Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng

Trong y tế và chăm sóc, bảo vệ thông tin không thể tách rời khỏi việc cung cấp chăm sóc: chính dữ liệu có thể cứu một mạng người, nếu bị xử lý sai, sẽ phá vỡ niềm tin làm cho việc điều trị trở nên khả thi — vì vậy cách bạn quản trị, chia sẻ và bảo mật nó là một nghĩa vụ lâm sàng, đạo đức và niềm tin của công chúng, không phải điều nghĩ sau về tuân thủ.

Vì sao điều này quan trọng trong y tế và chăm sóc#

Dữ liệu y tế và chăm sóc là một trong những thông tin nhạy cảm nhất mà một người từng tạo ra. Nó ghi lại các chẩn đoán, thuốc men, các đợt bệnh tâm thần, sức khỏe tình dục, các quyền lợi gắn với nhập cư, và những chi tiết riêng tư của những cuộc đời mong manh, dễ tổn thương. Người ta tiết lộ những điều này cho bác sĩ dựa trên một lời hứa ngầm: rằng thông tin sẽ được dùng để giúp họ và sẽ không bị phát tán cẩu thả. Khi lời hứa đó bị phá vỡ — qua một vụ rò rỉ, một sự cố ngừng hoạt động do mã độc tống tiền, hay một thỏa thuận chia sẻ dữ liệu không được giải thích — bệnh nhân giấu thông tin, từ chối hồ sơ, hoặc tránh chăm sóc hoàn toàn. Đó không phải là tác hại trừu tượng; nó làm suy giảm trực tiếp an toàn lâm sàng và sức khỏe dân số.

Rủi ro cũng mang tính vận hành. Một bệnh viện hiện đại không thể hoạt động nếu thiếu các hệ thống điện tử: giao tiếp y lệnh, kết quả, kê đơn điện tử, chẩn đoán hình ảnh và quản lý bệnh nhân đều đã số hóa. Khi các hệ thống đó ngừng hoạt động, xe cứu thương phải chuyển hướng, ca mổ bị hủy, và bác sĩ quay lại dùng giấy theo cách tự gây ra những sai sót riêng. Quản trị thông tin và an ninh mạng do đó là các ngành đảm bảo tính liên tục của chăm sóc. Chúng thuộc về cạnh an toàn lâm sàng (Chủ đề 1.6 — An toàn lâm sàng và quản lý rủi ro), không phải trong một ốc đảo tuân thủ riêng.

Cuối cùng, có một căng thẳng thực sự và không thể tránh khỏi ở trung tâm của chủ đề này. Công chúng chính đáng kỳ vọng dịch vụ y tế dùng dữ liệu để cải thiện chăm sóc, lập kế hoạch dịch vụ và hỗ trợ nghiên cứu tìm ra các phương pháp điều trị ngày mai. Họ cũng kỳ vọng sự bảo mật và quyền kiểm soát. Những mục tiêu này kéo ngược nhau, và công việc của bạn với tư cách nhà lãnh đạo không phải là giả vờ căng thẳng ấy không tồn tại mà là quản lý nó một cách công khai — cho phép sử dụng chính đáng trong khi làm cho các biện pháp bảo vệ, và các lựa chọn của bệnh nhân, trở nên hữu hình và trung thực. Làm sai sự cân bằng này theo cả hai hướng đều thua: hoặc bạn bỏ đói chăm sóc và nghiên cứu khỏi dữ liệu, hoặc bạn làm xói mòn niềm tin mà cả hệ thống phụ thuộc vào.

Các khái niệm cốt lõi#

Nền tảng của lĩnh vực này là ngành quản trị thông tin — khung các quy tắc, vai trò và biện pháp kiểm soát qua đó một tổ chức xử lý thông tin một cách hợp pháp, an toàn và có đạo đức. Ở Vương quốc Anh, các nền tảng pháp lý chính là Quy định Chung về Bảo vệ Dữ liệu của Vương quốc Anh (UK GDPR), phiên bản trong nước của quy định EU được giữ lại sau Brexit, và Đạo luật Bảo vệ Dữ liệu 2018 (DPA 2018), bổ sung cho nó. Cùng nhau, chúng yêu cầu dữ liệu cá nhân được xử lý một cách hợp pháp, công bằng và minh bạch, và mọi hoạt động xử lý phải dựa trên một cơ sở pháp lý. Thông tin sức khỏe là dữ liệu loại đặc biệt, cần cả một cơ sở pháp lý theo Điều 6 lẫn một điều kiện bổ sung theo Điều 9 — với chăm sóc trực tiếp, thường là việc cung cấp chăm sóc y tế hoặc xã hội bởi một chuyên gia theo nghĩa vụ bảo mật.

Luật bảo vệ dữ liệu không phải là ràng buộc duy nhất. Nghĩa vụ bảo mật theo thông luật là một nghĩa vụ riêng biệt, lâu đời hơn: thông tin được trao trong sự tin cậy không được tiết lộ nếu thiếu sự đồng ý, một yêu cầu pháp lý hoặc lợi ích công cộng áp đảo. Bạn có thể hoàn toàn tuân thủ UK GDPR mà vẫn vi phạm bảo mật, nên cả hai phải được thỏa mãn.

