Trong khuôn khổ chương trình xây dựng và áp dụng Hệ thống quản lý an toàn thông tin (ISMS) phù hợp tiêu chuẩn ISO/IEC 27001:2022 tại các cơ sở y tế tỉnh Quảng Ninh, Công ty TNHH Tư vấn Chất lượng và Phát triển Công nghệ (IDAS) triển khai tư vấn, chuẩn hóa và số hóa ISMS trên nền tảng ISO điện tử eISO tại Bệnh viện Lão khoa – Phục hồi chức năng Quảng Ninh.
Mục tiêu của chương trình không chỉ là xây dựng hệ thống tài liệu đáp ứng yêu cầu tiêu chuẩn, mà hướng tới hình thành một hệ thống quản trị an toàn thông tin được vận hành thường xuyên, có dữ liệu, có bằng chứng, có khả năng giám sát và cải tiến liên tục.
Chuyển đổi số y tế đặt ra yêu cầu ngày càng cao về an toàn thông tin
Bệnh viện Lão khoa – Phục hồi chức năng là đơn vị sự nghiệp y tế công lập trực thuộc Sở Y tế tỉnh Quảng Ninh, được tổ chức lại theo Quyết định số 4466/QĐ-UBND ngày 15/12/2021 trên cơ sở Bệnh viện Lão khoa và Bệnh viện Phục hồi chức năng.
Bệnh viện thực hiện các chức năng khám bệnh, chữa bệnh, phục hồi chức năng, chăm sóc sức khỏe người cao tuổi và các nhiệm vụ chuyên môn theo quy định.
Cùng với quá trình chuyển đổi số, hoạt động của Bệnh viện ngày càng được hỗ trợ bởi các hệ thống như HIS, LIS, RIS/PACS, EMR, hệ thống quản lý văn bản điện tử, chữ ký số và các nền tảng hạ tầng số.
Điều này đồng nghĩa với việc dữ liệu, hệ thống CNTT và các dịch vụ số ngày càng trở thành tài sản quan trọng đối với hoạt động chuyên môn. Vì vậy, quản lý an toàn thông tin cần được thực hiện theo một hệ thống thống nhất nhằm bảo vệ tính bí mật – tính toàn vẹn – tính sẵn sàng của thông tin, đồng thời duy trì khả năng cung cấp các dịch vụ y tế liên tục và an toàn.
Kế thừa nền tảng hiện có, chuẩn hóa theo ISO/IEC 27001:2022
Qua khảo sát ban đầu, Bệnh viện đã xây dựng được nhiều nền tảng quan trọng cho công tác bảo đảm an toàn thông tin, trong đó có Quyết định số 213/QĐ-BVLKPHCN về Quy chế bảo đảm an toàn, an ninh thông tin mạng; Quyết định số 286/QĐ-BVLKPHCN về quản lý chứng thư số, chữ ký số, chữ ký điện tử và sinh trắc học; hồ sơ đề xuất và quyết định phê duyệt cấp độ 2 cho hệ thống cơ sở hạ tầng kỹ thuật.
Đây là những đầu vào quan trọng để IDAS kế thừa trong quá trình xây dựng ISMS.
Tuy nhiên, các tài liệu hiện có chủ yếu được hình thành theo yêu cầu quản lý và khung hồ sơ cấp độ tại thời điểm năm 2024. Để hình thành một ISMS phù hợp ISO/IEC 27001:2022, Bệnh viện cần tiếp tục rà soát và cấu trúc lại theo chu trình quản lý thống nhất; liên kết giữa tài sản – rủi ro – biện pháp kiểm soát – trách nhiệm – quy trình – hồ sơ và bằng chứng vận hành.
Từ hồ sơ ATTT sang một hệ thống ISMS được vận hành thực tế
Trong quá trình triển khai, IDAS phối hợp với Bệnh viện rà soát hiện trạng, xác định phạm vi ISMS và từng bước chuẩn hóa các thành phần của hệ thống quản lý.
