Bệnh viện bị tấn công mạng, bất cứ ai cũng có thể bị rò rỉ thông tin

Việc hệ thống lấy số khám bệnh trực tuyến của Viện Tim TP.HCM bị tấn công là lời cảnh báo về việc đảm bảo an toàn thông tin ở các cơ sở y tế.

Bệnh nhân đối mặt nhiều nguy cơ

Giữa tháng 3/2024, một IP ảo ở nước ngoài đã liên tiếp tấn công trang web lấy số khám bệnh trực tuyến của Viện Tim TP.HCM, gây ra lượng truy cập cao bất thường, khoảng 5 triệu lượt. Sự cố đã ảnh hưởng đến việc cấp số thứ tự của khách hàng và thanh toán không dùng tiền mặt thông qua QR code của Viện Tim TP.HCM. Cơ sở này phải tạm thời đóng hệ thống lấy số thứ tự online để giảm thiểu ảnh hưởng đến hoạt động khám, chữa bệnh.

Lập tức, Sở Y tế TP HCM đã phối hợp với Trung tâm Chuyển đổi số, Sở Thông tin và Truyền thông và Phòng An ninh mạng và Phòng, chống tội phạm sử dụng công nghệ cao Công an TP.HCM làm việc với Viện Tim TP.HCM, để tìm nguyên nhân và đưa ra giải pháp hỗ trợ.

Vụ tấn công này cho thấy nguy cơ các bệnh viện bị tấn công mạng là rất lớn, nhất là khi quá trình chuyển đổi số trong ngành y tế đang được thúc đẩy. Bệnh viện Tim TP.HCM chưa ghi nhận việc rò rỉ thông tin người bệnh nhưng việc này có thể xảy ra nếu việc phòng ngừa, xử lý các cuộc tấn công mạng không được thực hiện kịp thời.

Trên thế giới từng có nhiều vụ tấn công mạng vào các bệnh viện và hậu quả đều rất nghiêm trọng. Cách đây nhiều năm, một VIP ở nước ngoài phải nằm viện. Với địa vị của người này, công tác an ninh phòng bệnh được thắt chặt nên việc tìm cách xâm nhập vào phòng bệnh là bất khả thi.

Nhưng điều bất ngờ đã xảy ra khi kẻ xấu đã hack vào hồ sơ bệnh án của ông và thay đổi một vài loại thuốc được chỉ định. Kết quả là bệnh nhân không qua khỏi. Sau đó, lực lượng an ninh quốc gia mới tìm ra cách thức tội phạm đã “lẻn vào” để giết người.

Mới đây nhất, cuối tháng 2/2024, một cuộc tấn công mạng khiến hệ thống của Change Healthcare - “gã khổng lồ công nghệ y tế” kết nối chuỗi 67.000 nhà thuốc tê liệt, 5.000 bệnh viện và nơi cung cấp dịch vụ báo động khẩn, hệ thống y tế đình trệ diện rộng.

Ít ngày trước, hồ sơ bệnh án của Vương phi Kate tại bệnh viện tư nhân The London Clinic (Anh) cũng bị “hack”, sau khi Vương phi phẫu thuật bụng ngày 16/1/2024. Vụ việc vi phạm dữ liệu cá nhân đang được điều tra.

Cũng trong tháng 2, một cuộc tấn công mạng diễn ra tại bệnh viện ở New Jersey, New Mexico và Oklahoma. Xe cứu thương bị chuyển hướng, gây xáo trộn nghiêm trọng hoạt động cấp cứu. Còn cuộc tấn công mạng tại Bệnh viện nhi đồng Lurie ở Chicago (Mỹ) khiến bệnh nhân và bác sĩ đều không thể truy cập hồ sơ y tế và lịch sử kê đơn...

Bệnh viện nhi đồng Lurie ở Chicago (Mỹ) bị tấn công mạng, làm gián đoạn việc khám, chữa bệnh của nhiều người.

Giữa năm 2023, Bệnh viện St. Margaret's Health ở Spring Valley, Illinois (Mỹ) cũng phải đóng cửa sau cuộc cuộc tấn công mạng, do hệ thống máy tính của bệnh viện bị phá hoại. Sau đó không lâu, các vụ tấn công mạng tương tự cũng làm đình trệ hoạt động của một loạt cơ sở y tế tại 5 bang của Mỹ.

Tổ chức hệ thống y tế cộng đồng quản lý 206 bệnh viện ở Mỹ công bố việc tin tặc đột nhập vào hệ thống máy tính đã đánh cắp hồ sơ của 4,5 triệu bệnh nhân từng được điều trị trong vòng 5 năm, thu thập toàn bộ tên, tuổi, địa chỉ, số điện thoại, số thẻ an sinh xã hội.