Hai khung đặc thù cho y tế chuyển những nghĩa vụ này thành thực hành. Các Nguyên tắc Caldicott — một tập các nguyên tắc (nay là tám) để xử lý thông tin bệnh nhân bí mật, lần đầu được nêu trong Báo cáo Caldicott năm 1997 — được duy trì bên trong mỗi tổ chức bởi một Người bảo vệ Caldicott, một người cấp cao chịu trách nhiệm bảo vệ bí mật bệnh nhân và cho phép chia sẻ thông tin phù hợp. Ở cấp quốc gia, Người bảo vệ Dữ liệu Quốc gia về Y tế và Chăm sóc Xã hội (NDG) là một tiếng nói luật định độc lập tư vấn về cách dữ liệu bệnh nhân nên được sử dụng và bảo vệ. Cơ chế từ chối dữ liệu quốc gia (national data opt-out) trao cho bệnh nhân một cơ chế để ngăn thông tin bí mật của họ bị sử dụng cho các mục đích ngoài chăm sóc trực tiếp, như lập kế hoạch và nghiên cứu, và các tổ chức phải tôn trọng nó.

Về mặt vận hành, Đánh giá Tác động Bảo vệ Dữ liệu (DPIA) là bản đánh giá có cấu trúc bạn hoàn thành trước khi xử lý mà có khả năng rủi ro cao — như hầu hết các dự án dữ liệu y tế mới — để nhận diện và giảm thiểu các rủi ro về quyền riêng tư. Mỗi tổ chức phải bổ nhiệm một Cán bộ Bảo vệ Dữ liệu (DPO), một vai trò độc lập chịu trách nhiệm tư vấn và giám sát việc tuân thủ. Ở Anh, Bộ công cụ Bảo mật và Bảo vệ Dữ liệu (DSPT) là bản tự đánh giá hằng năm qua đó các tổ chức y tế và chăm sóc chứng minh họ đáp ứng các chuẩn an ninh dữ liệu và quản trị thông tin cần thiết để xử lý dữ liệu NHS.

Về phía an ninh, Trung tâm An ninh Mạng Quốc gia (NCSC) cung cấp hướng dẫn có thẩm quyền của Vương quốc Anh và, qua Khung Đánh giá An ninh mạng (CAF), một cách có cấu trúc để đo khả năng chống chịu mạng. Thực hành tốt dựa trên các nguyên lý cơ bản đã được xác lập: phòng thủ nhiều lớp, xếp chồng nhiều biện pháp kiểm soát để không một thất bại đơn lẻ nào mang tính thảm khốc; nguyên tắc đặc quyền tối thiểu, chỉ trao cho người và hệ thống quyền truy cập họ thực sự cần; vá lỗi có kỷ luật và sao lưu đã được kiểm thử; và sự chuẩn bị cho mã độc tống tiền, phần mềm độc hại mã hóa hệ thống để tống tiền. Vì chỉ phòng ngừa thì không bao giờ đủ, các tổ chức trưởng thành cũng đầu tư vào vận hành: một trung tâm vận hành an ninh (SOC) — một năng lực, tại chỗ hay dùng chung, giám sát nhật ký và dữ liệu đo từ xa để phát hiện và ngăn chặn xâm nhập — và một quy trình ứng phó sự cố được luyện tập để chuyển nhanh từ phát hiện sang phục hồi. Cuộc tấn công mã độc tống tiền WannaCry năm 2017, đã làm gián đoạn khoảng một phần ba các bệnh viện NHS ở Anh và gây ra tác động ước tính 92 triệu bảng, vẫn là ví dụ cảnh báo điển hình — thiệt hại của nó phần lớn đến từ các hệ thống chưa vá lỗi, không phải từ kỹ thuật tấn công cao siêu.

Thực hành tốt nhất#

1. Bắt đầu mọi dự án dữ liệu bằng một DPIA, và xem nó là thiết kế, không phải giấy tờ. Trước khi bạn xây dựng hoặc mua sắm bất cứ thứ gì xử lý dữ liệu cá nhân, hãy thực hiện một Đánh giá Tác động Bảo vệ Dữ liệu cùng DPO và Người bảo vệ Caldicott của bạn. Làm sớm, nó định hình thiết kế — giảm thiểu dữ liệu thu thập, chọn giả danh hóa, siết chặt truy cập — thay vì đóng dấu cho các quyết định đã được đưa ra. Một DPIA bị gác lại đến lúc vận hành là dấu hiệu cảnh báo rằng quản trị chỉ là màn diễn.

2. Gọi tên rõ ràng cơ sở pháp lý và cơ sở bảo mật của bạn, và viết chúng ra. Với mọi luồng dữ liệu y tế, nêu cơ sở pháp lý theo Điều 6, điều kiện loại đặc biệt theo Điều 9, và cách nghĩa vụ bảo mật theo thông luật được thỏa mãn — sự đồng ý, một cổng pháp định, hay lợi ích công cộng. Sự mơ hồ ở đây là nơi các dự án đình trệ hoặc bị rút lại sau khi ra mắt. Rõ ràng cũng cho phép bạn giải thích việc xử lý với bệnh nhân bằng ngôn ngữ dễ hiểu, vốn tự nó là một yêu cầu pháp lý.

