Khuyến nghị đảm bảo an toàn thông tin mạng cho mô hình khám chữa bệnh từ xa

Đại dịch COVID-19 đã trở thành động lực cho cuộc cách mạng công nghệ trong lĩnh vực chăm sóc sức khỏe (CSSK) trên thế giới với sự phát triển mạnh mẽ của dịch vụ CSSK từ xa (Telehealth).

 Mô hình này được dự báo sẽ không chỉ là giải pháp tình thế trong khủng hoảng mà có thể sẽ trở thành một xu hướng thịnh hành trong tương lai. Tuy nhiên, vấn đề bảo mật an toàn thông tin (ATTT) cũng đặt ra nhiều thách thức đối với lĩnh vực này.

Nghiên cứu mới từ Kaspersky cho thấy 91% tổ chức y tế đã triển khai hệ thống telehealth, với 44% mới chỉ bắt đầu ứng dụng sau đại dịch, 56% tổ chức CSSK đang có kế hoạch tăng đầu tư vào các giải pháp telehealth.

Mặc dù hệ thống telehealth có tiềm năng lớn trong việc cải thiện hiệu quả và nâng cao khả năng tiếp cận của bệnh nhân, nhưng nó cũng mang lại nhiều rủi ro. Theo Kaspersky, 52% người được hỏi cho biết họ đã từng gặp những trường hợp bệnh nhân từ chối dịch vụ telehealth do lo ngại về vấn đề an ninh bảo mật.

Không chỉ bệnh nhân lo lắng về quyền riêng tư, 81% nhà cung cấp dịch vụ CSSK nói rằng các bác sĩ trong tổ chức của họ cũng đã bày tỏ lo ngại về việc bảo vệ dữ liệu của bệnh nhân khi thực hiện các phiên điều trị từ xa và chỉ 36% người được hỏi tự tin rằng tổ chức của họ có các biện pháp bảo mật cần thiết.

Rebecca Herold, Giám đốc điều hành và người sáng lập của The Privacy Professor và là thành viên của IEEE, một tổ chức kỹ thuật phi lợi nhuận, cho biết những rủi ro của hệ thống telehealth chính là những rủi ro về tính toàn vẹn dữ liệu của bệnh nhân, rủi ro về sức khỏe của bệnh nhân khi những hệ thống không được bảo mật đúng cách. Các cuộc tấn công mạng và những rủi ro khác có thể dẫn đến trục trặc về công nghệ và gây ra những ảnh hưởng có hại cho bệnh nhân.

"Các sự cố bảo mật và vi phạm quyền riêng tư làm tổn hại đến danh tiếng và lòng tin, dẫn đến việc nhiều người không muốn sử dụng các cơ sở CSSK", Herold chia sẻ.

Với quyền riêng tư của bệnh nhân, việc không tuân thủ các biện pháp quy định thích hợp có thể dẫn đến thông tin bệnh nhân được chia sẻ không phù hợp gây hại cho bệnh nhân thông qua hành vi đánh cắp danh tính y tế, tống tiền dữ liệu, tổn hại danh tiếng và các thiệt hại khác.

Trong suốt 2 năm đại dịch vừa qua, lĩnh vực CSSK đã phải đối mặt với các vụ vi phạm an toàn thông tin mạng (ATTTM) liên tục. Với sự phát triển nhanh chóng và sự phức tạp khiến ngành công nghiệp CSSK trở thành mục tiêu nhắm đến ưa thích của các nhóm tin tặc.

Khi ngày càng có nhiều tội phạm mạng nhắm mục tiêu, các cơ sở y tế cần coi vấn đề ATTTM là một trong những vấn đề cần được ưu tiên hàng đầu, đồng thời có những biện pháp để đánh giá mức độ phòng thủ hiện tại của tổ chức và áp dụng một cách khôn ngoan các giải pháp và công cụ thích hợp để ngăn chặn, phòng ngừa hiệu quả các cuộc tấn công.

Nghiên cứu của Kaspersky cho thấy, tính bảo mật của telehealth là mối quan tâm lớn đối với cả nhà cung cấp và người tiêu dùng. Khi telehealth tiếp tục hỗ trợ sự thay đổi trong lĩnh vực CSSK, việc đảm bảo an toàn an ninh trước các cuộc tấn công và khai thác cơ sở hạ tầng là rất quan trọng. Từ thực tế đó, Devin Partida - Tổng Biên tập của ReHack.com đã chia sẻ một số khuyến nghị để giúp các tổ chức CSSK thiết lập mức độ sẵn sàng an ninh mạng cao đối với các hệ thống telehealth.

Xác minh tính bảo mật của các bên thứ ba

Dịch vụ telehealth thường hoạt động thông qua các nền tảng viễn thông của bên thứ ba. Do đó, trước khi chọn một nền tảng để sử dụng cho telehealth, các bệnh viện, tổ chức CSSK phải xác minh tính bảo mật của chúng. Nếu không làm như vậy có thể dẫn đến làm lộ dữ liệu nhạy cảm của bệnh nhân thông qua lỗ hổng bảo mật của bên thứ ba.

