Có thời hạn → Có bằng chứng → Có đánh giá kết quả.

Từ ISO điện tử đến dữ liệu sạch và AI hỗ trợ

IDAS xác định số hóa ISO không phải điểm kết thúc. Giá trị lâu dài nằm ở dữ liệu được hình thành trong quá trình vận hành.

Khi dữ liệu về tài sản – rủi ro – kiểm soát – quy trình – công việc – sự cố – đánh giá – CAPA – bằng chứng được chuẩn hóa và liên kết trên eISO, Bệnh viện có thể từng bước khai thác Dashboard để phục vụ lãnh đạo và tiến tới ứng dụng AI hỗ trợ tra cứu, tổng hợp và cảnh báo.

Mô hình phát triển được định hướng:

ISO tài liệu → ISO điện tử eISO → Dữ liệu sạch → Dashboard quản trị → AI hỗ trợ

Trong tương lai, cán bộ có thể tiếp cận hệ thống theo cách trực quan hơn: hỏi quy định – tìm quy trình – xác định việc phải làm – truy xuất bằng chứng – nhận cảnh báo và hỗ trợ xử lý công việc.

Hướng tới một ISMS vận hành thực chất tại Bệnh viện

Đối với Bệnh viện Đa khoa Khu vực Vân Đồn, việc xây dựng ISMS còn có ý nghĩa trong bối cảnh đơn vị mới được hình thành trên cơ sở hợp nhất các đơn vị y tế và có hoạt động tại nhiều địa điểm. Việc chuẩn hóa chính sách, trách nhiệm, quy trình và dữ liệu trên một hệ thống thống nhất sẽ hỗ trợ Bệnh viện từng bước nâng cao tính đồng bộ trong quản trị. Bệnh viện Đa khoa khu vực Vân Đồn

Thông qua sự kết hợp giữa tư vấn ISO/IEC 27001:2022 + chuẩn hóa quy trình + quản trị rủi ro + ISO điện tử eISO + dữ liệu + AI, IDAS hướng tới đồng hành cùng Bệnh viện xây dựng một ISMS có thể vận hành, đo lường, lưu vết và cải tiến liên tục, thay vì chỉ hình thành một bộ hồ sơ phục vụ chứng nhận.

Đây cũng là định hướng xuyên suốt của IDAS trong chuyển đổi số hệ thống quản lý:

Chuẩn hóa quy trình → Số hóa trên eISO → Hình thành dữ liệu sạch → Quản trị bằng dữ liệu → Ứng dụng AI.