3. Áp dụng đặc quyền tối thiểu và truy cập theo vai trò ở mọi nơi. Chỉ trao cho bác sĩ, nhân viên hành chính, nhà nghiên cứu và hệ thống quyền truy cập mà vai trò của họ yêu cầu, và rà soát thường xuyên khi người ta chuyển công tác và rời đi. Ghi nhật ký truy cập vào các hồ sơ nhạy cảm và kiểm toán nó, vì nguy cơ bị phát hiện đáng tin cậy ngăn chặn sự tò mò không chính đáng không kém bất kỳ biện pháp kỹ thuật nào. Hầu hết các vụ vi phạm trong thực tế đều tầm thường — sai người xem sai hồ sơ — chứ không phải các cuộc xâm nhập tinh vi.

4. Làm đúng các nguyên lý cơ bản về an ninh mạng trước khi mua công cụ tiên tiến. Hướng dẫn của NCSC không hào nhoáng và hiệu quả: vá lỗi nhanh chóng, đặc biệt các hệ thống hướng ra Internet và lâm sàng; thực thi xác thực đa yếu tố; phân đoạn mạng để một sự lây nhiễm không thể lan tự do; và duy trì các bản sao lưu ngoại tuyến đã được kiểm thử. WannaCry lan qua các hệ thống Windows chưa vá lỗi, và bài học vẫn còn nguyên — vệ sinh cơ bản ngăn chặn phần lớn các sự cố. Hãy chi cho những điều cơ bản trước; mua phát hiện tinh vi khi nền móng đã vững.

5. Giả định bạn sẽ bị tấn công, và luyện tập phản ứng. Duy trì và diễn tập một kế hoạch ứng phó sự cố và liên tục kinh doanh giả định các hệ thống sẽ không khả dụng, bao gồm phương án dự phòng lâm sàng bằng giấy và một kế hoạch truyền thông cho nhân viên và bệnh nhân. Kiểm thử bản sao lưu của bạn bằng cách thực sự khôi phục từ chúng, vì một bản sao lưu bạn chưa bao giờ khôi phục là một hy vọng, không phải một biện pháp kiểm soát. Tổ chức các buổi diễn tập trên bàn để lần đầu tiên nhóm của bạn xử lý một sự cố ngừng hoạt động do mã độc tống tiền không phải là lúc xảy ra thật.

6. Hoàn thành DSPT một cách trung thực và dùng nó như một đánh giá thực sự. Bộ công cụ Bảo mật và Bảo vệ Dữ liệu là yêu cầu để xử lý dữ liệu NHS, nhưng giá trị của nó đến từ việc xem nó là một lần kiểm kê trung thực hằng năm thay vì một nghi thức đánh dấu ô. Khi bạn không thể đáp ứng một chuẩn, hãy ghi lại khoảng trống cùng một kế hoạch cải thiện đáng tin cậy thay vì phóng đại vị thế của mình. Một bản kê khai DSPT bị thổi phồng mang lại cho hội đồng quản trị của bạn sự đảm bảo giả, còn tệ hơn không có gì.

7. Biến chia sẻ thông tin thành một năng lực được thiết kế, không phải một chướng ngại. Trong một hệ thống chăm sóc tích hợp (ICS), chăm sóc tốt phụ thuộc vào dữ liệu đi qua ranh giới tổ chức giữa các bệnh viện, phòng khám bác sĩ gia đình, chăm sóc xã hội và các nhà cung cấp cộng đồng. Hãy thiết lập các thỏa thuận chia sẻ thông tin (ISA) và thỏa thuận chia sẻ dữ liệu rõ ràng, cùng thống nhất các cơ sở pháp lý và bảo mật, và thiết kế các hồ sơ dùng chung sao cho đúng chuyên gia thấy đúng thông tin tại điểm chăm sóc. Mục tiêu là chia sẻ an toàn, không phải không chia sẻ — giữ lại dữ liệu mà một bác sĩ cần tự nó là một thất bại về an toàn bệnh nhân. Điều này liên quan trực tiếp đến Chủ đề 4.3 — Khả năng tương tác và chuẩn dữ liệu.

8. Tôn trọng lựa chọn của bệnh nhân và minh bạch về các mục đích sử dụng thứ cấp. Tôn trọng cơ chế từ chối dữ liệu quốc gia trong mọi luồng sử dụng thứ cấp, và công bố thông tin rõ ràng, dễ tiếp cận về cách dữ liệu được dùng cho lập kế hoạch và nghiên cứu. Khi dữ liệu được chia sẻ với các đối tác thương mại hoặc dùng để huấn luyện mô hình, hãy chủ động công bố thay vì để nó lộ ra qua một vụ rò rỉ — các sắp xếp bị che giấu đã nhiều lần châm ngòi cho phản ứng dữ dội của công chúng và các đợt từ chối ồ ạt. Minh bạch không phải phép lịch sự; đó là điều giữ cho dữ liệu tiếp tục chảy.