Còn tại Đức, hệ thống dữ liệu Bệnh viện Đại học Duesseldorf cũng bị tin tặc cài mã độc, khiến bác sĩ không thể tiếp nhận điều trị bệnh nhân vì không truy cập được dữ liệu người bệnh. Các hoạt động chữa trị, phẫu thuật đều bị hoãn lại, khiến một bệnh nhân qua đời do được cấp cứu muộn.

Hệ thống bảo mật ở các bệnh viện còn mong manh

Trên thế giới, các cơ sở y tế luôn là một trong những mục tiêu của hacker. Nhưng theo các chuyên gia an ninh mạng, hệ thống bảo mật của các bệnh viện lại khá mong manh. Hầu hết các bệnh viện không có sự chuẩn bị trước các cuộc tấn công mạng, mặc dù đã được cảnh báo.

Các bệnh viện ở Việt Nam và trên thế giới đều sử dụng nhiều thiết bị như thiết kết nối với internet để điều trị, khám chữa bệnh. Nếu hệ thống bị đánh sập, việc điều trị và chăm sóc bệnh nhân sẽ ảnh hưởng nghiêm trọng.

Chia sẻ với VietTimes, Ths. Trần Văn Tuyên (Cục Khoa học Công nghệ và Đào tạo, Bộ Y tế) cho biết ở Việt Nam, nhiều lãnh đạo bệnh viện chưa thực sự nhận thức đầy đủ về ý nghĩa, tầm quan trọng của việc bảo đảm an toàn thông tin tại đơn vị.

Một vấn đề nữa là chính sách để thúc đẩy triển khai an toàn thông tin đến từ các cơ quan quản lý nhà nước vẫn chưa đầy đủ, bao gồm cơ chế tài chính, chế tài dành cho lĩnh vực an toàn thông tin tại các đơn vị.

Hiện nay, các bệnh viện vẫn chưa chủ động triển khai các biện pháp an toàn thông tin đối với các ứng dụng, dữ liệu CNTT tại bệnh viện nói chung và hồ sơ bệnh án điện tử nói riêng. Đa phần các bệnh viện có tổ/phòng CNTT nhưng nhân lực về an toàn thông tin lại rất thiếu và yếu, chưa đáp ứng được nhu cầu của các bệnh viện.

Cần làm gì để bảo vệ dữ liệu bệnh nhân?

Mục tiêu mà Bộ Y tế đặt ra trong chủ trương chuyển đổi số của ngành là mỗi bệnh viện, trung tâm y tế công đều triển khai hồ sơ bệnh án điện tử, thanh toán viện phí không dùng tiền mặt, đơn thuốc điện tử và đạt tỷ lệ 100% các cơ sở y tế hạng I trở lên triển khai khám bệnh không giấy…

Vụ tấn công trang web của Viện tim TP.HCM là lời cảnh báo về việc phải khẩn trương bảo đảm an toàn thông tin. Nếu không, hệ thống lưu trữ thông tin cá nhân của rất nhiều bệnh nhân có thể bị tấn công

Việc bảo đảm an toàn hệ thống cần được quan tâm đầu tư khi ngành y tế đang thúc đẩy chuyển đổi số.

Theo Ths. Trần Văn Tuyên, các bệnh viện cần chủ động tăng cường nhận thức về chuyển đổi số và an toàn thông tin tại đơn vị; đưa vào các nghị quyết của Đảng, chính quyền về thúc đẩy an toàn thông tin. Chủ động xây dựng, đánh giá các hồ sơ cấp độ an toàn thông tin theo quy định của Bộ TTTT và Bộ Y tế.

Các cơ quan quản lý cũng cần xây dựng hành lang pháp lý, cơ chế tài chính liên quan CNTT tại các bệnh viện. Còn thủ trưởng cơ sở y tế phải phát triển đội ngũ nhân sự, xây dựng quy chế về sử dụng hồ sơ bệnh án điện tử, quy chế an toàn thông tin, an ninh mạng.

Để phòng ngừa các cuộc tấn công mạng, bảo vệ hệ thống và thông tin bệnh nhân, các cơ sở y tế cần triển khai một số giải pháp như trang bị phần mềm diệt virus, thiết bị tường lửa (firewall), hệ thống phát hiện xâm nhập (IDS), hệ thống ngăn chặn xâm nhập (IPS) để ngăn chặn tấn công có chủ đích và xâm nhập từ xa.

Ngoài ra, bệnh viện cần sử dụng các giải pháp mã hóa dữ liệu để lưu trữ hồ sơ bệnh án điện tử; Sao lưu dự phòng dữ liệu hồ sơ bệnh án điện tử để đảm bảo khả năng phục hồi dữ liệu hồ sơ bệnh án trong trường hợp xảy ra sự cố mất dữ liệu.

Việc duy trì ổn định điện lưới, máy phát điện để đảm bảo hệ thống công nghệ thông tin của bệnh viện hoạt động ổn định; trang bị thiết bị lưu điện (UPS) đảm bảo duy trì hệ thống CNTT để hoạt động ổn định ngay cả khi mất điện cũng cần được quan tâm.

Thanh Hằng