Trong khuôn khổ chương trình hỗ trợ xây dựng và áp dụng Hệ thống quản lý an toàn thông tin (ISMS) cho các cơ sở y tế trên địa bàn tỉnh Quảng Ninh, Công ty TNHH Tư vấn Chất lượng và Phát triển Công nghệ (IDAS) đã triển khai hoạt động khảo sát, tư vấn và hướng dẫn xây dựng ISMS phù hợp với Tiêu chuẩn quốc tế ISO/IEC 27001:2022 tại Bệnh viện Sản Nhi Quảng Ninh.
Đây là một trong những hoạt động hướng tới tăng cường năng lực quản trị an toàn thông tin, bảo vệ dữ liệu và hỗ trợ quá trình chuyển đổi số trong lĩnh vực y tế.
An toàn thông tin – nền tảng quan trọng của bệnh viện số
Trong quá trình chuyển đổi số, các bệnh viện ngày càng sử dụng nhiều hệ thống CNTT phục vụ khám chữa bệnh, quản lý chuyên môn, quản trị nội bộ và trao đổi dữ liệu. Cùng với những lợi ích mang lại, yêu cầu bảo vệ tính bí mật, tính toàn vẹn và tính sẵn sàng của thông tin ngày càng trở nên quan trọng.
ISO/IEC 27001:2022 cung cấp một khuôn khổ quản lý có hệ thống, giúp tổ chức xác định tài sản thông tin, nhận diện và đánh giá rủi ro, lựa chọn các biện pháp kiểm soát phù hợp, phân định trách nhiệm và liên tục theo dõi, đánh giá, cải tiến hệ thống.
Khảo sát thực tế để xây dựng ISMS phù hợp với hoạt động của Bệnh viện
Trong đợt triển khai, đội ngũ chuyên gia IDAS đã phối hợp với đại diện lãnh đạo và các đơn vị chuyên môn của Bệnh viện Sản Nhi Quảng Ninh khảo sát hiện trạng quản lý thông tin, hệ thống CNTT, tài liệu, quy trình và các biện pháp bảo đảm an toàn thông tin đang được áp dụng.
Trên cơ sở kết quả khảo sát, IDAS cùng Bệnh viện từng bước thực hiện:
- Xác định bối cảnh, phạm vi và các bên quan tâm của ISMS;
- Rà soát tài sản thông tin, hệ thống CNTT, dữ liệu và trách nhiệm quản lý;
- Nhận diện, phân tích và đánh giá rủi ro an toàn thông tin;
- Rà soát các chính sách, quy trình, quy định và bằng chứng hiện có;
- Xác định các biện pháp kiểm soát phù hợp theo ISO/IEC 27001:2022;
- Xây dựng, chuẩn hóa và hoàn thiện hệ thống tài liệu ISMS;
- Đào tạo nhận thức và từng bước đưa các yêu cầu ATTT vào hoạt động thường xuyên;
- Chuẩn bị cho hoạt động đánh giá nội bộ, khắc phục, cải tiến và đánh giá chứng nhận theo kế hoạch.
Không chỉ xây dựng hồ sơ – hướng tới ISMS được vận hành thực chất
Định hướng của IDAS là giúp Bệnh viện xây dựng hệ thống ISO/IEC 27001:2022 không chỉ để hình thành bộ tài liệu phục vụ đánh giá, mà quan trọng hơn là đưa quản lý an toàn thông tin vào hoạt động thực tế.
Mô hình quản trị được định hướng theo chuỗi:
Tài sản thông tin → Rủi ro → Biện pháp kiểm soát → Quy trình → Trách nhiệm → Công việc → Bằng chứng → Đánh giá → Khắc phục → Cải tiến.
Khi mỗi yêu cầu về ATTT được gắn với tài sản, người chịu trách nhiệm, biện pháp kiểm soát và bằng chứng thực hiện, lãnh đạo có điều kiện theo dõi tốt hơn tình trạng tuân thủ cũng như những rủi ro cần ưu tiên xử lý.
Kết hợp tư vấn ISO/IEC 27001:2022 với nền tảng ISO điện tử eISO
Một điểm quan trọng trong phương pháp triển khai của IDAS là định hướng số hóa quá trình xây dựng, vận hành và duy trì ISMS trên nền tảng ISO điện tử eISO.
Thay vì tài liệu, hồ sơ và bằng chứng nằm phân tán tại nhiều máy tính hoặc thư mục khác nhau, eISO hướng tới quản lý tập trung các nội dung như tài liệu – hồ sơ – tài sản – rủi ro – kiểm soát – công việc – đánh giá – CAPA – bằng chứng thực hiện.
Qua đó, ISO có thể từng bước chuyển từ:
“ISO trên tài liệu” → “ISO trên quy trình” → “ISO trên dữ liệu” → “Quản trị và hỗ trợ bằng AI”.
Dữ liệu được chuẩn hóa trong quá trình vận hành cũng tạo tiền đề để ứng dụng Dashboard và AI hỗ trợ tra cứu, tổng hợp, cảnh báo công việc, nhận diện các nội dung cần cải tiến và hỗ trợ cán bộ trong công tác quản lý ISMS.
Đồng hành cùng chuyển đổi số và bảo vệ thông tin trong lĩnh vực y tế
Với kinh nghiệm tư vấn hệ thống quản lý, an toàn thông tin và phát triển nền tảng ISO điện tử, IDAS hướng tới đồng hành cùng Bệnh viện Sản Nhi Quảng Ninh xây dựng một ISMS phù hợp ISO/IEC 27001:2022, có khả năng vận hành thực tế, đo lường, lưu vết và cải tiến liên tục.
Việc triển khai không chỉ hướng đến mục tiêu đáp ứng tiêu chuẩn mà còn góp phần hình thành nền tảng quản trị an toàn thông tin bền vững, hỗ trợ Bệnh viện trong quá trình chuyển đổi số, bảo vệ dữ liệu và nâng cao chất lượng quản trị.