9. Quản lý hồ sơ trong toàn bộ vòng đời của chúng. Áp dụng các lịch lưu giữ dựa trên Quy tắc Thực hành Quản lý Hồ sơ của NHS, hủy hồ sơ một cách an toàn khi hết thời hạn lưu giữ và giữ chúng sẵn có, nguyên vẹn trong thời hạn đó. Quản lý hồ sơ kém tạo ra cả rủi ro (giữ dữ liệu bạn không còn cần) lẫn tác hại (mất dữ liệu mà bác sĩ dựa vào). Di chuyển giữa các hệ thống là một thời điểm rủi ro cao — hãy lên kế hoạch có chủ đích cho chất lượng dữ liệu, ánh xạ và lưu trữ.

10. Lồng quản trị vào mua sắm và quản lý nhà cung cấp. Đưa các yêu cầu bảo vệ dữ liệu và an ninh vào hợp đồng: điều khoản xử lý dữ liệu, chứng nhận DSPT hoặc tương đương, thời hạn thông báo vi phạm, và quyền kiểm toán. An ninh yếu của một nhà cung cấp trở thành sự cố và tiêu đề báo của bạn, nên hãy đánh giá chuỗi cung ứng, không chỉ vành đai của riêng bạn. Làm việc này cùng đồng nghiệp thương mại như được đề cập ở Chủ đề 6.3 — Mua sắm và thương mại, và đòi câu trả lời rõ ràng về nơi dữ liệu được lưu trữ và ai có thể truy cập.

11. Đầu tư vào phát hiện, không chỉ phòng ngừa. Giả định một số cuộc tấn công sẽ vượt qua phòng thủ của bạn, và xây dựng năng lực để thấy chúng: ghi nhật ký tập trung, giám sát các hệ thống then chốt, và một trung tâm vận hành an ninh — tại chỗ, dùng chung trong một ICS, hoặc dựa vào các dịch vụ quốc gia như NCSC và các hoạt động mạng của NHS England — để hoạt động đáng ngờ được phát hiện và ngăn chặn thay vì bị khám phá nhiều tuần sau. Ghép điều này với quản lý lỗ hổng liên tục và phát hiện mối đe dọa, để bạn vá những điểm yếu mà kẻ tấn công thực sự khai thác. Phát hiện mua cho bạn thời gian để ngăn chặn một sự cố trước khi nó trở thành một vụ ngừng hoạt động.

12. Xem một cuộc tấn công mạng nghiêm trọng là một sự kiện liên tục lâm sàng. Hãy viết, cấp nguồn lực và diễn tập một kế hoạch ứng phó sự cố mạng nêu rõ ai tuyên bố sự cố, ai dẫn dắt phản ứng kỹ thuật, và ai sở hữu an toàn lâm sàng và truyền thông bên ngoài khi các hệ thống ngừng hoạt động. Nối nó trực tiếp vào các sắp xếp liên tục kinh doanh và phục hồi sau thảm họa của bạn (xem Chủ đề 3.9 — Liên tục kinh doanh và phục hồi sau thảm họa) và các quy trình sự cố lớn và EPRR (xem Chủ đề 3.10 — Sẵn sàng khẩn cấp, khả năng chống chịu và ứng phó), để một sự cố ngừng hoạt động do mã độc tống tiền được xử lý với cùng kỷ luật như bất kỳ mối đe dọa nào đối với chăm sóc bệnh nhân. Một kế hoạch chỉ sống trong phòng CNTT sẽ thất bại ngay khi một cuộc tấn công trở thành khủng hoảng lâm sàng.

Câu hỏi để thảo luận với nhóm của bạn#

1. Trong các dịch vụ của chúng ta, chúng ta đang chia sẻ quá ít ở đâu, và chia sẻ quá nhiều ở đâu — và làm sao chúng ta thậm chí biết được? Các thất bại về quản trị thông tin đi theo cả hai hướng. Chia sẻ quá mức biểu hiện thành các vụ vi phạm và niềm tin bị xói mòn; chia sẻ quá ít biểu hiện lặng lẽ, như một bác sĩ không thấy được dị ứng, một mối lo ngại về bảo vệ người dễ bị tổn thương rơi giữa các cơ quan, hoặc một ca xuất viện hỏng vì các nhóm cộng đồng thiếu bối cảnh. Hãy thảo luận các trường hợp cụ thể từ môi trường của chính bạn. Bạn có một thiên lệch — thường mang tính phòng thủ — coi việc giữ lại là an toàn một cách tự động không? Những tín hiệu nào sẽ cho bạn biết một ranh giới chia sẻ đang gây hại cho bệnh nhân, và ai chịu trách nhiệm nhận ra? Một nhóm trưởng thành có thể nêu ví dụ về cả hai kiểu thất bại và có một lộ trình báo cáo cho mỗi kiểu.

