Một buổi sáng, trưởng khoa xét nghiệm nhận phản ánh: người nhà một người bệnh kể rằng kết quả HIV của họ hàng đã lan khắp xóm. Kiểm tra lại, kết quả được in ra ở máy in chung của khoa, để trên khay mà ai đi qua cũng với tay lấy được. Không có tin tặc nào cả. Chỉ là một cái khay.
Phần lớn sự cố lộ dữ liệu cận lâm sàng trong bệnh viện giống thế này: nhỏ, đời thường, và xuất phát từ cách tổ chức quyền truy cập hơn là từ kỹ thuật mã hóa. Bài viết về bảo mật dữ liệu cận lâm sàng này đi qua bốn việc: xác định dữ liệu nằm ở đâu, phân quyền theo vai trò, ghi nhật ký truy cập, và kiểm soát khâu trả kết quả. Cuối bài là bảng rà soát để khoa xét nghiệm và phòng công nghệ thông tin tự chấm.
Dữ liệu cận lâm sàng nằm ở những đâu
Khi nói "bảo mật LIS", nhiều người chỉ nghĩ tới cơ sở dữ liệu trên máy chủ. Thực tế kết quả của một người bệnh tồn tại ở nhiều chỗ cùng lúc, và mỗi chỗ có kiểu rủi ro riêng.
| Vị trí | Dữ liệu | Rủi ro hay gặp |
|---|---|---|
| Máy phân tích | Kết quả thô, mã mẫu | Máy dùng chung một tài khoản, ổ cứng cũ không ai xóa khi thanh lý |
| LIS | Kết quả đã duyệt, lịch sử sửa | Phân quyền rộng, tài khoản của người đã nghỉ vẫn mở |
| RIS-PACS | Ảnh DICOM, bản đọc phim | Xem ảnh từ máy trạm không kiểm soát, xuất ảnh ra USB |
| Phiếu in, phong bì | Bản giấy | Để khay chung, giao nhầm người |
| File xuất, thư điện tử, tin nhắn | Bản sao ngoài hệ thống | Gửi qua ứng dụng nhắn tin cá nhân, không thu hồi được |
| Bản sao lưu | Toàn bộ dữ liệu | Không mã hóa, để cùng phòng máy |
Hai dòng cuối thường bị bỏ quên khi rà soát. Một hệ thống phân quyền chặt nhưng cho phép xuất toàn bộ danh sách kết quả ra file Excel thì lớp phân quyền gần như vô nghĩa.
Mỗi kỹ thuật viên đăng nhập bằng tài khoản của chính mình, kể cả ở máy trạm đặt cạnh máy phân tích.
Phân quyền theo vai trò: ai thật sự cần xem dữ liệu cận lâm sàng
Cách thực dụng là liệt kê vai trò trước, quyền sau. Một bệnh viện quy mô vừa thường chỉ cần 8-10 vai trò cho phân hệ cận lâm sàng, không cần phải chia nhỏ hơn.
- Bác sĩ chỉ định: xem kết quả của người bệnh mình đang điều trị. Không xem được kết quả của khoa khác nếu không có ca chung.
- Điều dưỡng khoa lâm sàng: xem kết quả người bệnh đang nằm khoa, không sửa.
- Kỹ thuật viên xét nghiệm: nhập, kiểm tra kết quả của mẻ mình phụ trách. Chưa có quyền duyệt cuối.
- Bác sĩ/cán bộ duyệt kết quả: duyệt và ký số, đồng thời là người duy nhất mở lại kết quả đã duyệt để sửa.
- Thu ngân viện phí và bộ phận tiếp đón: thấy trạng thái "đã có kết quả/chưa", không thấy giá trị.
- Quản trị hệ thống: cấp tài khoản, cấu hình, nhưng không mặc định được đọc nội dung kết quả.
- Kiểm tra chất lượng, thanh tra nội bộ: đọc theo dữ liệu đã bỏ định danh khi có thể.
Dòng về thu ngân và tiếp đón hay gây tranh luận. Thu ngân chỉ cần biết dịch vụ nào đã thực hiện để thu đúng, còn con số trong kết quả thì không liên quan tới việc của họ. Tách hai thứ này ra là cách rẻ nhất để giảm số người nhìn thấy dữ liệu sức khỏe.
Quyền theo ca, không theo khoa
Phân quyền kiểu "bác sĩ khoa Nội xem được mọi người bệnh khoa Nội" dễ cấu hình nhưng rộng hơn nhu cầu. Mô hình tốt hơn là quyền xem gắn với ca điều trị đang mở: có lượt khám hoặc đợt điều trị nội trú thì xem được, ca đã xuất viện thì khóa lại hoặc đòi lý do.