Khi tìm kiếm các giải pháp telehealth, các nhà cung cấp dịch vụ CSSK nên tìm kiếm các giải pháp đã được tích hợp mã hóa đầu cuối và xác thực đa yếu tố (MFA). Các giải pháp không kích hoạt các công cụ này sẽ không đủ an toàn cho các ứng dụng telehealth. Bên cạnh đó, yêu cầu kiểm toán viên an ninh độc lập xác minh tính bảo mật của nền tảng telehealth có thể là cần thiết để đảm bảo họ cung cấp đúng các biện pháp bảo vệ mà bệnh viện hay tổ chức CSSK cần.

Mã hóa dữ liệu từ xa tại mọi thời điểm

Do tính chất nhạy cảm của thông tin CSSK, các tổ chức cũng phải mã hóa dữ liệu CCSK từ xa tại mọi thời điểm. Vì nhiều nền tảng không bật mã hóa đầu cuối theo mặc định, người dùng phải đảm bảo rằng nó đã được bật trước khi đưa vào sử dụng.

Các tổ chức CSSK phải mã hóa mọi dữ liệu bệnh nhân trong bộ lưu trữ, cả trên đám mây và các thiết bị tại chỗ. Bất kỳ thiết bị hoặc hệ thống nào có thể truy cập vào dữ liệu từ xa đều phải sử dụng mã hóa để đảm bảo mọi vi phạm không thể làm lộ dữ liệu bệnh nhân.

Thắt chặt các giao thức xác thực

Những tổ chức ứng dụng telehealth cần hạn chế quyền truy cập vào hệ thống dữ liệu và thắt chặt các biện pháp kiểm soát xác thực đối với những người dùng đặc quyền này. Bước quan trọng nhất trong quá trình này là sử dụng MFA bất cứ khi nào có ai đó cố gắng truy cập hệ thống. Đồng thời, các tổ chức CSSK cũng nên yêu cầu bệnh nhân thiết lập MFA để đảm bảo và ngăn ngừa các cuộc vi phạm tấn công từ thiết bị của bệnh nhân.

Ghi lại nhật ký mọi nỗ lực xác thực và truy cập thành công cũng rất quan trọng. Các nhật ký này sẽ cung cấp thông tin chi tiết về các kiểu được sử dụng và xác định xem liệu có bất kỳ mối đe dọa nội bộ tiềm ẩn nào hay không.

Các tổ chức lớn có thể là những mục tiêu hấp dẫn đối với tội phạm mạng, do đó, các tổ chức này cần xem xét nâng cao thêm một bước phòng thủ nữa bằng cách triển khai kiến trúc zero-trust.

Tìm kiếm sự công nhận

Một trong những thách thức với ATTTM telehealth là các nhà cung cấp dịch vụ CSSK không phải là chuyên gia bảo mật. Nhiều công ty, tổ chức trong số này chưa quen với ATTTM, vì vậy họ có thể không hiểu những bước họ cần phải thực hiện. Các chương trình cung cấp các chứng nhận về telehealth có thể cung cấp hướng dẫn mà họ cần để đảm bảo an toàn và tuân thủ.

Các chương trình này sẽ giúp tổ chức xác định các cơ hội cải tiến theo các tiêu chuẩn cao hơn. Sau đó, họ có thể thực hiện theo các khuyến nghị của người kiểm định để trở nên an toàn hơn.

Hướng dẫn, đào tạo nhân viên về ATTTM

Cuối cùng, như trong bất kỳ quy trình ATTTM nào, tất cả người dùng telehealth đều phải trải qua khóa đào tạo về bảo mật. Các nghiên cứu cho thấy có tới 88% các vụ vi phạm dữ liệu trong các doanh nghiệp là do lỗi của nhân viên. Do đó, một trong những biện pháp an ninh hiệu quả nhất là đảm bảo tất cả người lao động hiểu được những rủi ro mà họ phải đối mặt và các phương pháp tốt nhất để tránh chúng.

Việc đào tạo có thể là các đợt bồi dưỡng định kỳ để đảm bảo nhân viên luôn nâng cao ý thức cảnh giác. Cứ vài tháng một lần, bất kỳ ai có quyền truy cập vào hệ thống hoặc hồ sơ telehealth đều phải trải qua một khóa đào tạo hoặc tập huấn. Đặc biệt, cung cấp các tài nguyên tương tự cho bệnh nhân cũng có thể giúp giảm thiểu rủi ro liên quan đến người dùng.

Telehealth có tiềm năng trở thành một trong những công nghệ đột phá nhất trong ngành CSSK. Tuy nhiên, để phát huy hết tiềm năng thì hệ thống phải được bảo mật an toàn. Nếu các tổ chức y tế không áp dụng các biện pháp ATTTM mạnh mẽ, thì telehealth có thể gây ra nhiều vấn đề hơn khả năng giải quyết.

Những khuyến nghị này không phải là con đường duy nhất để hướng tới ATTTM từ xa, nhưng chúng là những bước quan trọng nhất. Nếu các tổ chức CSSK ứng dụng các phương pháp này một cách hiệu quả, họ hoàn toàn có thể cung cấp các dịch vụ telehealth mà không sợ bị vi phạm dữ liệu./.