2. Nếu một cuộc tấn công mã độc tống tiền làm các hệ thống lâm sàng của chúng ta ngừng hoạt động vào sáng mai, điều gì thực sự sẽ xảy ra trong giờ đầu tiên? Hãy vượt qua kế hoạch trên giấy để đến thực tế sống động. Ai tuyên bố sự cố, và nhân viên biết bằng cách nào khi email và mạng nội bộ có thể đã ngừng hoạt động? Phương án dự phòng lâm sàng cho kê đơn, kết quả và nhận diện bệnh nhân là gì, và nhân viên tuyến đầu đã bao giờ luyện tập nó chưa? Mỗi dịch vụ có thể chạy bằng giấy bao lâu trước khi an toàn bệnh nhân suy giảm, và bạn quyết định chuyển hướng hay hủy bỏ như thế nào? Lần gần nhất bạn khôi phục từ bản sao lưu để chứng minh nó hoạt động là khi nào? Sự trung thực của cuộc trò chuyện này — đặc biệt là những khoảng trống mà người ta ngại thừa nhận — là thước đo khả năng chống chịu tốt hơn bất kỳ điểm số khung nào.

3. Chúng ta sẽ giải thích việc sử dụng dữ liệu của mình cho một bệnh nhân hoài nghi như thế nào, và họ có cảm thấy chúng ta đã thẳng thắn với họ không? Niềm tin của công chúng được xây dựng bằng ngôn ngữ dễ hiểu, không phải bằng thông báo pháp lý. Hãy chọn một mục đích sử dụng thứ cấp thực của dữ liệu trong tổ chức của bạn — lập kế hoạch dịch vụ, một quan hệ đối tác nghiên cứu, một thỏa thuận với nhà cung cấp, một công cụ AI — và thử giải thích nó cho một người bình thường: dữ liệu gì, vì mục đích gì, ai hưởng lợi, có những biện pháp bảo vệ nào, và họ có lựa chọn gì. Lời giải thích trở nên khó chịu hay né tránh ở đâu? Sự khó chịu đó thường đánh dấu điều bạn nên thay đổi hoặc truyền đạt cởi mở hơn. Hãy xem cơ chế từ chối dữ liệu quốc gia và tài liệu minh bạch của bạn sẽ trông thế nào với một người sẵn có thiên kiến không tin tưởng, và nối điều này với quản trị AI ở Chủ đề 8.4 — Quản trị AI và công nghệ mới nổi.

4. Khi một nhà cung cấp hoặc đối tác nắm giữ dữ liệu bệnh nhân của chúng ta, đó là sự cố của ai — và chúng ta có chắc mình có thể biết kịp thời không? Hầu hết các tổ chức y tế và chăm sóc nay phụ thuộc vào một chuỗi bên thứ ba: nhà cung cấp EPR, một bên lưu trữ đám mây, một nhà cung cấp dịch vụ được quản lý, một đối tác bệnh học hoặc chẩn đoán hình ảnh. Một vụ vi phạm hoặc ngừng hoạt động ở bất kỳ đâu trong chuỗi đó trở thành khủng hoảng lâm sàng và tiêu đề báo của bạn, thế mà hợp đồng, chứng nhận và đồng hồ thông báo vi phạm thường nhận được sự soi xét ít hơn nhiều so với vành đai của chính bạn. Hãy thảo luận bạn thực sự biết gì về nơi dữ liệu của bạn được lưu trữ, ai có thể truy cập, và một nhà cung cấp bị ràng buộc theo hợp đồng phải báo cho bạn nhanh đến đâu khi có sự cố. Bạn đã bao giờ kiểm thử đường thông báo đó, hoặc thấy sự đảm bảo DSPT hay tương đương của nhà cung cấp thay vì tin theo lời? Điều gì xảy ra nếu một nhà cung cấp then chốt tự bị mã độc tống tiền vào tối thứ Sáu? Một câu trả lời trung thực gọi tên các nhà cung cấp mà hiện bạn không thể buộc họ giải trình và nối điều này với Chủ đề 6.3 — Mua sắm và thương mại.

5. Ai thực sự sở hữu rủi ro quản trị thông tin ở đây — và họ có nghe về một vấn đề trước khi nó trở thành khủng hoảng không? Trên giấy, một DPO và một Người bảo vệ Caldicott sở hữu rủi ro về bảo mật và bảo vệ dữ liệu, và hội đồng quản trị sở hữu khả năng chống chịu mạng. Trong thực tế các vai trò này thường thiếu nguồn lực, được tham vấn muộn, hoặc bị xem như một chữ ký chứ không phải một tiếng nói, nên rủi ro không được đưa ra ánh sáng hay leo thang cho đến khi chúng nổi lên thành sự cố. Hãy nói thẳng về việc Người bảo vệ Caldicott và DPO của bạn có thực sự được kéo vào các quyết định sớm không, họ có thể nói không và được lắng nghe không, và rủi ro mạng có đến hội đồng quản trị như một thứ họ hiểu và sở hữu hay như một báo cáo kỹ thuật họ gật đầu cho qua. Một bác sĩ tuyến đầu phát hiện truy cập không phù hợp, hoặc một kỹ sư tìm ra một hệ thống then chốt chưa vá lỗi, có biết cách nêu nó và tin rằng sẽ có hành động không? Phép thử về quyền sở hữu không phải là sơ đồ tổ chức mà là liệu tin xấu có đi lên trên nhanh chóng không, và điều này liên kết với văn hóa an toàn được thảo luận ở Chủ đề 1.6 — An toàn lâm sàng và quản lý rủi ro.