Mô hình triển khai được định hướng theo chuỗi quản trị:
Bối cảnh & phạm vi ISMS → Tài sản thông tin → Rủi ro ATTT → Biện pháp kiểm soát → Chính sách & Quy trình → Trách nhiệm → Công việc → Hồ sơ & Bằng chứng → Đánh giá → Khắc phục → Cải tiến
Theo cách tiếp cận này, ISO/IEC 27001:2022 không chỉ được thể hiện bằng một bộ chính sách, quy trình và biểu mẫu, mà từng yêu cầu sẽ được gắn với đơn vị thực hiện, người chịu trách nhiệm, thời hạn, bằng chứng và kết quả thực hiện.
Đây là yếu tố quan trọng để chuyển từ tư duy “có hồ sơ để đáp ứng yêu cầu” sang “có hệ thống để quản trị rủi ro và bảo vệ thông tin”.
Đưa ISMS lên nền tảng ISO điện tử eISO
Một nội dung trọng tâm của chương trình là từng bước đưa hoạt động quản lý ISMS lên nền tảng ISO điện tử eISO của IDAS.
Thông qua eISO, Bệnh viện có thể từng bước quản lý tập trung các thành phần quan trọng như cơ cấu và trách nhiệm; tài liệu, quy trình và hồ sơ; tài sản thông tin; rủi ro ATTT; biện pháp kiểm soát; công việc và thời hạn; đánh giá nội bộ; điểm không phù hợp; hành động khắc phục, cải tiến và các bằng chứng liên quan.
Thay vì các tài liệu và bằng chứng tồn tại riêng lẻ trong Word, Excel, email hoặc các thư mục lưu trữ, eISO hướng tới tạo mối liên kết:
Yêu cầu ISO → Quy trình → Người chịu trách nhiệm → Công việc → Dữ liệu → Bằng chứng → Chỉ số → Rủi ro → Đánh giá → Cải tiến.
Qua đó, lãnh đạo và cán bộ phụ trách có thể thuận lợi hơn trong việc nhận biết việc gì cần thực hiện, ai chịu trách nhiệm, thời hạn khi nào, bằng chứng ở đâu và nội dung nào đang cần xử lý hoặc cải tiến.
Chuẩn hóa dữ liệu để từng bước ứng dụng AI
IDAS xác định một trong những giá trị dài hạn của việc triển khai ISO điện tử là tạo ra dữ liệu quản trị có cấu trúc và có chất lượng.
Khi dữ liệu về tài sản, rủi ro, kiểm soát, sự cố, công việc, kết quả đánh giá và bằng chứng được tích lũy có hệ thống trên eISO, Bệnh viện có thể từng bước khai thác Dashboard và các công cụ AI để hỗ trợ tra cứu, tổng hợp, cảnh báo công việc, phát hiện nội dung còn thiếu và hỗ trợ chuẩn bị cho các đợt đánh giá ISMS.
Định hướng phát triển được IDAS xác định theo lộ trình:
ISO tài liệu → ISO điện tử → Dữ liệu chuẩn hóa → Dashboard quản trị → AI hỗ trợ.
Hướng tới quản trị an toàn thông tin bền vững trong môi trường y tế số
Việc triển khai ISMS theo ISO/IEC 27001:2022 trên nền tảng eISO tại Bệnh viện Lão khoa – Phục hồi chức năng Quảng Ninh hướng tới mục tiêu xa hơn việc đáp ứng một tiêu chuẩn: hình thành năng lực quản trị an toàn thông tin có hệ thống và có khả năng duy trì lâu dài.
Thông qua việc kết hợp giữa tư vấn ISO/IEC 27001:2022, chuẩn hóa quy trình, quản trị rủi ro, số hóa ISMS và ứng dụng dữ liệu, IDAS đồng hành cùng Bệnh viện từng bước nâng cao khả năng bảo vệ thông tin, kiểm soát rủi ro và hỗ trợ quá trình chuyển đổi số trong hoạt động y tế.