Nhu cầu ngoại lệ thì có thật, nhất là cấp cứu và hội chẩn. Giải pháp thường dùng là cho phép "mở khẩn" kèm bắt buộc nhập lý do và đẩy cảnh báo cho người quản lý. Vừa không chặn việc cứu người, vừa để lại dấu vết.
Sai lầm thường gặp: Cấp quyền rộng "cho tiện" rồi hứa sẽ siết sau. Sau sáu tháng không ai dám thu hẹp vì sợ làm gián đoạn công việc. Cấp hẹp từ đầu và mở thêm theo yêu cầu có lý do thì dễ hơn nhiều.
Vòng đời tài khoản
Phần lớn lỗ hổng phân quyền nằm ở tài khoản, không ở phần mềm. Ba tình huống hay gặp: tài khoản của người đã nghỉ việc vẫn đăng nhập được, nhân viên luân chuyển khoa vẫn giữ quyền khoa cũ, và một tài khoản dùng chung cho cả ca trực. Quy trình tối thiểu: phòng tổ chức nhân sự báo cho phòng công nghệ thông tin khi có người nghỉ hoặc chuyển khoa, tài khoản bị khóa trong cùng ngày, và mỗi quý có một lần đối chiếu danh sách tài khoản đang mở với danh sách nhân sự thực tế.
Nhật ký truy cập: bằng chứng khi dữ liệu cận lâm sàng bị tranh chấp
Phân quyền ngăn người không có quyền. Nhật ký trả lời câu hỏi người có quyền đã làm gì. Khi một người bệnh khiếu nại kết quả bị sửa, hoặc phát hiện nhân viên xem hồ sơ người quen, nhật ký là thứ duy nhất để xác minh.
Một bản ghi đủ dùng gồm: tài khoản, thời điểm, mã người bệnh hoặc mã mẫu, thao tác (xem, sửa, xóa, in, xuất file) và máy thực hiện. Với thao tác sửa, giữ cả giá trị trước và sau cùng lý do. Phần việc sửa kết quả đã duyệt liên quan chặt tới nhật ký truy vết bệnh án điện tử, nên hai hệ thống nên dùng chung cách ghi.
Ghi rồi phải có người đọc. Một số truy vấn nên chạy định kỳ:
- Danh sách nhân viên xem nhiều hồ sơ bất thường so với đồng nghiệp cùng vai trò.
- Truy cập ngoài giờ làm việc hoặc từ máy không thuộc khoa của người dùng.
- Các lần xem hồ sơ của chính nhân viên bệnh viện hoặc người thân của họ.
- Các lần sửa kết quả đã duyệt, đối chiếu với lý do ghi kèm.
- Các lần xuất file hàng loạt.
Kiểm tra mục 3 thường cho kết quả khiến ban giám đốc ngạc nhiên nhất. Nó cũng là cách nhanh nhất để nhân viên hiểu rằng nhật ký được đọc thật.
Quầy trả kết quả: đối chiếu giấy tờ, đúng người mới giao.
Trả kết quả: khâu dễ lọt nhất
Hệ thống chặt đến đâu mà giao nhầm phong bì thì cũng vô ích. Khâu trả kết quả có ba nhóm rủi ro: bản giấy, kênh điện tử và giao cho người nhà.
Bản giấy. Không để kết quả trên khay công khai. Phong bì kín, ghi họ tên và mã người bệnh, xếp theo ô có người phụ trách. Máy in kết quả đặt ở nơi có nhân viên, không đặt ngoài hành lang. Với xét nghiệm nhạy cảm (HIV, bệnh lây truyền qua đường tình dục, ma túy, thai sản của người chưa thành niên), nên có quy định giao trực tiếp cho người bệnh qua bác sĩ điều trị.
Kênh điện tử. Tra cứu kết quả qua ứng dụng hoặc cổng web cần xác thực hai lớp: mã người bệnh cộng mã gửi qua số điện thoại đã đăng ký, hoặc đăng nhập tài khoản định danh. Đường dẫn tra cứu không nên chỉ dựa vào mã phiếu tăng dần, vì ai cũng đoán được số kế tiếp. Link có thời hạn hiệu lực và tự hết hạn là lựa chọn an toàn hơn file đính kèm gửi thẳng qua ứng dụng nhắn tin.
Giao cho người nhà. Bệnh viện nên có quy định bằng văn bản: người nhận xuất trình giấy tờ tùy thân của người bệnh, hoặc giấy ủy quyền cùng giấy tờ của người nhận. Ghi tên người nhận vào hệ thống để có dấu vết.