6. Chúng ta quyết định giữ dữ liệu nào, xóa dữ liệu nào, và ai vẫn cần truy cập như thế nào — và lần gần nhất chúng ta thực sự làm việc đó là khi nào? Sự chú ý của quản trị tập trung vào thu thập và chia sẻ dữ liệu, nhưng lưu giữ, hủy bỏ và rà soát truy cập là nơi rủi ro âm thầm tích tụ: hồ sơ bị giữ lâu quá thời hạn lưu giữ hợp pháp, tài khoản không hoạt động vẫn mở được các hệ thống đang chạy, và quyền truy cập đi theo người ta khi họ đổi vai trò nhưng không bao giờ bị thu hồi. Mọi hồ sơ bạn không còn cần là trách nhiệm pháp lý bạn đang lưu trữ, và mọi thông tin xác thực lỗi thời là một lối vào cho kẻ tấn công hoặc người nội bộ tò mò. Hãy thảo luận xem các lịch lưu giữ của bạn có tuân theo Quy tắc Thực hành Quản lý Hồ sơ của NHS trong thực tế hay chỉ trong chính sách, quyền truy cập được rà soát và tỉa lần cuối khi nào, và bạn xử lý thế nào khoảnh khắc rủi ro cao khi di chuyển hoặc ngừng một hệ thống. Ai chịu trách nhiệm bấm xóa, và có ai bị đo lường về việc đó không? Một câu trả lời trung thực thường cho thấy một sự tích tụ dữ liệu và quyền truy cập mà không ai sở hữu trong nhiều năm.

Trong thực tế: một ví dụ về y tế và chăm sóc#

Hệ thống Chăm sóc Tích hợp Meadowford đang dựng một hồ sơ chăm sóc dùng chung để các bác sĩ bệnh viện, bác sĩ gia đình, điều dưỡng cộng đồng và nhân viên xã hội có thể thấy một bức tranh thống nhất về mỗi người. Chương trình được các bác sĩ ưa chuộng và nổi bật về mặt chính trị, và cám dỗ là đi nhanh.

Giám đốc chương trình khăng khăng sắp xếp quản trị song song với xây dựng chứ không đi sau nó. Một DPIA được mở ngay từ đầu, do DPO và Người bảo vệ Caldicott chính từ các tổ chức đối tác cùng dẫn dắt. Nó buộc phải đưa ra những quyết định sớm, hữu ích: hồ sơ sẽ hiển thị một bản tóm tắt lâm sàng được tuyển chọn thay vì mọi tài liệu lịch sử; hồ sơ chăm sóc xã hội chứa thông tin của bên thứ ba sẽ được xử lý theo quy tắc chặt hơn; và truy cập sẽ theo vai trò, với kiểm tra quan hệ chính đáng để một chuyên gia chỉ có thể mở hồ sơ của người thuộc phạm vi chăm sóc của mình. Mọi lượt truy cập đều được ghi nhật ký và kiểm toán, và nhân viên được thông báo rõ ràng như vậy.

Các đối tác thống nhất một thỏa thuận chia sẻ thông tin duy nhất bao quát nghĩa vụ bảo mật theo thông luật và các cơ sở pháp lý — chăm sóc trực tiếp theo Điều 6(1)(e) và Điều 9(2)(h) — và họ xác nhận hồ sơ dùng chung chỉ được dùng cho chăm sóc trực tiếp, nên cơ chế từ chối dữ liệu quốc gia không hạn chế nó. Khi một đề xuất riêng đến để dùng cùng dữ liệu cho phân tích sức khỏe dân số, nhóm xem nó là một luồng riêng biệt với DPIA riêng, cơ sở pháp lý riêng, việc tuân thủ từ chối và truyền thông công khai, thay vì lặng lẽ mở rộng thỏa thuận hiện có.

Sáu tuần trước khi vận hành, trưởng bộ phận an ninh chạy một buổi diễn tập trên bàn về mã độc tống tiền. Nó phơi bày rằng hồ sơ dùng chung không có phương án dự phòng lâm sàng nếu nó trở nên không khả dụng và các bản sao lưu chưa bao giờ được thử khôi phục. Ngày vận hành lùi một tháng trong khi nhóm thêm một bản sao chỉ đọc ngoại tuyến được làm mới hằng đêm, chứng minh việc khôi phục hoạt động, và hướng dẫn nhân viên tuyến đầu về phương án dự phòng bằng giấy. Sự trì hoãn không được ưa chuộng, nhưng khi một lỗi vá của nhà cung cấp làm hệ thống chính ngừng hoạt động một buổi sáng ba tháng sau đó, việc chăm sóc vẫn tiếp tục trên phương án dự phòng và không cuộc hẹn nào bị mất. Uy tín của chương trình — và niềm tin của các bác sĩ vào hồ sơ — còn nguyên vẹn. Sự đánh đổi là rõ ràng: một lần ra mắt chậm hơn mua được khả năng chống chịu mà một lần ra mắt nhanh hơn sẽ đánh cược mất.

Góc nhìn theo khu vực#

Công ty khởi nghiệp#

Một công ty khởi nghiệp công nghệ y tế thường có bản năng an ninh kỹ thuật mạnh nhất và hiểu biết yếu nhất về bảo mật đặc thù y tế và các kỳ vọng đặc thù của NHS. Nếu bạn là một công ty khởi nghiệp, hãy kỳ vọng phải hoàn thành DSPT hoặc chứng minh sự đảm bảo tương đương trước khi một cơ quan NHS chia sẻ dữ liệu với bạn, và bổ nhiệm hoặc thuê một DPO sớm. Rủi ro lớn nhất của bạn là đi nhanh trong việc sử dụng dữ liệu — phân tích, huấn luyện mô hình, quan hệ đối tác — mà không có cơ sở pháp lý, DPIA và sự minh bạch mà lĩnh vực này đòi hỏi, và mất một khách hàng NHS chỉ sau một đêm khi điều đó lộ ra. Hãy xem quản trị thông tin là yêu cầu tiếp cận thị trường, không phải chi phí chung, và xây nó vào khi bạn còn nhỏ.

Doanh nghiệp nhỏ#

Một nhà cung cấp nhỏ đã thành lập — một phòng khám bác sĩ gia đình, một hiệu thuốc cộng đồng, một nhà dưỡng lão, một cơ sở chăm sóc tại nhà, một phòng khám đơn lẻ, hoặc một nhà cung cấp công nghệ y tế khiêm tốn — mang cùng nghĩa vụ pháp lý như một bệnh viện lớn nhưng chỉ có một phần nhỏ năng lực: thường không có CNTT nội bộ, không có DPO chuyên trách, và một chủ sở hữu hay người quản lý phòng khám quản trị dữ liệu cùng với hàng chục công việc khác. Con đường thực tế của bạn là dựa vào sự giúp đỡ dùng chung và bên ngoài — một DPO theo hợp đồng, một Người bảo vệ Caldicott dùng chung qua một mạng lưới chăm sóc ban đầu, hỗ trợ an ninh mạng của ICS, và hướng dẫn dành cho tổ chức nhỏ của NCSC — thay vì xây năng lực bạn không đủ khả năng chi. Hãy hoàn thành DSPT một cách trung thực, vì với nhiều nhà cung cấp nhỏ nó vừa là yêu cầu hợp đồng vừa là danh sách kiểm tra có cấu trúc tốt nhất của bạn, và ghi lại các khoảng trống thực thay vì thổi phồng bản kê khai. Làm đúng trước các nguyên lý cơ bản có thể chi trả — MFA, vá lỗi nhanh, sao lưu ngoại tuyến đã kiểm thử, truy cập đặc quyền tối thiểu và một phương án dự phòng bằng giấy đơn giản — vì chúng ngăn chặn hầu hết các sự cố và tốn thời gian hơn tiền bạc. Hãy đặc biệt cẩn thận với sự khóa chặt nhà cung cấp và các sắp xếp đám mây, nơi bạn có thể có ít đòn bẩy để thương lượng điều khoản và vẫn phải biết dữ liệu bệnh nhân nằm ở đâu và ai có thể chạm tới.

Doanh nghiệp lớn#

Một bệnh viện lớn hoặc một nhà cung cấp đã thành lập có chính sách trưởng thành nhưng vật lộn với quy mô, hệ thống cũ và sự phân mảnh: hàng chục hệ thống, kiểm soát truy cập không nhất quán, hệ thống chưa vá lỗi, và quản trị trải mỏng qua các nhóm. Thách thức của bạn là sự mạch lạc — một cái nhìn duy nhất về rủi ro, một bản kiểm kê tài sản thực sự, và đủ đầu tư an ninh để sửa các nguyên lý cơ bản thay vì chỉ mua công cụ. WannaCry đánh vào các tổ chức lớn nặng nhất chính vì hệ thống cũ chưa vá lỗi. Hãy dùng DSPT và Khung Đánh giá An ninh mạng của NCSC để thúc đẩy cải thiện thực sự, và bảo đảm quyền sở hữu cấp hội đồng quản trị là thật chứ không bị ủy quyền cho đến mức vô hình.

Chính phủ#

Các cơ quan quốc gia và bên đặt hàng đặt ra các khung — Các Nguyên tắc Caldicott, hướng dẫn của Người bảo vệ Dữ liệu Quốc gia, cơ chế từ chối dữ liệu quốc gia, DSPT — và gánh trách nhiệm về niềm tin công chúng ở quy mô dân số. Các sáng kiến dữ liệu của bạn lớn, dễ thấy và mang tính chính trị cao, và các chương trình trước đây đã cho thấy việc chia sẻ dữ liệu bị che giấu hoặc giải thích kém nhanh chóng châm ngòi cho phản ứng dữ dội và các đợt từ chối hàng loạt. Hãy dẫn đầu bằng sự minh bạch, tham gia thực chất của công chúng và giám sát độc lập trước khi mở rộng, không phải sau. Hãy nhận ra sự đánh đổi bạn sở hữu: chính sách quốc gia quá thận trọng bỏ đói chăm sóc và nghiên cứu khỏi dữ liệu, trong khi chính sách cẩu thả đánh mất sự đồng ý của công chúng, những người sở hữu dữ liệu đó.