Họp rà soát quyền truy cập mỗi quý giữa khoa xét nghiệm và phòng công nghệ thông tin.
Khung pháp lý cần đối chiếu
Thông tin sức khỏe thuộc nhóm dữ liệu cá nhân nhạy cảm, nên mức bảo vệ phải cao hơn dữ liệu hành chính thông thường. Hai văn bản bệnh viện cần đưa vào bộ hồ sơ tuân thủ: Nghị định 356/2025/NĐ-CP về bảo vệ dữ liệu cá nhân (hiệu lực từ 01/01/2026, thay Nghị định 13/2023) và Nghị định 102/2025/NĐ-CP về quản lý dữ liệu y tế (hiệu lực từ 01/7/2025).
Về an toàn hệ thống thông tin, cơ chế phân cấp độ an toàn gồm 5 cấp độ đã vận hành theo Nghị định 85/2016/NĐ-CP; từ 01/7/2026 khung này chuyển sang Luật An ninh mạng 116/2025/QH15 và các nghị định hướng dẫn. Vì văn bản hướng dẫn còn đang hoàn thiện, bệnh viện nên xác nhận lại với đơn vị pháp chế trước khi lập hồ sơ cấp độ.
Tài liệu này không thay cho tư vấn pháp lý. Mục đích là chỉ ra đúng văn bản để bộ phận phụ trách đọc nguyên văn.
Bảng rà soát bảo mật dữ liệu cận lâm sàng
Để bảo mật dữ liệu cận lâm sàng không dừng ở khẩu hiệu, khoa xét nghiệm, chẩn đoán hình ảnh và phòng công nghệ thông tin có thể ngồi một buổi để chấm các mục sau.
- Tài khoản cá nhân: không còn tài khoản dùng chung trên máy trạm, máy phân tích chỉ giữ tài khoản kỹ thuật cho đường truyền.
- Khóa tài khoản kịp thời: người nghỉ việc hoặc chuyển khoa bị thu quyền trong ngày.
- Quyền theo ca: xem kết quả gắn với ca điều trị đang mở, có chế độ mở khẩn kèm lý do.
- Tách quyền duyệt và quyền nhập: người nhập kết quả không tự duyệt cuối được.
- Nhật ký bất biến: người dùng thường không sửa hay xóa được nhật ký, giá trị trước và sau khi sửa được lưu.
- Rà soát nhật ký định kỳ: có người được giao, có biên bản.
- Xuất file: giới hạn quyền xuất, có ghi nhật ký, ưu tiên xuất bản đã bỏ định danh.
- Bản giấy: phong bì kín, máy in đặt nơi có người, quy định giao nhận rõ.
- Kênh điện tử: xác thực hai lớp, đường dẫn có thời hạn.
- Sao lưu: mã hóa, đặt tách khỏi phòng máy chính, kiểm tra khôi phục định kỳ. Phần này liên quan tới lưu trữ ảnh y tế dài hạn và sao lưu DICOM.
- Thanh lý thiết bị: ổ cứng máy phân tích và máy trạm cũ được xóa an toàn trước khi bàn giao.
Triển khai trong phần mềm: phân quyền cận lâm sàng cùng một nền với HIS
Khoa xét nghiệm hiếm khi quản lý tài khoản riêng được lâu. Khi LIS, RIS-PACS và HIS dùng chung một cơ chế danh tính, việc khóa tài khoản một lần là khóa ở mọi nơi, và nhật ký của các phân hệ nằm cùng một chỗ để truy vết. Cách tích hợp được mô tả ở bài về tích hợp LIS với HIS; phần phân quyền phía lâm sàng xem thêm ở phân quyền truy cập hồ sơ bệnh án điện tử.
MyHospital cho phép cấu hình quyền theo vai trò và theo ca điều trị trên toàn bộ phân hệ cận lâm sàng, kèm nhật ký truy cập tập trung. Xem cách các phân hệ ghép với nhau trong phần mềm quản lý bệnh viện, hoặc đăng ký dùng thử để kiểm tra phân quyền trên dữ liệu mẫu của khoa bạn.
Bắt đầu từ ba việc trong tuần này
Không cần dự án lớn để thu hẹp rủi ro. Tuần này, phòng công nghệ thông tin xuất danh sách tài khoản đang mở của khối cận lâm sàng và đối chiếu với danh sách nhân sự. Khoa xét nghiệm dời máy in kết quả về nơi có người trực. Trưởng khoa chọn một người đọc nhật ký truy cập mỗi tháng và ký biên bản. Ba việc này chưa tốn đồng nào cho phần mềm, và đã bịt được những kẽ hở hay gặp nhất.