Các kiểu thất bại thường gặp#

• Quản trị như màn diễn. DPIA hoàn thành sau khi ra mắt, bản kê khai DSPT bị thổi phồng để trông tuân thủ, và các chính sách không ai theo. Điều này tạo ra sự đảm bảo giả, nguy hiểm hơn một điểm yếu được thừa nhận.
• Bỏ qua nguyên lý cơ bản về an ninh mạng trong khi mua công cụ bóng bẩy. Hệ thống chưa vá lỗi, không có xác thực đa yếu tố, mạng phẳng và sao lưu chưa kiểm thử — chính những điều kiện để WannaCry lan rộng — được tô điểm bằng một nền tảng phát hiện đắt tiền.
• Sự quá thận trọng mang tính phòng thủ đội lốt an toàn. Từ chối chia sẻ dữ liệu mà một bác sĩ cần một cách chính đáng, xem "không" là không rủi ro trong khi một dị ứng bị bỏ sót hay một lỗ hổng bảo vệ người dễ bị tổn thương tự nó là tổn hại nghiêm trọng cho bệnh nhân.
• Các mục đích sử dụng thứ cấp bị che giấu. Mở rộng dữ liệu thu thập cho chăm sóc sang phân tích, các thỏa thuận thương mại hoặc huấn luyện mô hình mà không có cơ sở pháp lý mới, việc tuân thủ từ chối hay sự minh bạch với công chúng — cho đến khi nó rò rỉ và niềm tin sụp đổ.
• Sao lưu chưa từng được khôi phục. Phát hiện ra trong một sự cố mã độc tống tiền thực rằng các bản sao lưu không đầy đủ, hỏng, hoặc bị mã hóa cùng mọi thứ khác.
• Trách nhiệm mồ côi. Một DPO hoặc Người bảo vệ Caldicott tồn tại trên sơ đồ tổ chức nhưng không được tham vấn, cấp nguồn lực hay lắng nghe, nên rủi ro không được đưa ra ánh sáng hay sở hữu.

Mô hình trưởng thành#

Danh sách kiểm tra#

• Một DPIA được mở ở đầu mỗi dự án dữ liệu mới và được DPO phê duyệt.
• Cơ sở pháp lý, điều kiện loại đặc biệt và cơ sở bảo mật được ghi chép cho mỗi luồng dữ liệu.
• Một Người bảo vệ Caldicott và một Cán bộ Bảo vệ Dữ liệu được bổ nhiệm, cấp nguồn lực và thực sự được tham vấn.
• Truy cập theo vai trò, đặc quyền tối thiểu được thực thi và truy cập vào hồ sơ nhạy cảm được ghi nhật ký và kiểm toán.
• Hệ thống được vá lỗi nhanh chóng, xác thực đa yếu tố được thực thi và mạng được phân đoạn.
• Bản sao lưu được thực hiện, giữ ngoại tuyến và được thử khôi phục theo lịch đều đặn.
• Một kế hoạch ứng phó sự cố và liên tục kinh doanh, bao gồm phương án dự phòng lâm sàng bằng giấy, được ghi chép và diễn tập.
• DSPT được hoàn thành một cách trung thực, với các khoảng trống được ghi lại và kế hoạch cải thiện đáng tin cậy.
• Các thỏa thuận chia sẻ thông tin được thiết lập giữa các đối tác ICS với các cơ sở đã thống nhất.
• Cơ chế từ chối dữ liệu quốc gia được áp dụng cho mọi mục đích sử dụng thứ cấp và tài liệu minh bạch được công bố.
• Việc lưu giữ hồ sơ và hủy bỏ an toàn tuân theo Quy tắc Thực hành Quản lý Hồ sơ của NHS.
• Các yêu cầu bảo vệ dữ liệu và an ninh được đưa vào hợp đồng nhà cung cấp và chuỗi cung ứng được đánh giá.

Nguồn chính#

• Văn phòng Ủy viên Thông tin (ICO) — Hướng dẫn UK GDPR, DPIA và các cơ sở pháp lý.
• Người bảo vệ Dữ liệu Quốc gia — các cuộc rà soát và hướng dẫn về an ninh dữ liệu và Các Nguyên tắc Caldicott.
• NHS England — Bộ công cụ Bảo mật và Bảo vệ Dữ liệu và cơ chế từ chối dữ liệu quốc gia.
• Trung tâm An ninh Mạng Quốc gia (NCSC) — hướng dẫn an ninh mạng và Khung Đánh giá An ninh mạng.
• Hội đồng Người bảo vệ Caldicott Vương quốc Anh — vai trò và trách nhiệm của Người bảo vệ Caldicott.
• Văn phòng Kiểm toán Quốc gia — cuộc điều tra về cuộc tấn công mạng WannaCry và NHS (2017–18).
• Quy tắc Thực hành Quản lý Hồ sơ của NHS.

Tài liệu tham khảo#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response